¿Qué es la supervisión de la integridad de los archivos de Windows?
Los actores maliciosos pueden causar mucho daño a su empresa, empleados y clientes si obtienen acceso a sus sistemas. Además de robar y filtrar datos, también pueden cambiar sus configuraciones, aplicaciones y archivos del sistema, y eliminar registros para cubrir sus huellas.
El monitoreo de la integridad de los archivos (FIM) puede ayudarlo a proteger su negocio. Mediante una tecnología de seguridad de TI y un proceso de seguridad que rastrea los cambios de archivos para determinar si los archivos han sido eliminados o manipulados, FIM puede ayudarlo a prevenir y mitigar cambios no autorizados en los archivos del sistema.
Continúe leyendo para obtener más información sobre FIM, por qué es importante, cómo funciona y en qué debe centrarse al evaluar las soluciones FIM.
¿Qué es el monitoreo de integridad de archivos (FIM)?
Una solución FIM es un software de seguimiento de cambios y detección de intrusiones que verifica la base de datos, el sistema operativo y los archivos de Windows para determinar si han sido modificados y, de ser así, quién y cuándo.
¿Por qué es necesario utilizar una solución FIM?
FIM ayuda a las organizaciones:
- Detectar y abordar amenazas: FIM detecta cambios en los archivos del sistema y envía alertas sobre modificaciones dañinas. Luego, su equipo de seguridad de red puede bloquear el acceso no autorizado y revertir los archivos modificados a su estado original.
- Garantice la integridad de los archivos: las herramientas FIM validan los archivos críticos comparando la versión actual con una base confiable. Luego determina si alguna diferencia es potencialmente perjudicial.
- Cumplir con los requisitos de cumplimiento: Muchas regulaciones de cumplimiento incluyen requisitos FIM, incluido el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS), SOX, la Ley federal de gestión de seguridad de la información de 2002 (FISMA) y la Portabilidad del seguro médico. y Ley de Responsabilidad (HIPAA).
- Reforzar las configuraciones del sistema: FIM puede ayudarle a establecer ajustes de configuración adecuados para sus servidores Windows y otros sistemas de TI para reducir su área de superficie de ataque.
¿Con qué frecuencia se deben realizar las comprobaciones de integridad de los archivos de Windows?
Los estándares de cumplimiento de seguridad, como el PCI DSS, exigen comprobaciones semanales de integridad de archivos. Sin embargo, es posible que los controles semanales no sean suficientes para evitar violaciones graves de seguridad de los datos. En los últimos años, los actores de amenazas se han vuelto mucho más peligrosos: ahora solo necesitan unas pocas horas o días para causar daños graves.
Por eso necesita soluciones de monitoreo de archivos en tiempo real con detección continua. Si ejecuta comprobaciones de integridad de archivos sólo una vez por semana, las amenazas pueden pasar desapercibidas hasta que sea demasiado tarde.
¿Qué datos debe cubrir el monitoreo de la integridad de los archivos de Windows?
Su solución FIM debe monitorear lo siguiente:
Carpetas y archivos de Windows
Como mínimo, debe utilizar la supervisión de la integridad de los archivos para:
- Archivos de programa (x86)
- Archivos de programa
- Sistema 32
- SysWow64
También debería considerar aplicar FIM a la unidad del sistema de Windows (C:Windows). Sin embargo, al igual que ocurre con la supervisión del registro, esto puede dar lugar a muchos falsos positivos. En consecuencia, debe excluir los archivos que cambian periódicamente, incluidas las bases de datos y los archivos de registro en vivo como C:WindowsLogs.
Incluir y excluir archivos para monitorear puede resultar difícil si debe hacerlo manualmente. Es aconsejable invertir en una herramienta FIM que le permita localizar archivos rápidamente mediante el filtrado por tipo y extensión de archivo y expresiones regulares (regex), que son patrones de búsqueda que localizan archivos y carpetas que contienen caracteres específicos. Además, busque una detección de cambios inteligente que pueda identificar cambios inesperados y otras amenazas reales.
Todos los atributos y contenidos de carpetas y archivos
Su herramienta FIM debe realizar un seguimiento de todos los atributos de carpetas y archivos, incluidos los siguientes:
- Estado actual
- Privilegios, permisos y otras configuraciones de seguridad
- Tamaño del núcleo y atributos
- Cartas credenciales
- Valores de configuración
Algunas soluciones FIM también rastrean el contenido de los archivos. Esto suele resultar poco práctico, especialmente para archivos grandes. Un mejor enfoque es realizar un seguimiento de metadatos como:
- Nombre y ruta
- Valores hash criptográficos
- Tamaño y longitud
- Fechas de creación y acceso
Claves, colmenas y valores del registro de Windows
Además, debe aplicar FIM a las claves, colmenas y valores del registro de Windows porque controlan los ajustes de configuración de Windows. Asegúrese de monitorear:
- Programas instalados y actualizaciones.
- Políticas de seguridad y auditoría local, que incluyen todo, desde la configuración del firewall de Windows hasta su protector de pantalla.
