7 최고의 파일 무결성 모니터링 소프트웨어(2021년 검토)

IT 보안은 화두입니다. 뉴스는 보안 침해, 데이터 도난 또는 랜섬웨어에 대한 이야기로 넘쳐납니다. 어떤 사람들은 이 모든 것이 단순히 우리 시대의 징조라고 주장하지만 모든 종류의 IT 환경을 유지 관리해야 할 때 그러한 위협으로부터 보호하는 것이 작업의 중요한 부분이라는 사실은 변하지 않습니다.

이러한 이유로 FIM(파일 무결성 모니터링) 소프트웨어는 거의 모든 조직에 없어서는 안될 도구가 되었습니다. 주요 목적은 무단 또는 예기치 않은 파일 변경 사항을 신속하게 식별하는 것입니다. 이는 모든 회사에 중요하며 무시해서는 안 되는 전반적인 데이터 보안을 개선하는 데 도움이 될 수 있습니다.

오늘은 파일 무결성 모니터링에 대해 간단히 살펴보는 것으로 시작하겠습니다. 우리는 그것이 무엇이며 어떻게 작동하는지 간단한 용어로 설명하기 위해 최선을 다할 것입니다. 누가 사용해야 하는지도 살펴보겠습니다. 누구나 혜택을 받을 수 있다는 사실은 그리 놀라운 일이 아닐 것입니다. 우리는 그 방법과 이유를 알게 될 것입니다. 그리고 파일 무결성 모니터링에 대해 모두 같은 페이지에 있으면 이 게시물의 핵심으로 뛰어들어 시장에서 제공해야 하는 최고의 도구 중 일부를 간략하게 검토할 준비가 됩니다.

파일 무결성 모니터링이란 무엇입니까?

기본적으로 파일 무결성 모니터링은 IT 보안 관리 프로세스의 핵심 요소입니다. 그 이면의 주요 개념은 파일 시스템에 대한 모든 수정 사항을 설명하고 예기치 않은 수정 사항을 신속하게 식별하는 것입니다.

일부 시스템은 실시간으로 파일 무결성 모니터링을 제공하지만 성능에 더 큰 영향을 미치는 경향이 있으므로 스냅샷 기반 시스템이 선호되는 경우가 많습니다. 정기적인 간격으로 파일 시스템의 스냅샷을 생성하고 이를 이전 시스템 또는 이전에 설정된 기준과 비교하여 작동합니다. 탐지 기능(실시간 여부)에 관계 없이 일종의 무단 액세스 또는 악의적인 활동(예: 파일 크기의 갑작스러운 변경 또는 특정 사용자 또는 사용자 그룹의 액세스)을 제안하고 경고하는 모든 탐지된 변경 사항은 제기 및/또는 일부 형식 또는 수정 프로세스가 시작됩니다. 경고 창을 띄우는 것부터 백업에서 원본 파일을 복원하거나 위험에 처한 파일에 대한 액세스를 차단하는 것까지 다양합니다.

파일 무결성 모니터링은 누구를 위한 것입니까?

이 질문에 대한 빠른 대답은 누구에게나 있습니다. 실제로 모든 조직은 파일 무결성 모니터링 소프트웨어를 사용하여 이점을 얻을 수 있습니다. 그러나 많은 사람들이 의무화 된 상황에 있기 때문에 그것을 사용하기로 선택할 것입니다. 예를 들어 파일 무결성 모니터링 소프트웨어는 PCI DSS, Sarbanes-Oxley 또는 HIPAA와 같은 특정 규제 프레임워크에 의해 요구되거나 강력하게 표시됩니다. 구체적으로, 금융 또는 의료 분야에 있거나 지불 카드를 처리하는 경우 파일 무결성 모니터링은 선택 사항이라기보다 필수 사항입니다.

마찬가지로 필수 사항은 아니지만 민감한 정보를 다루는 모든 조직은 파일 무결성 모니터링 소프트웨어를 강력하게 고려해야 합니다. 클라이언트 데이터를 저장하든 영업 비밀을 저장하든 이러한 유형의 도구를 사용하면 분명한 이점이 있습니다. 그것은 모든 종류의 사고로부터 당신을 구할 수 있습니다.

그러나 파일 무결성 모니터링은 대규모 조직에만 해당되는 것은 아닙니다. 대기업과 중소기업 모두 파일 무결성 모니터링 소프트웨어의 중요성을 인식하는 경향이 있지만 중소기업도 반드시 고려해야 합니다. 모든 요구 사항과 예산에 맞는 파일 무결성 모니터링 도구가 있다는 점을 고려할 때 특히 그렇습니다. 실제로 목록에 있는 여러 도구는 무료이며 오픈 소스입니다.

