企业网络庞大而复杂，需要处理大量关键业务数据，这些敏感文件在企业网络中不断传输，并由多个用户和实体存储、共享和访问。FIM 工具或具有 FIM 功能的 SIEM 解决方案使企业能够跟踪未经授权的文件更改、对敏感信息的恶意访问、数据篡改尝试和内部威胁。

FIM 如何帮助提高企业的数据安全性

以下是FIM帮助确保企业数据完整性和安全性的主要方法：

• 监控Windows和Linux系统中未经授权的文件更改
• 审核文件访问权限变更
• 合规性审计

监控Windows和Linux系统中未经授权的文件更改

FIM 检测到对 Windows 和 Linux 系统中关键文件的可疑修改。系统文件、配置文件、目录文件和注册表文件（用于控制这些系统的运行）特别容易受到企图篡改数据的攻击。通过记录和报告对此类关键文件的更改，FIM 可确保整个 Windows 和 Linux 系统的数据安全。

审核文件访问权限变更

恶意的内部人员可能试图通过操纵文件访问列表来更改文件权限。他们可能修改用户访问控制来读取、写入或复制敏感信息，从而损害数据的安全性和完整性。通过监控文件权限的变更和用户访问、修改或删除机密文件或文件夹的尝试，FIM可以帮助管理员检测对文件权限的未授权更改，并防止数据操作尝试。

合规性审计

PCI DSS、HIPAA、GDPR、SOX 和 GLBA 等法规要求已经建立了优先考虑数据安全和隐私的指导方针。通过生成有关恶意文件活动（如文件创建、修改、删除和文件权限更改）的实时报告，FIM 简化了合规性审计，并有助于证明遵守了合规性要求。

企业FIM 面临的挑战

从长远来看，随着企业对其网络和业务结构进行升级，许多传统的FIM工具难以应对业务的复杂性和数据量。企业在处理FIM解决方案时面临着各种各样的挑战。其中一些是：

• 复杂性：FIM 解决方案本质上可能很复杂，在企业网络中配置和部署 FIM 解决方案需要专业知识。大多数传统的 FIM 工具都是手动配置的，并且涉及根据设备类型和要监控的文件类型的不同过程。这导致企业外包专业服务提供商来部署和配置 FIM 解决方案。
• 可扩展性：企业处于不断增长和发展的过程中，网络和资源不断扩展。传统的FIM解决方案不容易扩展，并且对可以监控的网络资产和敏感文件的数量有限制。这导致企业在 FIM 软件许可证上会投入更多资源，或者在每次扩展网络时投资寻找新的 FIM 解决方案。
• 错误报警：传统的FIM无法检测和区分合法的文件更改和可疑的文件更改，这会在企业网络中造成过多的干扰，从而产生过多的错误报警。这些错误报警往往会分散SOC对潜在数据泄露的识别，并浪费他们的时间和精力在不存在的威胁上。
• 更改预防：监控未经授权的文件变更并生成警报是传统 FIM 软件的最终目标。但如今，由于误报过多和警报疲劳，企业需要一个能够同时具有主动性和反应性的FIM解决方案，以防止潜在的数据泄露事件并确保数据安全。

如何克服 FIM 挑战

Log360是一个全面的SIEM解决方案，具有FIM功能，可以满足企业的安全需求，保证文件的完整性和数据的安全性，可以解决企业以下FIM问题：

• 简化部署：使企业能够从单个控制台为所有网络资产配置FIM，配置企业域后，将自动发现域中的所有设备和应用。然后，管理员可以通过选择域中发现的设备或应用程序及其包含敏感数据的相应文件位置来配置文件监控。
• 扩展能力：可以满足不断扩展的企业网络的数据安全需求，含有一个轻量级代理，用于从不同设备收集文件活动日志，该代理有助于跨 WAN 和扩展网络中通过防火墙轻松收集日志。
• 降噪：可以自定义关联规则和警报配置文件，以标记一组连续的文件相关事件，这些事件可能是恶意文件活动的潜在指示。通过创建自定义关联规则并启用相应的警报配置文件，可以映射可疑的活动序列，从而触发警报。
• 事件响应：能够在触发与文件相关的警报时为警报配置文件配置工作流，这些工作流是事件响应机制的有效部分，可帮助管理员防止数据泄露并应对对敏感数据的威胁。

保护数据完整性的做法

• 确定需要监控的关键资产
• 识别需要保护的敏感数据
• 规范文件审计权限设置
• 规范文件访问控制
• 监控以用户为中心的文件活动
• 确保主动检测威胁
• 建立反应性事件响应
• 选择用户友好且可扩展的 FIM 工具
• 将 FIM 与其他安全解决方案集成
• 进行安全意识培训

