7 Beste software voor het bewaken van bestandsintegriteit (2021 Review)

IT-beveiliging is een hot topic. Het nieuws barst van de verhalen over beveiligingsinbreuken, gegevensdiefstal of ransomware. Sommigen zullen beweren dat dit allemaal gewoon een teken van onze tijd is, maar het verandert niets aan het feit dat wanneer je een IT-omgeving moet onderhouden, bescherming tegen dergelijke bedreigingen een belangrijk onderdeel van het werk is.

Om die reden is File Integrity Monitoring (FIM)-software bijna een onmisbaar hulpmiddel geworden voor elke organisatie. Het primaire doel is ervoor te zorgen dat ongeoorloofde of onverwachte bestandswijzigingen snel worden geïdentificeerd. Het kan helpen de algehele gegevensbeveiliging te verbeteren, wat belangrijk is voor elk bedrijf en niet mag worden genegeerd.

Vandaag beginnen we met een korte blik op File Integrity Monitoring. We zullen ons best doen om in eenvoudige bewoordingen uit te leggen wat het is en hoe het werkt. We zullen ook bekijken wie het zou moeten gebruiken. Het zal hoogstwaarschijnlijk niet als een grote verrassing komen om te ontdekken dat iedereen ervan kan profiteren en we zullen zien hoe en waarom. En zodra we allemaal op dezelfde pagina staan ​​over File Integrity Monitoring, zijn we klaar om in de kern van dit bericht te duiken en kort enkele van de beste tools die de markt te bieden heeft te bespreken.

Wat is bestandsintegriteitsbewaking?

In de kern is het bewaken van de bestandsintegriteit een belangrijk onderdeel van een IT-beveiligingsbeheerproces. Het belangrijkste concept erachter is ervoor te zorgen dat er rekening wordt gehouden met elke wijziging aan een bestandssysteem en dat elke onverwachte wijziging snel wordt geïdentificeerd.

Hoewel sommige systemen realtime monitoring van de bestandsintegriteit bieden, heeft dit meestal een grotere impact op de prestaties. Om die reden wordt vaak de voorkeur gegeven aan een op snapshots gebaseerd systeem. Het werkt door met regelmatige tussenpozen een momentopname van een bestandssysteem te maken en dit te vergelijken met het vorige of met een eerder vastgestelde basislijn. Ongeacht hoe de detectie functioneert (realtime of niet), elke gedetecteerde wijziging die een soort van ongeautoriseerde toegang of kwaadaardige activiteit suggereert (zoals een plotselinge verandering in bestandsgrootte of toegang door een specifieke gebruiker of groep gebruikers) en waarschuwing is verhoogd en/of een vorm of herstelproces wordt gestart. Het kan variëren van het openen van een waarschuwingsvenster tot het herstellen van het originele bestand vanaf een back-up of het blokkeren van de toegang tot het bedreigde bestand.

Voor wie is bestandsintegriteitsbewaking bedoeld?

Het snelle antwoord op deze vraag is iedereen. Echt, elke organisatie kan profiteren van het gebruik van File Integrity Monitoring-software. Velen zullen er echter voor kiezen om het te gebruiken omdat ze zich in een situatie bevinden waarin het verplicht is. File Integrity Monitoring-software is bijvoorbeeld vereist of sterk aanbevolen door bepaalde regelgevende kaders zoals PCI DSS, Sarbanes-Oxley of HIPAA. Concreet, als je in de financiële of zorgsector zit, of als je betaalkaarten verwerkt, is File Integrity Monitoring meer een vereiste dan een optie.

Evenzo, hoewel het misschien niet verplicht is, zou elke organisatie die met gevoelige informatie te maken heeft, sterk moeten overwegen om software voor bestandsintegriteitsbewaking te overwegen. Of u nu klantgegevens of handelsgeheimen opslaat, het gebruik van dit soort tools heeft een duidelijk voordeel. Het kan je behoeden voor allerlei ongelukken.

Maar File Integrity Monitoring is niet alleen voor grote organisaties. Hoewel zowel grote ondernemingen als middelgrote bedrijven zich vaak bewust zijn van het belang van software voor bestandsintegriteitsbewaking, zouden kleine bedrijven dit zeker ook moeten overwegen. Dit is met name het geval als u er rekening mee houdt dat er hulpprogramma's voor bestandsintegriteitscontrole zijn die bij elke behoefte en elk budget passen. In feite zijn verschillende tools op onze lijst gratis en open-source.