최고의 파일 무결성 모니터링 소프트웨어

파일 무결성 모니터링 기능을 제공하는 수많은 도구가 있습니다. 그 중 일부는 기본적으로 다른 작업을 수행하지 않는 전용 도구입니다. 반면에 다른 보안 관련 기능과 함께 파일 무결성 모니터링을 통합하는 광범위한 IT 보안 솔루션도 있습니다. 우리는 목록에 두 종류의 도구를 모두 통합하려고 했습니다. 결국 파일 무결성 모니터링은 종종 다른 기능을 포함하는 IT 보안 관리 노력의 일부입니다. 그렇다면 통합 도구로 이동하지 않겠습니까?

1. SolarWinds 보안 이벤트 관리자(무료 평가판)

많은 네트워크 및 시스템 관리자는 SolarWinds에 익숙 합니다. 결국 회사는 약 20년 동안 최고의 도구를 만들어 왔습니다. SolarWinds Network Performance Monitor 라는 주력 제품 은 시장에서 가장 우수한 도구 중 하나로 간주됩니다. 또한 상황을 더욱 개선하기 위해 SolarWinds 는 일부 특정 네트워크 관리 작업을 처리하는 무료 도구도 게시합니다.

하지만 솔라 윈즈는 전용 파일 무결성 모니터링 도구가되지 않습니다, 자사의 보안 정보 및 이벤트 관리 (SIEM) 도구는 솔라 윈즈 보안 이벤트 관리자는 , 아주 좋은 파일 무결성 모니터링 모듈이 포함되어 있습니다. 이 제품은 확실히 시장에서 최고의 보급형 SIEM 시스템 중 하나입니다. 이 도구에는 SIEM 도구에서 기대할 수 있는 거의 모든 것이 있습니다. 여기에는 뛰어난 로그 관리 및 상관 관계 기능은 물론 인상적인 보고 엔진과 파일 무결성 모니터링이 포함됩니다.

무료 평가판: SolarWinds 보안 이벤트 관리자

공식 다운로드 링크: https://www.solarwinds.com/security-event-manager/registration

파일 무결성 모니터링과 관련하여 SolarWinds Security Event Manager 는 어떤 사용자가 어떤 파일 변경에 책임이 있는지 보여줄 수 있습니다. 또한 추가 사용자 활동을 추적하여 다양한 경고 및 보고서를 생성할 수 있습니다. 도구의 홈페이지 사이드바는 변경 관리 헤더 아래에 발생한 변경 이벤트 수를 표시할 수 있습니다. 뭔가 의심스러워 보이고 더 깊이 파고 싶을 때마다 키워드별로 이벤트를 필터링할 수 있는 옵션이 있습니다.

이 도구는 또한 아무것도 남기지 않는 우수한 이벤트 응답 기능을 자랑합니다. 예를 들어, 상세한 실시간 대응 시스템은 모든 위협에 능동적으로 대응할 것입니다. 또한 서명이 아닌 동작을 기반으로 하기 때문에 알려지지 않았거나 미래의 위협과 제로 데이 공격으로부터 보호됩니다.

인상적인 기능 세트 외에도 SolarWinds Security Event Manager 의 대시보드는 확실히 논의할 가치가 있습니다. 단순한 디자인 덕분에 도구 주변에서 길을 찾고 이상 징후를 신속하게 식별하는 데 문제가 없습니다. 약 $4,500부터 시작하는 이 도구는 저렴합니다. 사용해보고 사용자 환경에서 작동하는 방식을 확인하려면 모든 기능을 갖춘 무료 30일 평가판을 다운로드할 수 있습니다.

공식 다운로드 링크: https://www.solarwinds.com/security-event-manager/registration

2. OSSEC

OSSEC 는 Open Source Security의 약자로 가장 잘 알려진 오픈 소스 호스트 기반 침입 탐지 시스템 중 하나입니다. 이 제품은 IT 보안 분야의 선두주자이자 최고의 바이러스 보호 제품군 중 하나인 Trend Micro 가 소유하고 있습니다. 제품이 이 목록에 있는 경우 파일 무결성 모니터링 기능도 매우 우수하므로 안심하십시오.

Linux 또는 Mac OS 운영 체제에 설치된 경우 소프트웨어는 주로 로그 및 구성 파일에 중점을 둡니다. 중요한 파일의 체크섬을 생성하고 주기적으로 유효성을 검사하여 이상한 일이 발생할 때마다 알려줍니다. 또한 루트 액세스 권한을 얻으려는 비정상적인 시도를 모니터링하고 경고합니다. Windows 호스트에서 시스템은 악의적인 활동의 징후가 될 수 있는 무단 레지스트리 수정도 감시합니다.

