整合 FIM 和 SIEM 解决方案

作为企业所有者或管理者，你必须投资高质量的安全软件，以保护你的关键文件和其他 IT 资产。主动的漏洞管理和实时威胁监控有助于将发生成本高昂的 数据泄露 以及停机的风险降到最低。精心制定的 审计策略 可以帮助你遵守诸如支付卡行业 Data Security 标准（PCI DSS）以及《健康保险携带和责任法案》（HIPAA）等要求。

全面的安全策略可以从 file integrity monitoring（FIM）和 security information and event management（SIEM）解决方案中获得显著收益。在某些情况下，整合 FIM 和 SIEM 解决方案还能提供更强的防护。

在本指南中，我们将探讨 FIM、SIEM 及其差异；讨论你应当是仅使用 SIEM 或 FIM，还是将两者集成；并说明 Netwrix 如何帮助你防御 IT 系统与敏感数据。

什么是 FIM？

文件完整性监控（File integrity monitoring，FIM）是对重要文件的变更进行跟踪的过程，包括新增、删除和移动，并提供有关谁进行了特定更改以及哪些属性发生了变化的详细信息。为确保文件完整性，FIM 通常会结合威胁情报服务使用哈希和校验和技术。

FIM 是一种必不可少的安全控制，因为它：

• 检测未经授权的变更 — 与常常对多态恶意软件、零日威胁以及 insider attacks 无感的防火墙和杀毒工具不同，FIM 提供 入侵检测：通过持续监控潜在危险的系统文件变更，识别可能表明存在持续性威胁的迹象。最佳的 FIM 解决方案会与组织的变更管理流程集成，以便仅对未计划且危险的变更发出告警。
• 防止数据丢失 — 当重要文件被删除、重命名或被篡改时，FIM 可以提醒你。通过及时纠正诸如偏离安全配置（drift）之类的问题，你可以最大限度降低威胁行为者获取 IT 系统和数据访问权限的风险。
• 有助于合规 — PCI DSS Requirement 11.5 要求企业至少每周对配置文件、关键系统文件和内容文件执行一次文件完整性监控，并就未经授权的变更向相关人员发出告警。
• 检测恶意软件 — FIM 能检测到已修改关键文件的恶意软件，从而让你可以快速将其移除并防止进一步的损害。
• 提供历史记录 — FIM 会记录对关键文件所做的更改，以便开展安全调查、故障排查、合规审计和数字取证。

什么是 SIEM？

安全信息与事件管理 软件旨在在 IT 生态系统中发现正在发生的威胁。SIEM 解决方案远不止是单纯的日志管理工具：它们会汇聚、关联并分析来自多种应用程序和设备的日志数据；对这些数据进行分析以揭示潜在的危险活动；并向安全团队发出警报。数据源可以包括防火墙、杀毒软件（AV）、入侵检测系统（IDS）和入侵防御系统（IPS），并可能涉及代理（agent）的使用。

SIEM 解决方案由三个关键要素组成：

• 安全事件关联（SEC）— 将来自各种来源的事件进行汇聚、规范化和优先级排序，以提供对安全活动的完整视图的过程
• 安全事件管理（SEM） — 在软件或系统中识别、收集、监控并报告与安全相关的事件的过程。
• 安全信息管理（Security information management，SIM）— 从计算机日志和其他数据源收集、监控并分析与安全相关的数据的做法

SIEM 与 FIM

既然你已经了解 SIEM 和 FIM 是什么，我们来重点对比它们的主要区别：

将 SIEM 用于 FIM 目的

SIEM 平台 可以提供基础级别的文件完整性监控。例如，它们可以检查系统和配置文件的变更情况，以发现指示木马或其他恶意软件的迹象。然而，这种策略往往会产生大量误报，导致安全团队无法专注于真正的安全威胁。

另一方面，独立部署的企业 FIM 不仅仅是报告简单变更，而是提供对系统安全配置的完整视图。它会在上下文中评估文件变更；例如，会考虑对 Group Policy setting 的更改是否削弱了安全性。企业 FIM 还会为每一次变更提供关键细节，例如该变更是计划内还是非计划内，以及是否符合加固构建标准。此外，它还会对包括数据库、服务器、工作站和防火墙在内的关键系统的安全配置进行快照呈现。

将 FIM 与 SIEM 集成的优势

FIM 与 SIEM 的 combination of FIM and SIEM 可以为监控和保护系统提供更全面的方法。将 FIM 与 SIEM 集成的 benefits of integrating FIM with SIEM 包括：

• 更好的威胁检测与响应 — 将 FIM 与 SIEM 集成可帮助你及时发现并响应威胁，从而最大限度地减少损失。
• 对变更相关上下文的更深入理解 — SIEM 集成会向网络安全人员展示 FIM 检测到的变更的上下文，从而便于开展调查。
• 零日恶意软件检测 — 结合 FIM 和 SIM，可以通过发现 AV、IDS 和 IPS 日志中的变更，并将其与其他事件关联起来，从而帮助您检测零日恶意软件。
• 减少噪声 — FIM 和 SIEM 搭配使用，可以更准确地聚焦真正的威胁，从而减少误报数量。这能最大程度降低警报疲劳的风险，并免除在调查期间手动浏览数百或数千条事件的负担。
• 满足合规要求 — 尽管 FIM 是许多合规法规中的关键要求，但 SIEM 解决方案通常会为合规审计提供预定义模板。因此，将 SIEM 和 FIM 解决方案结合在一起，有助于实现全面的合规覆盖。
• 增强韧性 — FIM 和 SIEM 搭配使用，能够帮助您主动降低漏洞，并在威胁的早期阶段及时发现与响应，从而更好地保护业务持续性。
• 更强的商业智能 — 最后， 结合 FIM 和 SIEM 将帮助您获得行为分析以及其他商业智能。您可以利用这些信息来制定战略，并指导技术投资。

Netwrix 如何提供帮助

Netwrix Change Tracker 是一款先进的 FIM 解决方案，具有：

• 通过消除强化基础设施过程中的猜测，让您更有把握地确认系统的安全性。
• 通过通知您 IT 系统中的所有不当变更，提供有效的威胁检测，而不会用大量误报淹没您。
• 提供详细的取证信息，帮助您快速开展调查，包括究竟更改了什么以及是谁进行了更改
• 为您提供通过合规审计所需的信息
• 支持云基础设施以及 Windows、macOS、Linux 和 Unix 设备

立即开始免费试用 亲自看看 Netwrix Change Tracker 如何帮助您的组织实现网络安全与网络韧性目标。