De beste software voor het bewaken van bestandsintegriteit

Er zijn talloze tools die File Integrity Monitoring-functionaliteit bieden. Sommigen van hen zijn speciale tools die in principe niets anders doen. Sommige daarentegen zijn een brede IT-beveiligingsoplossing die File Integrity Monitoring samen met andere beveiligingsgerelateerde functionaliteit integreert. We hebben geprobeerd beide soorten tools op onze lijst op te nemen. File Integrity Monitoring maakt immers vaak deel uit van een inspanning voor IT-beveiligingsbeheer die andere functies omvat. Waarom dan niet voor een geïntegreerde tool gaan?

1. SolarWinds Security Event Manager (GRATIS PROEF)

Veel netwerk- en systeembeheerders zijn bekend met SolarWinds . Het bedrijf maakt tenslotte al zo'n twintig jaar enkele van de beste tools. Het vlaggenschipproduct, de SolarWinds Network Performance Monitor genaamd, wordt beschouwd als een van de beste tools op de markt. En om het nog beter te maken, publiceert SolarWinds ook gratis tools die een aantal specifieke netwerkbeheertaken aanpakken.

Hoewel SolarWinds geen speciale tool voor het bewaken van de bestandsintegriteit maakt, bevat zijn Security Information and Event Management (SIEM) -tool , de SolarWinds Security Event Manager , een zeer goede module voor het bewaken van de bestandsintegriteit. Dit product is absoluut een van de beste SIEM-systemen op instapniveau op de markt. De tool heeft bijna alles wat je van een SIEM-tool mag verwachten. Dit omvat uitstekend logbeheer en correlatiefuncties, evenals een indrukwekkende rapportage-engine en, natuurlijk, bewaking van de bestandsintegriteit.

GRATIS PROEF: SolarWinds Security Event Manager

Officiële downloadlink: https://www.solarwinds.com/security-event-manager/registration

Als het gaat om het bewaken van bestandsintegriteit, kan de SolarWinds Security Event Manager laten zien welke gebruikers verantwoordelijk zijn voor welke bestandswijzigingen. Het kan ook extra gebruikersactiviteiten volgen, zodat u verschillende waarschuwingen en rapporten kunt maken. De zijbalk op de startpagina van de tool kan weergeven hoeveel wijzigingsgebeurtenissen hebben plaatsgevonden onder de kop Wijzigingsbeheer. Wanneer iets er verdacht uitziet en je dieper wilt graven, heb je de mogelijkheid om gebeurtenissen op trefwoord te filteren.

De tool beschikt ook over uitstekende reactiefuncties voor gebeurtenissen die niets te wensen overlaten. Zo zal het gedetailleerde realtime responssysteem actief reageren op elke dreiging. En aangezien het is gebaseerd op gedrag in plaats van handtekening, bent u beschermd tegen onbekende of toekomstige bedreigingen en zero-day-aanvallen.

Naast een indrukwekkende functieset is het dashboard van de SolarWinds Security Event Manager zeker het bespreken waard. Dankzij het eenvoudige ontwerp zult u geen moeite hebben om uw weg te vinden in de tool en snel afwijkingen te identificeren. Vanaf ongeveer $ 4 500 is de tool meer dan betaalbaar. En als u het wilt proberen en wilt zien hoe het in uw omgeving werkt, kunt u een gratis, volledig functionele proefversie van 30 dagen downloaden.

Officiële downloadlink: https://www.solarwinds.com/security-event-manager/registration

2. OSSEC

OSSEC , wat staat voor Open Source Security, een van de bekendste open-source hostgebaseerde inbraakdetectiesystemen. Het product is eigendom van Trend Micro , een van de toonaangevende namen op het gebied van IT-beveiliging en maker van een van de beste virusbeschermingssuites. En als het product op deze lijst staat, kunt u er zeker van zijn dat het ook een zeer degelijke functionaliteit voor het bewaken van de bestandsintegriteit heeft.

Wanneer geïnstalleerd op Linux- of Mac OS-besturingssystemen, richt de software zich voornamelijk op log- en configuratiebestanden. Het maakt controlesommen van belangrijke bestanden en valideert deze periodiek, zodat u wordt gewaarschuwd wanneer er iets vreemds gebeurt. Het zal ook elke abnormale poging om root-toegang te krijgen controleren en waarschuwen. Op Windows-hosts houdt het systeem ook een oogje in het zeil voor ongeoorloofde registerwijzigingen die een verklikkersignaal kunnen zijn van kwaadaardige activiteit.