파일 무결성 모니터링과 관련하여 OSSEC 에는 Syscheck 라는 특정 기능이 있습니다 . 이 도구는 기본적으로 6시간마다 실행되며 키 파일의 체크섬 변경 사항을 확인합니다. 이 모듈은 CPU 사용량을 줄이도록 설계되어 설치 공간이 작은 파일 무결성 관리 솔루션이 필요한 조직에 잠재적으로 좋은 옵션이 됩니다.

호스트 기반 침입 탐지 시스템이기 때문에 OSSEC 는 보호하려는 각 컴퓨터(또는 서버)에 설치되어야 합니다. 이것이 이러한 시스템의 주요 단점입니다. 그러나 보다 쉬운 관리를 위해 보호된 각 컴퓨터의 정보를 통합하는 중앙 집중식 콘솔을 사용할 수 있습니다. 해당 OSSEC 콘솔은 Linux 또는 Mac OS 운영 체제에서만 실행됩니다. 그러나 에이전트는 Windows 호스트를 보호하는 데 사용할 수 있습니다. 모든 탐지는 알림이 이메일로도 전송되는 동안 중앙 콘솔에 표시되는 경고를 트리거합니다.

3. Samhain 파일 무결성

Samhain 은 파일 무결성 검사 및 로그 파일 모니터링/분석을 제공하는 무료 호스트 침입 탐지 시스템입니다. 또한 이 제품은 루트킷 탐지, 포트 모니터링, 악성 SUID 실행 파일 탐지 및 숨겨진 프로세스도 수행합니다. 이 도구는 중앙 집중식 로깅 및 유지 관리를 통해 다양한 운영 체제를 사용하는 여러 시스템을 모니터링하도록 설계되었습니다. 그러나 Samhain 은 단일 컴퓨터에서 독립 실행형 응용 프로그램으로 사용할 수도 있습니다. 이 도구는 Unix , Linux 또는 Mac OS 와 같은 POSIX 시스템에서 실행할 수 있습니다 . 서버가 아닌 모니터링 에이전트만 해당 구성에서 테스트되었지만 Cygwin의 Windows 에서 실행할 수도 있습니다.

Linux 호스트에서 S amhain 은 inotify 메커니즘을 활용하여 파일 시스템 이벤트를 모니터링할 수 있습니다. 실시간으로 변경 사항에 대한 즉각적인 알림을 받을 수 있으며 높은 I/O 로드를 유발할 수 있는 빈번한 파일 시스템 스캔이 필요하지 않습니다. 또한 TIGER192, SHA-256, SHA-1, MD5 등 다양한 체크섬을 확인할 수 있습니다. 파일 크기, 모드/권한, 소유자, 그룹, 타임스탬프(생성/수정/접근), inode, 하드링크 개수, 심볼릭 링크 연결 경로 등도 확인할 수 있다. 이 도구는 SELinux 속성, POSIX ACL(이를 지원하는 시스템에서), Linux ext2 파일 속성(불변 플래그와 같이 chattr에 의해 설정됨) 및 BSD 파일 플래그와 같은 더 "이국적인" 속성을 확인할 수도 있습니다.

Samhain 의 고유한 기능 중 하나는 최종 공격자에게 탐지되지 않고 실행할 수 있는 스텔스 모드입니다. 너무 자주 침입자는 자신이 인식하는 탐지 프로세스를 중단하여 눈에 띄지 않게 합니다. 이 도구는 스테가노그래피 기술을 사용하여 다른 사람에게 프로세스를 숨깁니다. 또한 변조를 방지하기 위해 PGP 키로 중앙 로그 파일 및 구성 백업을 보호합니다. 전반적으로 이것은 단순한 파일 무결성 모니터링 그 이상을 제공하는 매우 완벽한 도구입니다.

4. Tripwire 파일 무결성 관리자

다음은 IT 보안 분야에서 확고한 명성을 누리고 있는 회사인 Tripwire 의 솔루션입니다 . 그리고 파일 무결성 모니터링과 관련하여 Tripwire 파일 무결성 관리자 ( FIM )는 감지된 변경 사항을 평가, 우선 순위 지정 및 조정하면서 고위험 변경 사항에서 저위험 변경 사항을 제거하는 다양한 방법을 제공하여 노이즈를 줄이는 고유한 기능을 가지고 있습니다. 이 도구는 다양한 일상적인 변경 사항을 자동으로 승격하여 소음을 줄여 보안에 진정으로 영향을 미치고 위험을 초래할 수 있는 변경 사항을 조사하는 데 더 많은 시간을 할애할 수 있습니다. 트립와이어 FIM에이전트를 사용하여 실시간으로 누가, 무엇을, 언제 세부 정보를 지속적으로 캡처합니다. 이렇게 하면 모든 변경 사항을 감지하고, 각 변경 사항에 대한 세부 정보를 캡처하고, 해당 세부 정보를 사용하여 보안 위험 또는 비준수를 확인할 수 있습니다.

