Giám sát tính toàn vẹn tệp của Windows là gì?

Các tác nhân độc hại có thể gây ra nhiều thiệt hại cho doanh nghiệp, nhân viên và khách hàng của bạn nếu họ có quyền truy cập vào hệ thống của bạn. Bên cạnh việc đánh cắp và rò rỉ dữ liệu, chúng còn có thể thay đổi cấu hình, ứng dụng và tệp hệ thống của bạn — đồng thời xóa nhật ký để che giấu dấu vết của chúng.

Giám sát tính toàn vẹn tệp (FIM) có thể giúp bạn bảo vệ doanh nghiệp của mình. Bằng công nghệ bảo mật CNTT và quy trình bảo mật theo dõi các thay đổi của tệp để xác định xem tệp có bị xóa hoặc giả mạo hay không, FIM có thể giúp bạn ngăn chặn và giảm thiểu các thay đổi tệp hệ thống trái phép.

Đọc tiếp để tìm hiểu thêm về FIM, tại sao nó quan trọng, nó hoạt động như thế nào và bạn nên tập trung vào điều gì khi đánh giá các giải pháp FIM.

Giám sát tính toàn vẹn tập tin (FIM) là gì?

Giải pháp FIM là phần mềm phát hiện xâm nhập và theo dõi thay đổi nhằm kiểm tra cơ sở dữ liệu, hệ điều hành và các tệp Windows để xác định xem chúng có bị sửa đổi hay không và nếu có thì bởi ai và khi nào.

Tại sao bạn cần sử dụng giải pháp FIM?

FIM giúp các tổ chức:

Phát hiện và giải quyết các mối đe dọa: FIM phát hiện các thay đổi đối với tệp hệ thống và gửi cảnh báo về các sửa đổi có hại. Sau đó, nhóm bảo mật mạng của bạn có thể chặn truy cập trái phép và hoàn nguyên các tệp đã sửa đổi về trạng thái ban đầu.
Đảm bảo tính toàn vẹn của tệp: Công cụ FIM xác thực các tệp quan trọng bằng cách so sánh phiên bản hiện tại với đường cơ sở đáng tin cậy. Sau đó, nó sẽ xác định liệu có sự khác biệt nào có khả năng gây tổn hại hay không.
Đáp ứng các yêu cầu tuân thủ: Nhiều quy định tuân thủ bao gồm các yêu cầu của FIM, bao gồm Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI DSS), SOX, Đạo luật quản lý bảo mật thông tin liên bang năm 2002 (FISMA) và Khả năng cung cấp bảo hiểm y tế và Đạo luật trách nhiệm giải trình (HIPAA).
Cấu hình hệ thống vững chắc: FIM có thể giúp bạn thiết lập cài đặt cấu hình phù hợp cho máy chủ Windows và các hệ thống CNTT khác để giảm diện tích bề mặt tấn công của bạn.

Bao lâu thì nên thực hiện kiểm tra tính toàn vẹn của tệp Windows?

Các tiêu chuẩn tuân thủ bảo mật như PCI DSS bắt buộc phải kiểm tra tính toàn vẹn của tệp hàng tuần. Tuy nhiên, việc kiểm tra hàng tuần có thể không đủ để ngăn chặn các vi phạm bảo mật dữ liệu nghiêm trọng. Trong những năm gần đây, những kẻ đe dọa đã trở nên nguy hiểm hơn nhiều — giờ đây chúng chỉ cần vài giờ hoặc vài ngày để gây ra thiệt hại nghiêm trọng.

Đó là lý do tại sao bạn cần các giải pháp giám sát tệp theo thời gian thực với khả năng phát hiện liên tục. Nếu bạn chỉ chạy kiểm tra tính toàn vẹn của tệp mỗi tuần một lần, các mối đe dọa có thể lọt vào tầm ngắm của bạn cho đến khi quá muộn.

Giám sát tính toàn vẹn tệp của Windows nên bao gồm dữ liệu gì?

Giải pháp FIM của bạn nên giám sát những điều sau:

Các thư mục và tập tin Windows

Ở mức tối thiểu, bạn nên sử dụng tính năng giám sát tính toàn vẹn của tệp cho:

Tệp chương trình (x86)
File chương trình
Hệ thống 32
SysWow64

Bạn cũng nên cân nhắc việc áp dụng FIM cho ổ đĩa hệ thống Windows (C:Windows). Tuy nhiên, cũng như giám sát sổ đăng ký, điều này có thể dẫn đến rất nhiều kết quả dương tính giả. Theo đó, bạn cần loại trừ các tệp thay đổi thường xuyên, bao gồm cơ sở dữ liệu và tệp nhật ký trực tiếp như C:WindowsLogs.