Als het gaat om het bewaken van bestandsintegriteit, heeft OSSEC een specifieke functionaliteit genaamd Syscheck . De tool wordt standaard elke zes uur uitgevoerd en controleert op wijzigingen in de controlesommen van sleutelbestanden. De module is ontworpen om het CPU-gebruik te verminderen, waardoor het een potentieel goede optie is voor organisaties die een oplossing voor bestandsintegriteitsbeheer nodig hebben met een kleine footprint.

Omdat het een host-gebaseerd inbraakdetectiesysteem is, moet OSSEC worden geïnstalleerd op elke computer (of server) die u wilt beschermen. Dit is het belangrijkste nadeel van dergelijke systemen. Er is echter een gecentraliseerde console beschikbaar die informatie van elke beveiligde computer consolideert voor eenvoudiger beheer. Die OSSEC- console draait alleen op Linux- of Mac OS-besturingssystemen. Er is echter een agent beschikbaar om Windows-hosts te beschermen. Elke detectie activeert een waarschuwing die wordt weergegeven op de gecentraliseerde console, terwijl meldingen ook per e-mail worden verzonden.

3. Samhain-bestandsintegriteit

Samhain is een gratis host-intrusion-detectiesysteem dat controle op de integriteit van bestanden en monitoring/analyse van logbestanden biedt. Daarnaast voert het product ook rootkit-detectie, poortmonitoring, detectie van frauduleuze SUID-uitvoerbare bestanden en verborgen processen uit. Deze tool is ontworpen om meerdere systemen met verschillende besturingssystemen te bewaken met gecentraliseerde logboekregistratie en onderhoud. Echter, Samhain kan ook worden gebruikt als een stand-alone applicatie op een enkele computer. De tool kan draaien op POSIX-systemen zoals Unix , Linux of Mac OS . Het kan ook op Windows draaien onder Cygwin, hoewel alleen de bewakingsagent en niet de server in die configuratie is getest.

Op Linux-hosts kan S amhain het inotify-mechanisme gebruiken om bestandssysteemgebeurtenissen te bewaken. In realtime Hierdoor kunt u onmiddellijke meldingen ontvangen over wijzigingen en hoeft u niet vaak naar het bestandssysteem te scannen, wat een hoge I/O-belasting kan veroorzaken. Daarnaast kunnen verschillende checksums worden gecontroleerd zoals TIGER192, SHA-256, SHA-1 of MD5. Bestandsgrootte, modus/toestemming, eigenaar, groep, tijdstempel (creatie/wijziging/toegang), inode, aantal harde links en gekoppeld pad van symbolische links kunnen ook worden gecontroleerd. De tool kan zelfs meer "exotische" eigenschappen controleren, zoals SELinux-attributen, POSIX ACL's (op systemen die ze ondersteunen), Linux ext2-bestandsattributen (zoals ingesteld door chattr zoals de onveranderlijke vlag), en de BSD-bestandsvlaggen.

Een van de unieke kenmerken van Samhain is de stealth-modus waarmee het kan worden uitgevoerd zonder te worden gedetecteerd door eventuele aanvallers. Te vaak doden indringers detectieprocessen die ze herkennen, waardoor ze onopgemerkt blijven. Deze tool gebruikt steganografietechnieken om zijn processen voor anderen te verbergen. Het beschermt ook de centrale logbestanden en configuratieback-ups met een PGP-sleutel om manipulatie te voorkomen. Over het algemeen is dit een zeer complete tool die veel meer biedt dan alleen het bewaken van de bestandsintegriteit.

