Windows のファイル整合性監視とは？

悪意のある攻撃者は、システムへのアクセス権を得ることで、あなたのビジネス、従業員、顧客に大きな損害を与える可能性があります。データの窃取や漏えいに加えて、設定、アプリケーション、システムファイルを変更し、足跡を消すためにログを削除することもあります。

ファイル整合性監視（FIM）は、ビジネスを保護するのに役立ちます。FIMは、ファイルの変更を追跡して、ファイルが削除されたのか、改ざんされたのかを判断する IT セキュリティ技術およびセキュリティプロセスです。これにより、許可されていないシステムファイルの変更を防止し、被害を軽減するのに役立ちます。

FIM について、なぜ重要なのか、どのように機能するのか、また FIM ソリューションを評価する際に何に注目すべきかを詳しく知るために読み進めてください。

ファイル改ざん検知／ファイル整合性監視（FIM）とは？

FIM ソリューションは、変更追跡と侵入検知を行うソフトウェアです。データベース、OS（オペレーティングシステム）、および Windows のファイルをチェックして、改ざんや変更があったかどうかを判断します。変更があった場合は、誰がいつ変更したのかも特定します。

なぜ FIM ソリューションを使う必要があるのでしょうか？

FIM は組織が次のことを実現するのに役立ちます：

• 脅威を検出して対処します： FIM はシステムファイルへの変更を検出し、有害な改変についてアラートを送信します。その後、ネットワークセキュリティチームは未授权のアクセスをブロックし、変更されたファイルを元の状態に戻すことができます。
• ファイルの整合性を確保します： FIM ツールは、現在のバージョンを信頼できるベースラインと比較することで重要なファイルを検証します。その後、差分が潜在的に損害を与える可能性があるかどうかを判断します。
• コンプライアンス要件を満たします： 多くのコンプライアンス規制には、次を含む FIM 要件が含まれています。Payment Card Industry Data Security Standard (PCI DSS), SOX, および Federal Information Security Management Act of 2002 (FISMA) と Health Insurance Portability and Accountability Act (HIPAA)。
• システム設定を強化します： FIM は 適切な構成設定 を Windows サーバーおよびその他の IT システム向けに確立し、攻撃対象領域を減らすのに役立ちます。

Windows のファイル整合性チェックは、どのくらいの頻度で行うべきですか？

PCI DSS などのセキュリティ準拠基準では、毎週のファイル整合性チェックが求められます。しかし、毎週のチェックだけでは、深刻な data security の侵害を防ぐには不十分な場合があります。近年、脅威アクターはこれまで以上に危険になっています。現在では、ほんの数時間または数日で深刻な被害を引き起こせます。

そのため、継続的な検知を備えたリアルタイムのファイル監視ソリューションが必要です。ファイル整合性チェックを週に1回しか実行しない場合、脅威が手遅れになるまで気づかれないまま見過ごされる可能性があります。

Windows のファイル整合性監視では、どのデータを対象にするべきですか？

FIM ソリューションでは、以下を監視する必要があります。

Windows のフォルダーおよびファイル

少なくとも、次の対象に対してファイルの整合性監視を使用してください。

• プログラム ファイル (x86)
• プログラム ファイル
• System 32
• SysWow64

Windows のシステムドライブ（C:Windows）にも FIM を適用することを検討してください。ただし、レジストリ監視と同様に、これによって非常に多くの誤検知が生じる可能性があります。したがって、データベースやライブログファイルなど、定期的に変更されるファイル（例：C:WindowsLogs）を除外する必要があります。

監視対象に含めるファイルと除外するファイルを選ぶ作業は、手作業で行う必要がある場合、難しくなることがあります。ファイルの種類や拡張子によるフィルタリングに加えて、特定の文字を含むファイルやフォルダーを見つけるための検索パターンである正規表現（regex）を使って、ファイルを素早く特定できる FIM ツールに投資するのが賢明です。さらに、予期しない変更やその他の真の脅威を識別できるインテリジェントな変更検知にも注目してください。

すべてのフォルダーおよびファイルの属性と内容

FIM ツールは、次を含むすべてのフォルダーおよびファイル属性を追跡する必要があります。

• 現在の状態
• 特権、アクセス許可、およびその他のセキュリティ設定
• コアのサイズと属性
• 認証情報
• 設定値

一部の FIM ソリューションでは、ファイルの内容も追跡します。これは特に大きなファイルの場合、現実的でないことがよくあります。より適した方法は、次のようなメタデータを追跡することです:

• 名前とパス
• 暗号学的ハッシュ値
• サイズと長さ
• 作成日とアクセス日

Windows レジストリキー、ハイブ、および値

さらに、Windows の構成設定を制御するため、Windows レジストリキー、ハイブ、および値に FIM を適用してください。必ず次を監視してください:

• インストール済みのプログラムと更新
• ローカル監査およびセキュリティポリシー（Windows のファイアウォール設定からスクリーンセーバーまでを含む）
• ローカル ユーザー アカウント