Việc bao gồm và loại trừ các tệp để theo dõi có thể khó khăn nếu bạn phải thực hiện thủ công. Sẽ là khôn ngoan khi đầu tư vào công cụ FIM cho phép bạn nhanh chóng định vị tệp bằng cách sử dụng cả tính năng lọc theo loại tệp và phần mở rộng cũng như biểu thức chính quy (regex), là các mẫu tìm kiếm định vị tệp và thư mục chứa các ký tự cụ thể. Ngoài ra, hãy tìm kiếm tính năng phát hiện thay đổi thông minh có thể xác định những thay đổi không mong muốn và các mối đe dọa thực sự khác.

Tất cả các thuộc tính và nội dung của thư mục và tập tin

Công cụ FIM của bạn sẽ theo dõi tất cả các thuộc tính thư mục và tệp, bao gồm:

Tình trạng hiện tại
Đặc quyền, quyền và các cài đặt bảo mật khác
Kích thước và thuộc tính cốt lõi
Thông tin xác thực
Giá trị cấu hình

Một số giải pháp FIM cũng theo dõi nội dung tệp. Điều này thường không thực tế, đặc biệt đối với các tệp lớn. Cách tiếp cận tốt hơn là theo dõi siêu dữ liệu như:

Tên và đường dẫn
Giá trị băm mật mã
Kích thước và chiều dài
Ngày tạo và truy cập

Khóa đăng ký Windows, phát ban và giá trị

Ngoài ra, bạn nên áp dụng FIM cho các khóa, tổ hợp và giá trị đăng ký Windows vì chúng kiểm soát cài đặt cấu hình Windows. Hãy chắc chắn để theo dõi:

Các chương trình và bản cập nhật đã cài đặt
Chính sách kiểm tra và bảo mật cục bộ, bao gồm mọi thứ từ cài đặt tường lửa Windows đến trình bảo vệ màn hình của bạn
Tài khoản người dùng cục bộ

Lưu ý rằng sổ đăng ký bao gồm hàng triệu giá trị, nhiều giá trị trong số đó thường xuyên thay đổi trong quá trình hoạt động của Windows. Để giảm số lượng cảnh báo dương tính giả, bạn sẽ cần có khả năng bao gồm và loại trừ chi tiết, như đã giải thích ở trên.

Windows FIM phát hiện các mối đe dọa như thế nào?

Để phát hiện các thay đổi, các giải pháp giám sát tính toàn vẹn tệp của Windows nên sử dụng các giá trị băm mật mã được tạo bằng thuật toán băm an toàn như MD5, SHA1, SHA256 hoặc SHA512. Cách tiếp cận này cung cấp một 'dấu vân tay DNA' duy nhất cho mỗi tệp cho phép phát hiện những thay đổi thậm chí là nhỏ, bởi vì ngay cả những sửa đổi nhỏ nhất đối với nội dung hoặc thành phần của tệp cũng ảnh hưởng lớn đến giá trị băm.

Giá trị băm mật mã có thể được gán cho bất kỳ loại tệp nào, bao gồm các tệp nhị phân (chẳng hạn như .dll, .exe, .drv và .sys) và các tệp cấu hình dựa trên văn bản (chẳng hạn như .js, XML và các kho lưu trữ nén).

Bạn nên tập trung vào điều gì khi đánh giá giải pháp FIM cho Windows?

Khi đánh giá các giải pháp giám sát tính toàn vẹn tệp của Microsoft, hãy đặt những câu hỏi chính sau:

Giải pháp có sử dụng phương pháp FIM hiện đại không?

Các giải pháp FIM truyền thống theo dõi và xác minh tất cả các thuộc tính tệp và thư mục bằng cách tạo đường cơ sở có tất cả các giá trị băm và siêu dữ liệu của tệp của bạn, đồng thời so sánh các giá trị cơ sở đó với các phiên bản mới nhất của tệp. Tuy nhiên, họ chỉ kiểm tra những thay đổi hàng ngày hoặc hàng tuần. Chúng cũng cực kỳ tốn nhiều tài nguyên và thiếu các tính năng thiết yếu như giám sát thời gian thực, lưu trữ tập trung các sự kiện bảo mật và bối cảnh về lý do tại sao các tệp hệ thống đã thay đổi. Những thiếu sót này khiến các chuyên gia an ninh mạng gặp khó khăn lớn trong việc phát hiện những thay đổi nguy hiểm tiềm tàng trong biển sửa đổi rộng lớn có thể chấp nhận được.