4. Tripwire-bestandsintegriteitsmanager

De volgende is een oplossing van Tripwire , een bedrijf dat een solide reputatie geniet op het gebied van IT-beveiliging. En als het gaat om het bewaken van bestandsintegriteit, heeft Tripwire File Integrity Manager ( FIM ) de unieke mogelijkheid om ruis te verminderen door meerdere manieren te bieden om wijzigingen met een laag risico te verwijderen van die met een hoog risico, terwijl gedetecteerde wijzigingen worden beoordeeld, geprioriteerd en met elkaar in overeenstemming worden gebracht. Door automatisch tal van business-as-usual wijzigingen te promoten, vermindert de tool de ruis, zodat u meer tijd heeft om wijzigingen te onderzoeken die echt van invloed kunnen zijn op de beveiliging en risico's met zich meebrengen. Tripwire FIMgebruikt agenten om continu in realtime volledige wie, wat en wanneer details vast te leggen. Dit helpt ervoor te zorgen dat u alle wijzigingen detecteert, details over elke wijziging vastlegt en die details gebruikt om het beveiligingsrisico of niet-naleving te bepalen.

Tripwire biedt u de mogelijkheid om File Integrity Manager te integreren met veel van uw beveiligingscontroles: beveiligingsconfiguratiebeheer (SCM), logbeheer en SIEM-tools. Tripwire FIM voegt componenten toe die de gegevens van deze bedieningselementen intuïtiever taggen en beheren en op manieren die de gegevens beter beschermen. Het Event Integration Framework ( EIF ) voegt bijvoorbeeld waardevolle wijzigingsgegevens van File Integrity Manager toe aan Tripwire Log Center of bijna elke andere SIEM. Met EIF en andere fundamentele beveiligingscontroles van Tripwire kunt u de beveiliging van uw IT-infrastructuur eenvoudig en effectief beheren.

Tripwire File Integrity Manager maakt gebruik van automatisering om alle wijzigingen te detecteren en de wijzigingen te herstellen die een configuratie uit het beleid halen. Het kan worden geïntegreerd met bestaande change ticketing-systemen zoals BMC Remedy , HP Service Center of Service Now , waardoor een snelle audit mogelijk is. Dit zorgt ook voor traceerbaarheid. Bovendien activeren geautomatiseerde waarschuwingen door de gebruiker aangepaste reacties wanneer een of meer specifieke wijzigingen een ernstdrempel bereiken die één wijziging alleen niet zou veroorzaken. Bijvoorbeeld een kleine inhoudswijziging die gepaard gaat met een machtigingswijziging die buiten een geplande wijzigingsperiode is uitgevoerd.

5. AFICK (nog een bestandsintegriteitscontrole)

De volgende is een open-source tool van ontwikkelaar Eric Gerbier genaamd AFICK (Another File Integrity Checker) . Hoewel de tool beweert vergelijkbare functionaliteit te bieden als Tripwire, is het een veel ruwer product, veel in de lijn van traditionele open-sourcesoftware. De tool kan eventuele wijzigingen in de bestandssystemen die het bekijkt, volgen. Het ondersteunt meerdere platforms zoals Linux (SUSE, Redhat, Debian en meer), Windows, HP Tru64 Unix, HP-UX en AIX. De software is ontworpen om snel en draagbaar te zijn en kan op elke computer werken die Perl en zijn standaardmodules ondersteunt.

Wat betreft de functionaliteit van de AFICK , hier is een overzicht van de belangrijkste functies. De tool is eenvoudig te installeren en vereist geen compilatie of de installatie van veel afhankelijkheden. Mede door zijn kleine formaat is het ook een snel stuk gereedschap. Ondanks zijn kleine formaat zal het nieuwe, verwijderde en gewijzigde bestanden weergeven, evenals loshangende links. Het gebruikt een eenvoudig op tekst gebaseerd configuratiebestand dat uitzonderingen en jokers ondersteunt en gebruikt een syntaxis die erg lijkt op die van Tripwire of Aide. Zowel een op Tk gebaseerde grafische gebruikersinterface als een op webmin gebaseerde webinterface zijn beschikbaar als u liever wegblijft van een opdrachtregelprogramma.

AFICK (Another File Integrity Checker) is volledig in Perl geschreven voor draagbaarheid en brontoegang . En aangezien het open-source is (uitgebracht onder GNU General Public License), staat het u vrij om er functionaliteit aan toe te voegen zoals u wilt. De tool gebruikt MD5 voor zijn checksum-behoeften, omdat het snel is en het is ingebouwd in alle Perl-distributies en in plaats van een database met duidelijke tekst te gebruiken, wordt dbm gebruikt.