レジストリは数百万の値で構成されており、その多くは Windows の動作中に頻繁に変化します。誤検知アラートの量を減らすには、上で説明したとおり、きめ細かな「含める／除外する」機能が必要です。

Windows FIM はどのように脅威を検知しますか？

変更を検知するために、Windows file integrity monitoring solution は、MD5、SHA1、SHA256、SHA512 などの安全なハッシュ アルゴリズムを使って生成した暗号学的ハッシュ値を使用するべきです。このアプローチにより、各ファイルに対して一意の「DNA フィンガープリント」が提供されます。ファイルの内容や構成がわずかに変更されるだけでもハッシュ値に大きな影響が出るため、微細な変更でも検知できます。

暗号学的ハッシュ値は、バイナリ ファイル（.dll、.exe、.drv、.sys など）やテキストベースの設定ファイル（.js、XML、圧縮アーカイブなど）を含む、あらゆる種類のファイルに割り当てることができます。

Windows向けのFIMソリューションを評価する際に、どこに注目すべきですか？

Microsoft のファイル整合性監視ソリューションを評価する際は、次の重要な質問をしてください：

そのソリューションは最新のFIM手法を使用していますか？

従来のFIMソリューションは、ファイルのハッシュ値とメタデータがすべて含まれたベースラインを作成し、そのベースライン値をファイルの最新バージョンと比較することで、すべてのファイルおよびフォルダー属性を追跡・検証します。 しかし、変更の有無は日次または週次でしか確認されません。さらに、非常にリソースを消費し、リアルタイム監視、セキュリティイベントの集中管理ストレージ、システムファイルがなぜ変更されたのかという文脈といった必須機能にも欠けています。これらの欠点により、サイバーセキュリティの専門家が、許容される変更の膨大な海の中から潜在的に危険な変更を見つけることは非常に困難になります。

対照的に、Netwrix Change Tracker のような最新のファイル整合性ソリューションは、FIMエージェントを使って変更を継続的に検出し、リアルタイムのアラートを発行します。さらに、次の機能も備えています：

• コンテキストベースのファイル許可リスト（ホワイトリスト）とファイル整合性モニタリングにより、すべての変更アクティビティを自動的に分析して、良い変更と悪い変更を判別できるようにします。これにより、変更によるノイズとアラート疲れが大幅に減少します
• 認定済みで完全な DISA STIG および CIS 構成のハードニングにより、すべてのシステムが常に安全に設定されることを保証します

このソリューションは Microsoft Azure をサポートしていますか？

もし Microsoft Azure を利用している場合、FIM ソリューションがそれをサポートしていることは非常に重要です。Azure には Microsoft Defender for Cloud が用意されており、データを保護するのに役立つファイル整合性モニタリング ソリューションです。ただし、Defender for Cloud は多くの異常を検知できる一方で、セキュリティ イベントの集中ストレージ、計画された変更と計画されていない変更の検知の区別、リアルタイム監視といった重要な機能が欠けているため、かなりの数の脅威がなお見逃される可能性があります。こうした不足により、検知された変更が悪意のあるものなのか許容できるものなのかを理解するのが難しくなることがあります。

そのため、Netwrix Change Tracker のようなサードパーティの FIM ツールを導入し、Microsoft Azure のクラウド環境に対するあらゆる変更を検知して、権限のない改変をリアルタイムで通知できるようにすることをおすすめします。これにより、クラウドのセキュリティ インシデントに迅速に対応できます。

FAQ

1. Windows FIM はゼロデイマルウェアをどのように検知しますか？

Windows FIM のソリューションは、暗号学的ハッシュ値を使ってシステム内の各ファイルを追跡します。 ゼロデイマルウェアがシステムに侵入すると、重要なファイルのハッシュ値が変化し、FIM ソリューションがセキュリティチームにアラートを出します。このアプローチは、.drv、.exe、.dll、.sys、そしてzip圧縮アーカイブファイルなど、あらゆるファイル形式に対応します。

2. Windows のファイル整合性チェックはどのくらいの頻度で実施すべきですか？

PCI は週1回のチェックのみを義務付けていますが、深刻な データセキュリティ 侵害を防ぐには十分ではないかもしれません。現代の脅威アクターは、システムやデータに混乱をもたらすのに必要なのが数時間または数日で済むこともあります。そのため、迅速な検知はかつてないほど重要です。対応の遅れは、大きなコストにつながる可能性があります。

3. Microsoft Defender for Cloud は FIM を提供していますか？

はい、Microsoft Defender for Cloud は、Windows レジストリ、OS ファイル、Linux システム ファイル、アプリケーション ソフトウェア、およびその他のファイルに対する変更を調べ、サイバー攻撃を示唆する可能性のある変化を検出します。

ただし、計画された変更と計画外の変更を区別できないため、セキュリティ チームがアラートで混乱する可能性があります。さらに、Defender for Cloud はリアルタイム監視を提供しないため、アラートが発行されるまでに脅威アクターが攻撃を完了する時間ができてしまうことがあります。したがって、サードパーティの FIM ソリューションへの投資は賢明な戦略となり得ます。