ファイルインテグリティモニタリング：定義、メリット、主要機能

ファイルインテグリティモニタリングは、組織の情報システムのセキュリティを確保するうえで重要であるだけでなく、規制順守にも欠かせません。この記事ではファイルインテグリティモニタリングとは何かを解説し、組織に適したファイルインテグリティモニタリングのソフトウェアソリューションを見つける手助けをします。

ファイル整合性モニタリング（FIM）とは？

ファイル整合性モニタリング（File integrity monitoring：FIM）は、企業の データ中心のセキュリティ戦略 における重要な要素です。FIM とは、機密情報を含むファイルやフォルダーへのアクセスまたは変更を試みるすべての行為を監査し、その活動が正当で、許可を得ており、かつ業務および法的なプロトコルと一致しているかどうかを確認するプロセスです。不適切で無許可の変更やアクセスイベントを事前に検知することで、セキュリティ侵害を最小限に抑えられます。したがって、FIM は多くのコンプライアンス規制で求められています。

ファイル整合性モニタリング（FIM）と CIA トライアド

CIA トライアドは CIA triad の略で、データの機密性、完全性、可用性を指します：

• 機密性 — 機密データへのアクセスを許可された主体に限定すること
• 完全性 — データのライフサイクル全体を通して、データが正確で一貫性があり、信頼できる状態であることを確保すること
• 可用性 — IT インフラが円滑に稼働し、ボトルネック、内部システム同士の競合、または重要なファイルへのアクセスを妨げる可能性のあるその他の問題がないようにすること

その名称が示すとおり、ファイル整合性モニタリングはデータ セキュリティ戦略における「完全性」の部分に直接関係しています。

ファイル整合性モニタリングが必要な理由

FIM は、システム上の重要ファイルに対する不適切な変更を組織が検知するのに役立ちます。これにより、データが盗まれたり侵害されたりするリスクが低減され、結果として、生産性の低下、収益の損失、評判の毀損、そして法的およびコンプライアンス上の罰則といった、時間とコストの損失を防ぐことにつながります。

FIM のコア機能

FIM ソリューションを探す際は、各ツールが FIM の主要な目的それぞれに対してどれだけ効果的に対応できるかを必ず検討してください。

変更管理

FIM（ファイル整合性監視）ソリューションは、次の2つを継続的に監視することで データセキュリティ を向上させる必要があります。

• 組織の重要なファイルおよびフォルダーの変更。
• ファイルシステムの構成の変更。システムの現在の構成を、組織の基準（baseline）や、その他の既知の良好な状態と容易に比較できる必要があります。

脅威の検出

FIM（ファイル整合性監視）ソリューションは、脅威インテリジェンスと侵入検知を強化する必要があります。ユーザーのアクティビティを監視し、アクセス権限を見直すプロセスを促進することで、最小特権のセキュリティモデルを維持できるようにします。ユーザーが疑わしいアクセス試行を開始したり、機密ファイルに不適切な変更を加えたりした場合、システム管理者は、そのユーザーのアクセス権限を削除することで、この脆弱性を迅速に軽減できます。

コンプライアンス監査

FIM は、以下を含む多くの規制基準で必須または推奨されています。

• HIPAA はベストプラクティスとして、データセキュリティとアクセス制御を継続的に監査することを推奨しています。
• FISMA は、ファイルの完全性監視を主要な要件の1つとして定めています。
• NIST は、基準 データセキュリティポリシー の一部としてリアルタイムの FIM を取り入れることを推奨しています。
• 「NERC CIP」の実装ガイダンス文書では、FIM の機能が必要です。
• PCI DSS では、重要なデータおよびシステムファイルに対する不審な変更を把握するための整合性監視に加え、少なくとも週次でのファイル比較が求められます。

ファイル整合性監視ソフトウェア

ファイル整合性監視は、スタンドアロンの FIM ツールに投資する方法、または既存の IT 監視ツールとリソースのスイートを活用する方法のどちらでも実装できます。以下に、それぞれのアプローチの主なメリットとデメリットを示します。

スタンドアロンの FIM ツールを使用する

専用のソリューションを購入して導入すれば、FIMの基本要件をすべてカバーできているという安心感が得られます。経営陣や規制当局の監査担当者に対して、FIMへの準拠を示すためのシンプルで分かりやすい方法に思えるかもしれませんが、専用のFIMソリューションには、事前に把握しておきたい重要な懸念がいくつかあります:

• コストが高い — Gartner の調査によると、 組織は、単独型のFIMツールが提供する実用的な機能に比べて高価であると感じることが多いとされています。実際、多くの組織がFIMツールの機能のうちごく一部しか使用していないと報告しています。最も一般的に使われる機能には、変更の監視とレポーティングが含まれます。
• アラート疲れ — 単独型のFIMツールは、正確な監視を行うには適切に導入する必要がある複雑な製品です。導入ミスがあると、FIMツールが許可された変更と許可されていない変更の両方をセキュリティ上の懸念として報告してしまう可能性があります。絶え間ない誤検知（false positives）の連続は、運用上の大きな課題と非効率を招き、セキュリティチームはノイズの中に紛れて本当の脅威を見逃してしまうことがあります。

統合技術によるFIMの実現

もう一つの選択肢は、高額な単一ツールではなく統合的なアプローチでFIMを実装することです。このアプローチでは、FIMを単独の取り組みとして捉えるのではなく、全体的な情報セキュリティ戦略の自然な拡張として位置づけます。

これは、効果的なファイル整合性の監視に必要な主要な機能です：

• システム構成の変更を監視し、アプリケーション、サービス、クラウドネットワークが侵害されず、ベースライン基準を満たしていることを確認
• サーバー全体でのファイル変更を監査し、ファイルの作成、変更、削除を含めて追跡
• 分析やトラブルシューティングを容易にするための、変更に関する詳細なレポート

Netwrix のソリューションは、強力な機能スイートを提供し、ファイル整合性の監視を実装してセキュリティ体制を強化します。具体的には、Netwrix Change Tracker は次のことを行います：

• 標準構成からの変更がないかシステムを監視し、ドリフト（逸脱）が発生したらすぐに通知します。
• 変更によるノイズを取り除き、運用チームが本当に異常なイベントに集中できるようにします。
• 人が読める形式で、インフラ全体にわたる重要なシステムファイルの変更を完全に可視化します。誰が何をいつ、どこで変更したのかといった詳細情報もすべて含まれます。
• CIS、NIST、PCI DSS、CMMC、STIG、NERC CIP をカバーする 250 以上のレポートにより、コンプライアンス報告にかかる時間と手間を削減します。