Tripwire 는 파일 무결성 관리자 를 보안 구성 관리(SCM), 로그 관리 및 SIEM 도구와 같은 많은 보안 제어와 통합할 수 있는 기능을 제공합니다 . Tripwire FIM 은 이러한 컨트롤의 데이터에 태그를 지정하고 관리하는 구성 요소를 추가하여 데이터를 보다 직관적으로 보호하는 방식으로 관리합니다. 예를 들어, 이벤트 통합 프레임워크 ( EIF )는 파일 무결성 관리자 에서 Tripwire Log Center 또는 거의 모든 다른 SIEM으로 중요한 변경 데이터를 추가합니다 . 함께 EIF 및 기타 기초 트립 와이어 보안 통제, 당신은 쉽고 효율적으로 IT 인프라의 보안을 관리 할 수 있습니다.

Tripwire 파일 무결성 관리자 는 자동화를 사용하여 모든 변경 사항을 감지하고 정책에서 구성을 제거하는 변경 사항을 수정합니다. 이 같은 기존의 변화 발권 시스템과 통합 할 수 있습니다 BMC 해결 , HP 서비스 센터 또는 서비스 이제 , 빠른 감사를 허용. 이것은 또한 추적성을 보장합니다. 또한 자동화된 경고는 하나 이상의 특정 변경 사항이 하나의 변경 사항만으로는 발생하지 않는 심각도 임계값에 도달할 때 사용자 지정 응답을 트리거합니다. 예를 들어, 계획된 변경 창 밖에서 수행된 권한 변경과 함께 사소한 콘텐츠 변경이 있습니다.

5. AFICK(또 다른 파일 무결성 검사기)

다음은 AFICK(Another File Integrity Checker) 라는 개발자 Eric Gerbier의 오픈 소스 도구입니다 . 이 도구는 Tripwire와 유사한 기능을 제공한다고 주장하지만 훨씬 더 조잡한 제품으로 기존의 오픈 소스 소프트웨어에 가깝습니다. 이 도구는 감시하는 파일 시스템의 모든 변경 사항을 모니터링할 수 있습니다. Linux(SUSE, Redhat, Debian 등), Windows, HP Tru64 Unix, HP-UX 및 AIX와 같은 여러 플랫폼을 지원합니다. 이 소프트웨어는 빠르고 휴대가 용이하도록 설계되었으며 Perl 및 해당 표준 모듈을 지원하는 모든 컴퓨터에서 작동할 수 있습니다.

에 관해서는 AFICK 의 기능, 여기의 주요 기능에 대한 개요입니다. 이 도구는 설치가 쉽고 컴파일이나 많은 종속성의 설치가 필요하지 않습니다. 또한 부분적으로 작은 크기로 인해 빠른 도구입니다. 작은 크기에도 불구하고 새 파일, 삭제 및 수정된 파일과 댕글링 링크를 표시합니다. 예외 및 조커를 지원하는 간단한 텍스트 기반 구성 파일을 사용하고 Tripwire 또는 Aide와 매우 유사한 구문을 사용합니다. 명령줄 도구를 사용하지 않으려면 Tk 기반 그래픽 사용자 인터페이스와 webmin 기반 웹 인터페이스를 모두 사용할 수 있습니다.

AFICK(또 다른 파일 무결성 검사기) 는 이식성과 소스 액세스를 위해 완전히 Perl로 작성되었습니다. 그리고 이것은 오픈 소스(GNU 일반 공중 사용 허가서에 따라 배포됨)이므로 필요에 따라 자유롭게 기능을 추가할 수 있습니다. 이 도구는 빠르고 모든 Perl 배포판에 내장되어 있으며 일반 텍스트 데이터베이스 대신 dbm이 사용되기 때문에 체크섬 요구 사항에 MD5를 사용합니다.