- Cuentas de usuarios locales
Tenga en cuenta que el registro consta de millones de valores, muchos de los cuales cambian con frecuencia durante el funcionamiento de Windows. Para reducir el volumen de alertas de falsos positivos, necesitará capacidades de inclusión y exclusión detalladas, como se explicó anteriormente.
¿Cómo detecta Windows FIM las amenazas?
Para detectar cambios, las soluciones de monitoreo de integridad de archivos de Windows deben usar valores hash criptográficos generados mediante un algoritmo hash seguro como MD5, SHA1, SHA256 o SHA512. Este enfoque proporciona una "huella digital de ADN" única para cada archivo que permite detectar incluso cambios mínimos, porque incluso la más mínima modificación en el contenido o la composición de un archivo afecta en gran medida el valor hash.
Los valores hash criptográficos se pueden asignar a cualquier tipo de archivo, incluidos archivos binarios (como .dll, .exe, .drv y .sys) y archivos de configuración basados en texto (como .js, XML y archivos comprimidos).
¿En qué debería centrarse al evaluar las soluciones FIM para Windows?
Al evaluar las soluciones de monitoreo de integridad de archivos de Microsoft, formule las siguientes preguntas clave:
¿La solución utiliza métodos FIM modernos?
Las soluciones FIM tradicionales rastrean y verifican todos los atributos de archivos y carpetas creando una línea de base que tiene todos los valores hash y metadatos de sus archivos, y comparando esos valores de línea de base con las versiones más recientes de los archivos. Sin embargo, verifican los cambios sólo diariamente o semanalmente. También consumen muchos recursos y carecen de funciones esenciales como monitoreo en tiempo real, almacenamiento centralizado de eventos de seguridad y contexto sobre por qué han cambiado los archivos del sistema. Estas deficiencias hacen que sea extremadamente difícil para los especialistas en ciberseguridad detectar cambios potencialmente peligrosos en el vasto mar de modificaciones aceptables.
Por el contrario, las soluciones modernas de integridad de archivos como Netwrix Change Tracker utilizan un agente FIM para detectar cambios continuamente y emitir alertas en tiempo real. También cuentan con:
- Lista blanca de archivos basada en el contexto y monitoreo de la integridad de los archivos para garantizar que toda la actividad de cambios se analice automáticamente para diferenciar entre cambios buenos y malos, lo que reduce enormemente el ruido de los cambios y la fatiga de las alertas.
- Refuerzo de configuración completo y certificado de DISA STIG y CIS para garantizar que todos los sistemas estén configurados de forma segura en todo momento
¿La solución es compatible con Microsoft Azure?
Si utiliza Microsoft Azure, es vital que su solución FIM lo admita. Azure viene con Microsoft Defender para la nube, una solución de monitoreo de la integridad de los archivos que lo ayuda a proteger sus datos. Pero aunque Defender for Cloud puede detectar muchas anomalías, una cantidad significativa de amenazas aún puede pasar desapercibida porque carece de funciones críticas como el almacenamiento centralizado de eventos de seguridad, la detección de cambios planificados versus no planificados y el monitoreo en tiempo real. Estas deficiencias pueden dificultar la comprensión de si los cambios detectados son maliciosos o aceptables.
En consecuencia, debe invertir en una herramienta FIM de terceros como Netwrix Change Tracker, que puede detectar cada cambio en su entorno de nube de Microsoft Azure y alertarlo en tiempo real sobre modificaciones no autorizadas para que pueda responder rápidamente a los incidentes de seguridad en la nube.
Preguntas más frecuentes
1. ¿Cómo detecta Windows FIM el malware de día cero?
Las soluciones FIM de Windows utilizan un valor hash criptográfico para rastrear cada archivo en su sistema. Cuando el malware de día cero ingresa a su sistema, los valores hash de los archivos críticos cambiarán y la solución FIM alertará a su equipo de seguridad. Este enfoque funciona para cualquier tipo de archivo, incluidos .drv, .exe, .dll, .sys y archivos comprimidos.
2. ¿Con qué frecuencia se debe realizar una verificación de integridad de archivos de Windows?
Aunque PCI sólo exige comprobaciones semanales, esto puede no ser suficiente para evitar graves violaciones de seguridad de los datos. Los actores de amenazas modernos solo necesitan unas pocas horas o días para causar estragos en sus sistemas y datos, lo que hace que la detección rápida sea más crítica que nunca. Cualquier retraso puede resultar costoso.
3. ¿Microsoft Defender para la nube proporciona FIM?
Sí, Microsoft Defender para la nube examina los registros de Windows, los archivos del sistema operativo, los archivos del sistema Linux, el software de aplicaciones y otros archivos en busca de cambios que puedan indicar un ciberataque.
Sin embargo, no puede distinguir entre cambios planificados y no planificados, por lo que los equipos de seguridad pueden verse abrumados con alertas. Además, Defender for Cloud no proporciona monitoreo en tiempo real, por lo que los actores de amenazas pueden tener tiempo para completar sus ataques antes de que se emita una alerta. Por lo tanto, invertir en una solución FIM de terceros puede ser una estrategia inteligente.