确定需要监控的关键资产

识别和配置网络中最关键的资产以进行文件监控可以防止 FIM 工具生成过多的日志。过多的日志会产生混乱和不必要的噪音，导致工具过载，而影响最佳性能。此外，它还会导致产生误报警报，从而造成 SOC 团队的警报疲劳。一些常规的关键资产包括 Windows 和 Linux 文件系统、文件服务器和数据库。

识别需要保护的敏感数据

确定关键资产后，下一步是确定这些资产中最关键的数据。例如，在 Windows 文件系统中，系统文件、配置文件、目录文件和注册表文件是一些最机密的数据。对于组织来说，员工、用户和客户的个人身份信息（PII）特别容易受到攻击。除了系统数据和 PII 之外，组织还需要监控特定行业的数据，以遵守合规性要求。

规范文件审计权限设置

文件审核权限设置确定文件是否需要审核。为文件夹启用审核权限设置后，FIM 工具会记录该文件夹中的文件创建、修改、删除和文件重命名等活动。同样，当为文件启用审核权限设置时，FIM 工具将审核读取、写入、复制和粘贴文件的访问尝试。

相反，当禁用文件和文件夹的审核权限设置时，FIM 工具无法跟踪任何活动，从而允许未检测到恶意文件更改。因此，确保为所有关键文件启用文件审核权限设置对于保护数据的机密性和完整性至关重要。

规范文件访问控制

文件访问控制或文件权限决定了特定用户可以访问文件的级别，访问控制通常由文件所有者分配给用户。不同级别的访问权限包括读取访问权限、写入访问权限、共享权限、复制和粘贴权限以及所有权权限。通过向用户分配所有权权限，文件所有者可以使用户能够使用所有级别的控件。

监控以用户为中心的文件活动

恶意内部人员入侵特权用户帐户，以获得对敏感文件的未经授权的访问，然后，他们可能会篡改数据、操纵数据或将其泄露到外部位置，从而影响数据安全和隐私。

这使得监控以用户为中心的文件活动（如未经授权的文件访问、文件更改和权限更改）对于维护敏感数据的完整性至关重要。将用户和实体行为分析（UEBA）工具与 FIM 集成可以帮助管理员跟踪异常用户活动，并根据其行为分配风险评分，这些风险评分进一步帮助您在分配高级文件权限之前评估用户的可信度。

确保主动检测威胁

主动威胁检测和警报对于领先于文件完整性威胁至关重要，当异常文件活动发生时，接收文件更改通知可以帮助管理员实时检测潜在的数据泄露事件。但是，这个过程通常伴随着误报警报的产生，影响警报分类，导致SOC团队的警报疲劳。

因此，对于FIM工具来说，使用预定义的相关规则和警报配置文件来自动促进预期的文件活动并区分预期的和异常的文件更改是至关重要的。这有助于验证生成的警报，并确保实时主动检测威胁。

建立反应性事件响应

监控未经授权的文件更改并生成警报是传统文件监控的最终目标。但如今，由于误报过多和警报疲劳，反应性事件响应机制对于 FIM 来说非常重要，可以抵御潜在的数据泄露事件。因此，使用预定义的工作流程建立自动化事件响应机制可以防止潜在的数据泄露事件传播。

选择用户友好且可扩展的 FIM 工具

在选择 FIM 解决方案之前，需要考虑几个因素，其中复杂性和可扩展性是最关键的方面。传统的 FIM 解决方案通常很复杂，并且在配置设备时涉及复杂问题。

将 FIM 与其他安全解决方案集成

将 FIM 工具与安全信息和事件管理（SIEM）等解决方案集成；安全编排、自动化和响应（SOAR）；用户和实体行为分析（UEBA）可以通过关联和检测异常并提供自动响应，来提供应对数据完整性威胁的整体方法。为此，FIM 工具应包含内置 API 并允许集成，以促进与其他安全解决方案的通信。

进行安全意识培训

对用户和员工进行有关数据安全重要性的教育对于保护组织数据至关重要。提高用户对通过网络钓鱼电子邮件和社会工程攻击升级的内部威胁的认识对于确保个人数据隐私非常重要。

此外，必须强制遵守密码策略，例如创建强密码、使用密码库和启用多因素身份验证（MFA），以防止帐户泄露和特权升级。通过遵循这些实践，用户可以积极地维护敏感数据的完整性和隐私性。

Log360 是一个FIM集成的 SIEM 解决方案，可以帮助您的组织确保文件完整性和数据安全。它为您的网络提供 360 度威胁检测，以抵御数据完整性攻击。