File Integrity Monitoring: definizione

In breve

Il FIM fotografa lo stato "buono" dei file importanti e poi lo confronta con lo stato attuale. Se un file di sistema, una configurazione o una pagina del sito cambia senza che nessuno l'abbia pianificato, parte un avviso con il dettaglio: quale file, quando, cosa è cambiato e, se disponibile, quale utente o processo l'ha modificato.

Come funziona

1. Linea di base: per ogni file monitorato si calcola un'impronta crittografica (hash) e si registrano attributi come dimensione, permessi e proprietario.
2. Confronto: a intervalli regolari, o in tempo reale quando il sistema operativo segnala una modifica, l'impronta viene ricalcolata.
3. Avviso: se l'impronta non coincide, l'evento viene registrato e inviato alla console centrale o al SIEM.
4. Gestione dei cambiamenti: le modifiche attese, come gli aggiornamenti installati con il patch management, vanno riconosciute per non generare rumore.

Cosa conviene monitorare: eseguibili e librerie di sistema, file di configurazione dei servizi, cartelle di avvio automatico, chiavi del registro di Windows legate all'avvio, cartelle pubblicate dal server web, file di configurazione delle applicazioni critiche. Monitorare tutto produce solo rumore.

Perché è importante

Molti attacchi lasciano una modifica permanente: una backdoor nel server web, un servizio aggiunto per sopravvivere al riavvio, una configurazione indebolita. Il FIM è uno dei modi più affidabili per accorgersene, perché non dipende dal riconoscere il malware: basta che qualcosa cambi. È anche un requisito esplicito di norme come PCI DSS e un controllo utile per ISO/IEC 27001, oltre che una fonte preziosa per l'analisi forense dopo un incidente.

Esempio

Il sito di un'azienda gira su un server in hosting. Una mattina il FIM segnala un nuovo file PHP nella cartella delle immagini caricate dagli utenti, comparso alle 3:12 di notte. Il nome sembra innocuo, ma il contenuto è una "web shell", un piccolo programma che permette di dare comandi al server dal browser. L'avviso arriva prima che l'attaccante lo usi per proseguire: il file viene rimosso, la vulnerabilità del modulo di caricamento viene corretta e i log del server ricostruiscono come è entrato.

Termini collegati

• HIDS: il FIM ne è spesso una componente
• Indicatori di compromissione (IoC)
• Hardening
• EDR