FIM（文件完整性监控）

FIM 是什么？

文件完整性监控（File Integrity Monitoring，FIM）是一种安全控制，用于检测对关键文件、目录和系统配置的变更。它会建立一组被批准的文件状态的可信基线，并持续将当前状态与该基线进行对比。

如果文件在未经批准的变更流程之外被修改、删除或创建，FIM 会生成告警，并记录有关事件的详细信息，包括是谁进行了更改、更改发生的时间以及具体更改了什么。

FIM 被广泛认为是受监管环境中的基础性控制措施。在这些环境中，维护系统完整性是强制要求。

文件完整性监控（File Integrity Monitoring）是如何工作的？

文件完整性监控通过为被监控的文件和配置对象生成加密哈希值或校验和来工作。这些哈希值表示每个文件的已知“正常”状态（known-good）。

当发生变更时，监控系统会重新计算文件哈希，并将其与基线（baseline）进行对比。如果检测到差异，系统会记录该修改，并可触发告警或生成合规报告以供调查。

现代 FIM 解决方案还提供：

1. 实时变更检测
2. 与安全基准进行基线验证
3. 基于上下文的过滤以减少噪音
4. 与 ITSM 和 SIEM 平台的集成
5. 为审计就绪提供详细报告

这种持续验证的方法可确保计划内和计划外的变更都清晰可见，并且责任明确。

为什么文件完整性监控很重要？

未经授权的文件更改是常见的入侵迹象。攻击者通常会修改系统文件、配置设置或应用程序二进制文件，以建立持久性或禁用安全控制。

FIM 可帮助组织：

1. 快速检测恶意或未授权的修改
2. 在各系统之间保持配置一致性
3. 验证是否符合监管要求
4. 识别意外漂移以减少攻击面
5. 通过详细的变更历史加强事件调查

没有 File Integrity Monitoring，未授权的更改可能会在造成业务中断或安全事件之前一直不被察觉。

FIM 的合规要求是什么？

在许多监管框架中，FIM 要么被明确要求，要么被强烈建议。例如：

1. PCI DSS 要求监控关键文件和配置变更
2. SOX 要求对财务系统的修改实施控制
3. HIPAA 要求保护敏感的医疗数据系统
4. NIST 指南强调完整性监控和配置控制

持续的文件完整性监控有助于组织展示有条理的监管与审计准备能力。

FIM 与变更管理

FIM 和变更管理是相关的，但各不相同。

变更管理规范了计划变更的审批与文档记录。File Integrity Monitoring 会验证环境中发生的变更是否与已批准的基线一致。

二者合用，既提供系统完整性的治理，也提供技术层面的强制执行。

使用场景

1. 监控 Windows 和 Linux 服务器上的关键系统文件
2. 检测云环境中的未授权配置更改
3. 将补丁部署与已批准的基线进行验证
4. 支持 PCI DSS 和 SOX 审计要求
5. 调查可疑的文件或注册表修改
6. 降低混合基础架构中的配置偏移

Netwrix 如何提供帮助

传统的定期审计不足以检测实时配置漂移或未经授权的文件更改。

Netwrix Change Tracker 可在服务器、终端、云平台以及网络设备上提供先进的 FIM 文件完整性监控。组织可以：

1. 实时监控配置和文件完整性变更
2. 将系统状态与已批准的基线以及 CIS 等行业基准进行对比
3. 立即检测未经授权或存在风险的变更
4. 将监控结果集成到 ITSM 和 SIEM 工作流中
5. 通过具备上下文感知的过滤与验证，减少变更噪音
6. 生成与监管标准一致、可直接用于审计的详细报告

通过将基线强制执行与持续验证相结合，Netwrix Change Tracker 能够强化运维控制、降低安全风险，并确保环境始终保持合规且稳定。

文件完整性并非一次性检查就够了，而需要持续验证。