Ngược lại, các giải pháp toàn vẹn tệp hiện đại như Netwrix Change Tracker sử dụng tác nhân FIM để liên tục phát hiện các thay đổi và đưa ra cảnh báo theo thời gian thực. Họ cũng có tính năng:

Lập danh sách trắng tệp dựa trên ngữ cảnh và giám sát tính toàn vẹn tệp để đảm bảo rằng tất cả hoạt động thay đổi được phân tích tự động để phân biệt giữa các thay đổi tốt và xấu, giúp giảm đáng kể tiếng ồn thay đổi và sự mệt mỏi khi cảnh báo
Chứng nhận và hoàn thiện việc củng cố cấu hình DISA STIG và CIS để đảm bảo rằng tất cả các hệ thống luôn được cấu hình an toàn

Giải pháp này có hỗ trợ Microsoft Azure không?

Nếu bạn sử dụng Microsoft Azure, điều quan trọng là giải pháp FIM của bạn phải hỗ trợ nó. Azure đi kèm với Microsoft Defender for Cloud, một giải pháp giám sát tính toàn vẹn của tệp giúp bạn bảo vệ dữ liệu của mình. Nhưng mặc dù Defender for Cloud có thể phát hiện được nhiều điểm bất thường, nhưng một số lượng đáng kể các mối đe dọa vẫn có thể lọt qua do nó thiếu các tính năng quan trọng như lưu trữ tập trung các sự kiện bảo mật, phát hiện thay đổi theo kế hoạch so với ngoài kế hoạch và giám sát theo thời gian thực. Những thiếu sót này có thể gây khó khăn cho việc hiểu liệu những thay đổi được phát hiện là độc hại hay có thể chấp nhận được.

Theo đó, bạn nên đầu tư vào công cụ FIM của bên thứ ba như Netwrix Change Tracker. Công cụ này có thể phát hiện mọi thay đổi đối với môi trường đám mây Microsoft Azure của bạn và cảnh báo cho bạn theo thời gian thực về các sửa đổi trái phép để bạn có thể ứng phó nhanh chóng với các sự cố bảo mật đám mây.

Câu hỏi thường gặp

1. Windows FIM phát hiện phần mềm độc hại zero-day như thế nào?

Giải pháp Windows FIM sử dụng giá trị băm mật mã để theo dõi từng tệp trong hệ thống của bạn. Khi phần mềm độc hại zero-day xâm nhập vào hệ thống của bạn, giá trị băm của các tệp quan trọng sẽ thay đổi và giải pháp FIM sẽ cảnh báo cho nhóm bảo mật của bạn. Cách tiếp cận này hoạt động với mọi loại tệp, bao gồm .drv, .exe, .dll, .sys và các tệp lưu trữ nén.

2. Bao lâu thì nên thực hiện kiểm tra tính toàn vẹn của tệp Windows?

Mặc dù PCI chỉ bắt buộc kiểm tra hàng tuần nhưng điều này có thể không đủ để ngăn chặn các vi phạm bảo mật dữ liệu nghiêm trọng. Các tác nhân đe dọa hiện đại chỉ cần vài giờ hoặc vài ngày để tàn phá hệ thống và dữ liệu của bạn, khiến việc phát hiện kịp thời trở nên quan trọng hơn bao giờ hết. Bất kỳ sự chậm trễ nào cũng có thể gây tốn kém.

3. Bộ bảo vệ Microsoft dành cho đám mây có cung cấp FIM không?

Có, Bộ bảo vệ Microsoft dành cho Đám mây kiểm tra các sổ đăng ký Windows, tệp hệ điều hành, tệp hệ thống Linux, phần mềm ứng dụng và các tệp khác để tìm những thay đổi có thể chỉ ra một cuộc tấn công mạng.

Tuy nhiên, nó không thể phân biệt giữa những thay đổi theo kế hoạch và ngoài kế hoạch, vì vậy các nhóm bảo mật có thể tràn ngập cảnh báo. Ngoài ra, Defender for Cloud không cung cấp khả năng giám sát theo thời gian thực, do đó, các tác nhân đe dọa có thể có thời gian để hoàn thành các cuộc tấn công trước khi có cảnh báo. Do đó, đầu tư giải pháp FIM của bên thứ ba có thể là một chiến lược khôn ngoan.