6. AIDE (Advanced Intrusion Detection Environment)

Ondanks een nogal misleidende naam, is AIDE (Advanced Intrusion Detection Environment) eigenlijk een integriteitscontrole voor bestanden en mappen. Het werkt door een database te maken op basis van de regels voor reguliere expressies die het vindt in het configuratiebestand. Nadat de database is geïnitialiseerd, wordt deze gebruikt om de integriteit van bestanden te verifiëren. De tool gebruikt verschillende algoritmen voor het samenvatten van berichten die kunnen worden gebruikt om de integriteit van de bestanden te controleren. Bovendien kunnen alle gebruikelijke bestandskenmerken worden gecontroleerd op inconsistenties. Het kan ook databases van oudere of nieuwere versies lezen.

Feature-wise, AIDE is rater voltooid. Het ondersteunt meerdere message digest-algoritmen zoals md5, sha1, rmd160, tiger, crc32, sha256, sha512 en whirlpool. De tool kan verschillende bestandskenmerken controleren, waaronder bestandstype, machtigingen, Inode, Uid, Gid, linknaam, grootte, aantal blokken, aantal links, Mtime, Ctime en Atime. Het kan ook Posix ACL, SELinux, XAttrs en Extended bestandssysteemkenmerken ondersteunen. Omwille van de eenvoud gebruikt de tool zowel platte tekst-configuratiebestanden als een database met platte tekst. Een van de meest interessante functies is de ondersteuning van krachtige reguliere expressies, waardoor u selectief bestanden en mappen kunt opnemen of uitsluiten die moeten worden gecontroleerd. Alleen al deze functie maakt het een zeer veelzijdig en flexibel hulpmiddel.

Het product, dat al sinds 1999 bestaat, is nog volop in ontwikkeling en de nieuwste versie (0.16.2) is pas een paar maanden oud. Het is beschikbaar onder de algemene openbare GNU-licentie en het zal op de meeste moderne varianten van Linux draaien.

7. Qualys-bestandsintegriteitsbewaking

Qualys File Integrity Monitoring van beveiligingsgigant Qualys is een "cloudoplossing voor het detecteren en identificeren van kritieke wijzigingen, incidenten en risico's als gevolg van normale en kwaadaardige gebeurtenissen." Het wordt geleverd met kant-en-klare profielen die zijn gebaseerd op de best practices in de branche en op door leveranciers aanbevolen richtlijnen voor algemene nalevings- en auditvereisten, waaronder PCI DSS.

Qualys File Integrity Monitoring detecteert wijzigingen efficiënt in realtime, met behulp van vergelijkbare benaderingen die worden gebruikt in antivirustechnologieën. Wijzigingsmeldingen kunnen worden gemaakt voor volledige directorystructuren of op bestandsniveau. De tool gebruikt bestaande OS-kernelsignalen om geopende bestanden te identificeren, in plaats van te vertrouwen op rekenintensieve benaderingen. Het product kan het aanmaken of verwijderen van bestanden of directory's, het hernoemen van bestanden of directory's, wijzigingen in bestandskenmerken, wijzigingen in beveiligingsinstellingen voor bestanden of directory's, zoals machtigingen, eigendom, overerving en controle of wijzigingen in bestandsgegevens die op de schijf.

Het is een product met meerdere lagen. De Qualys Cloud Agent bewaakt continu de bestanden en mappen die zijn gespecificeerd in uw monitoringprofiel en legt kritieke gegevens vast om te helpen identificeren wat er is veranderd, samen met omgevingsdetails zoals welke gebruiker en welk proces bij de wijziging betrokken was. Vervolgens stuurt het de data naar het Qualys Cloud Platform voor analyse en rapportage. Een van de voordelen van deze aanpak is dat het hetzelfde werkt, of de systemen nu on-premises, in de cloud of op afstand zijn.

File Integrity Monitoring kan eenvoudig worden geactiveerd op uw bestaande Qualys Agents en lokaal worden gecontroleerd op wijzigingen met minimale impact op het eindpunt. Met het Qualys Cloud Platform schaal je eenvoudig op naar de grootste omgevingen. De impact op de prestaties op de bewaakte eindpunten wordt geminimaliseerd door efficiënt lokaal te controleren op bestandswijzigingen en de gegevens naar het Qualys Cloud Platform te sturen, waar al het zware werk van analyse en correlatie plaatsvindt. Wat de Qualys Cloud Agent betreft , deze werkt zichzelf bij en herstelt zichzelf, en houdt zichzelf up-to-date zonder opnieuw op te starten.