文件完整性监控（File Integrity Monitoring）：定义、优势与关键功能

文件完整性监控对于保障组织的信息系统安全以及满足监管合规要求至关重要。本文将探讨文件完整性监控是什么，并帮助你为组织找到合适的文件完整性监控软件解决方案。

什么是文件完整性监控？

文件完整性监控（File integrity monitoring，FIM）是企业的 以数据为中心的安全策略中至关重要的一环。FIM 是对所有试图访问或修改包含敏感信息的文件和文件夹的行为进行审计，并检查该活动是否合法、是否获得授权，以及是否符合业务与法律流程的过程。通过主动检测不当且未经授权的变更以及访问事件，你可以将安全漏洞降到最低。因此，FIM 是许多合规法规的要求。

文件完整性监控与 CIA 三元组

CIA 三元组（CIA triad）是指数据的机密性、完整性和可用性：

• 机密性 — 将对敏感数据的访问限制在已授权的人员或机构范围内
• 完整性 — 确保数据在整个生命周期中始终保持准确、一致且值得信赖
• 可用性 — 确保 IT 基础设施能够顺畅运行，并且不会因瓶颈、内部系统冲突或其他可能中断对关键文件访问的问题而受到影响

顾名思义，文件完整性监控直接对应数据安全策略中的“完整性”部分。

为什么你需要文件完整性监控（FIM）

FIM 可帮助组织发现系统中关键文件的不当变更，从而降低数据被窃取或遭到篡改的风险。这些问题会给你带来时间与金钱的损失：例如生产力下降、收入减少、声誉受损，以及可能产生的法律与合规处罚。

FIM 的核心功能

在选择 FIM 解决方案时，请务必评估每个工具在实现 FIM 的各项主要目标方面的表现。

变更管理

FIM 解决方案应通过持续监控以下两项内容来提升 数据安全：

• 对组织关键文件和文件夹的更改。
• 对文件系统配置的更改。它应使您能够轻松地将系统的当前配置与组织的基线或其他已知的良好状态进行比较。

威胁检测

FIM 解决方案应提升您的威胁情报和入侵检测能力。它应有助于监控用户活动、审查访问权限的流程，从而让您能够维持 最小特权的安全模型。如果用户发起可疑的访问尝试，或对敏感文件进行不当更改，系统管理员可以通过移除该用户的访问权限来快速缓解该漏洞。

合规审计

FIM 被许多监管标准要求或推荐，包括以下内容：

• HIPAA 建议将持续审计数据安全性和访问控制作为最佳实践。
• FISMA 将文件完整性监控作为其核心要求之一进行规定。
• NIST 鼓励将实时 FIM 作为基线 数据安全策略的一部分纳入其中。
• 《 NERC CIP 》实施指导文件要求具备 FIM 能力。
• PCI DSS 要求对关键数据和系统文件的可疑更改进行完整性监控，并至少按周进行文件对比。

文件完整性监控软件

您可以通过投资独立的 FIM 工具来实施文件完整性监控，也可以利用现有的 IT 监控工具和资源套件。以下是这两种方法各自的主要优势和不足。

使用独立的 FIM 工具

购买并部署专用解决方案，可以让您确信已覆盖所有 FIM 基础要求。它可能看起来是一种向高层管理层或监管审计人员展示 FIM 合规性的简单且直观的方法，但专用 FIM 解决方案确实存在一些值得您注意的显著问题：

• 成本高昂 — 据 Gartner 研究 指出，组织会发现，独立部署的 FIM 工具在其所提供的实际功能方面性价比并不高，成本相对较高。事实上，许多组织报告称他们只使用了 FIM 工具功能的一小部分。最常用的能力包括变更监控和报告。
• 告警疲劳 — 独立部署的 FIM 工具是复杂的产品，必须正确部署才能提供准确的监控。部署不当可能导致 FIM 工具将已授权和未授权的变更都报告为安全关注点。源源不断的误报会造成显著的运维挑战和低效，安全团队也可能在海量噪声中忽略真正的威胁。

通过集成技术实现 FIM

另一种选择是采用集成式方法来实现 FIM，而不是只依赖某一款昂贵的单一工具。通过这种方式，您会把 FIM 视为整体信息安全战略的有机延伸，而非一项孤立的工作。

以下是有效进行文件完整性监控所需的关键能力：

• 监控系统配置变更，确保您的应用、服务和云网络保持未被破坏，并符合基线标准
• 对服务器上的文件变更进行审计，包括文件创建、修改和删除
• 提供详细的变更报告，以便进行分析和故障排除

Netwrix 解决方案提供一套 强大的功能套件，用于实施文件完整性监控，以加强您的安全态势。具体而言，Netwrix Change Tracker 将：

• 监控系统中是否出现偏离标准配置的任何变更，并在发生偏移时立即通知你。
• 消除变更噪声，让运维团队能够专注于真正异常的事件。
• 以人类可读的格式，全面了解整个基础设施中关键系统文件的所有变更，包括谁在何时、在何地更改了什么等详细信息。
• 借助覆盖 CIS、NIST、PCI DSS、CMMC、STIG 和 NERC CIP 的 250+ 报告，减少合规报告所需的时间与精力。