6. AIDE(고급 침입 탐지 환경)

다소 오해의 소지가 있는 이름에도 불구하고 AIDE(Advanced Intrusion Detection Environment) 는 실제로 파일 및 디렉터리 무결성 검사기입니다. 구성 파일에서 찾은 정규식 규칙에서 데이터베이스를 생성하여 작동합니다. 데이터베이스가 초기화되면 이를 사용하여 파일의 무결성을 확인합니다. 이 도구는 파일의 무결성을 확인하는 데 사용할 수 있는 여러 메시지 다이제스트 알고리즘을 사용합니다. 또한 모든 일반적인 파일 속성에 불일치가 있는지 확인할 수 있습니다. 또한 이전 또는 최신 버전의 데이터베이스를 읽을 수도 있습니다.

기능 면에서 AIDE 는 평가자가 완벽합니다. md5, sha1, rmd160, Tiger, crc32, sha256, sha512 및 월풀과 같은 여러 메시지 다이제스트 알고리즘을 지원합니다. 이 도구는 파일 유형, 권한, Inode, Uid, Gid, 링크 이름, 크기, 블록 수, 링크 수, Mtime, Ctime 및 Atime을 포함한 여러 파일 속성을 확인할 수 있습니다. 또한 Posix ACL, SELinux, XAttrs 및 확장 파일 시스템 속성을 지원할 수 있습니다. 단순성을 위해 이 도구는 일반 텍스트 구성 파일과 일반 텍스트 데이터베이스를 사용합니다. 가장 흥미로운 기능 중 하나는 모니터링할 파일과 디렉토리를 선택적으로 포함하거나 제외할 수 있는 강력한 정규식 지원입니다. 이 기능만으로도 매우 다양하고 유연한 도구가 됩니다.

1999년부터 나온 제품은 여전히 ​​활발히 개발되고 있으며 최신 버전(0.16.2)은 출시된 지 몇 개월도 되지 않았습니다. GNU 일반 공중 라이선스에 따라 사용할 수 있으며 대부분의 최신 Linux 변형에서 실행됩니다.

7. 품질 파일 무결성 모니터링

보안 대기업 Qualys의 Qualys 파일 무결성 모니터링 은 "정상 및 악의적인 이벤트로 인한 중요한 변경, 사고 및 위험을 감지하고 식별하기 위한 클라우드 솔루션"입니다. 업계 모범 사례와 PCI DSS를 포함한 일반적인 규정 준수 및 감사 요구 사항에 대한 공급업체 권장 지침을 기반으로 하는 즉시 사용 가능한 프로필과 함께 제공됩니다.

Qualys 파일 무결성 모니터링 은 안티바이러스 기술에서 사용되는 유사한 접근 방식을 사용하여 실시간으로 변경 사항을 효율적으로 감지합니다. 변경 알림은 전체 디렉토리 구조 또는 파일 수준에서 생성할 수 있습니다. 이 도구는 컴퓨팅 집약적 접근 방식에 의존하는 대신 기존 OS 커널 신호를 사용하여 액세스된 파일을 식별합니다. 제품은 파일 또는 디렉토리의 생성 또는 제거, 파일 또는 디렉토리의 이름 변경, 파일 속성 변경, 권한, 소유권, 상속, 감사와 같은 파일 또는 디렉토리 보안 설정에 대한 변경을 감지할 수 있습니다. 디스크.

다층 제품입니다. 퀄리스 클라우드 에이전트는 지속적으로 파일과 모니터링 프로파일에 지정된 디렉토리를 모니터링하고 프로세스가 변화에 연루 등 어떤 사용자와 어떤로 환경 세부 사항과 함께 변경 어떤 도움에 중요한 데이터를 식별을 캡처합니다. 그런 다음 분석 및 보고를 위해 데이터를 Qualys Cloud Platform으로 보냅니다 . 이 접근 방식의 장점 중 하나는 시스템이 온프레미스, 클라우드 또는 원격에 관계없이 동일하게 작동한다는 것입니다.

기존 Qualys A 에이전트 에서 파일 무결성 모니터링을 쉽게 활성화 하고 엔드포인트에 대한 영향을 최소화하면서 로컬에서 변경 모니터링을 시작할 수 있습니다. 퀄리스의 클라우드 플랫폼은 쉽게 가장 큰 환경으로 확장 할 수 있습니다. 파일 변경 사항을 로컬에서 효율적으로 모니터링하고 모든 무거운 분석 및 상관 관계 작업이 발생 하는 Qualys Cloud Platform으로 데이터를 전송하여 모니터링되는 엔드포인트에 대한 성능 영향을 최소화 합니다. 에 관해서는 퀄리스 (Qualys) 클라우드 에이전트 , 그것은 다시 부팅 할 필요없이 최신 상태로 자신을 유지하는 자기 갱신과 자기 치유입니다.