Tools zur Überwachung der Dateiintegrität

So führt ADAudit Plus die Überwachung der Dateiintegrität durch

FIM beginnt damit, kritische Änderungen in Ihrer Umgebung zu erkennen. ADAudit Plus bietet Ihnen genau das, indem es jede Änderung an Dateien und Ordnern nachverfolgt und Ihnen mitteilt, wer sie vorgenommen hat, wann, von welchem Rechner aus und ob der Zugriff erlaubt oder verweigert wurde.

Was ADAudit Plus hinsichtlich der Dateiintegrität überwacht

Änderungen in FIM-Ordnern in Echtzeit erkennen

ADAudit Plus erfasst jedes Datei- und Ordnerereignis an Ihren FIM-überwachten Speicherorten – einschließlich Betriebssystem- (OS), Datenbank- und Anwendungssoftware-Dateien, archivierter Protokolle und Berichte sowie anderer kritischer Dateien – in dem Moment, in dem es auftritt. Das bietet Ihnen folgende Vorteile:

• Sie erhalten spezielle Berichte für jeden Vorgangstyp, einschließlich abgelehnter Zugriffsversuche auf FIM-überwachte Dateien.
• Sie können nachverfolgen, wann Dateien/Ordner erstellt, geändert, gelöscht, verschoben (oder) umbenannt sowie kopiert und eingefügt werden, einschließlich Details wie dem Namen des Benutzers, des Computers, der IP-Adresse und des Zeitstempels.
• Sie können Benutzerkonten untersuchen, die versucht haben, Dateien zu schreiben oder zu löschen, auf die sie keinen Zugriff hatten.

 

 

Erhalten Sie einen speziellen Bericht zu kritischen System-, Betriebssystem- und Registrierungsordnern, die im Rahmen der FIM-Funktion überwacht werden.

 

 

Sie können Berichte zu bestimmten Zeiträumen oder Servern erstellen, um sich einen gezielten Überblick über die Änderungen zu verschaffen.

Integrität der Registrierung und der Systemkonfiguration überwachen

Angreifer ändern häufig Registrierungsschlüssel, um Persistenz zu erreichen, passen Dienstkonfigurationen an, um sich den Zugriff zu sichern, oder ändern die Systemzeit, um ihre Aktivitäten in den Protokollen zu verschleiern. ADAudit Plus erweitert die Integritätsüberwachung durch Sysmon-basiertes Auditing auf diese Änderungen auf Konfigurationsebene. Sie können Folgendes anzeigen:

• Lese- und Schreibereignisse an Registrierungsschlüsseln auf allen überwachten Servern.
• Berichte, die anzeigen, wann die Serveruhr geändert wurde – eine Taktik, die Angreifer anwenden, um Zeitstempel zu verschieben und zu verschleiern, wann böswillige Aktivitäten stattfanden.
• Jede neue Dienstinstallation auf überwachten Servern sowie erstellte, geänderte und gelöschte geplante Aufgaben, um Wege nachzuverfolgen, die häufig für Persistenz und laterale Bewegung missbraucht werden.

 

 

Überwachen Sie Änderungen an der Windows-Registrierung, einschließlich Wertänderungen, das Anlegen bzw. Löschen von Schlüsseln sowie die Änderung von Zugriffskontrolllisten (ACLs).

 

FIM-Warnmeldungen in Echtzeit mit automatisierten Reaktionen erhalten

Dank der integrierten FIM-Warnprofile müssen Sie keine Erkennungslogik von Grund auf neu erstellen, bevor Ihre Überwachung wirksam wird. Diese benachrichtigen die Verantwortlichen, wenn Folgendes passiert:

• Eine Datei oder ein Ordner wird an einem von FIM überwachten Speicherort gelöscht, sodass Vorfälle der Datenvernichtung untersucht werden können, bevor sie sich ausweiten.
• Die Ordnerberechtigungen an einem überwachten Speicherort ändern sich, sodass Sie innerhalb von Minuten feststellen können, ob die Änderung autorisiert war oder ob ein Konto seine eigenen Zugriffsrechte erweitert.
• Unbefugte Benutzer führen außerhalb ihrer Arbeitszeiten kritische Aktionen an FIM-Dateien durch, sodass Sie diese unterbinden und den Schaden minimieren können.

Über diese Benachrichtigungen hinaus verfügen diese Warnprofile über zwei weitere Funktionen, die Ihnen helfen, die Dateiintegrität sicherzustellen:

• Jede Warnung kann eine automatisierte Reaktion auslösen. Dabei kann es sich um wirkungsvolle Abhilfemaßnahmen handeln, wie das Beenden der Sitzung eines Benutzers, das Sperren des Netzwerkzugriffs auf einen Rechner usw.
• Sie können einen Workflow einrichten, sodass automatisch ein Ticket in ServiceNow, Zendesk, ManageEngine ServiceDesk Plus, Freshservice, Jira oder Kayako erstellt wird und das zuständige Team benachrichtigt wird – wobei der Ereigniskontext bereits angehängt ist.

 

 

Sie können benutzerdefinierte Benachrichtigungen so konfigurieren, dass sie den individuellen Anforderungen Ihres Unternehmens entsprechen.

 

 

Über die Benachrichtigung hinaus können Sie Reaktionen konfigurieren, wie beispielsweise skriptgesteuerte Aktionen oder die Erstellung eines Tickets in unterstützten ITSM-Tools.

Ransomware und Insider-Bedrohungen erkennen

Da die UBA-Funktion für jeden Benutzer eine Basislinie für das normale Volumen, den Zeitpunkt und die Muster der Dateiaktivitäten festlegt, werden Sie benachrichtigt, sobald Aktivitäten von dieser Basislinie abweichen. Die Analyseberichte ermöglichen Folgendes:

• Einen Anstieg von Schreibvorgängen über die festgelegte Basislinie eines Benutzers hinweg kennzeichnen – eines der frühesten erkennbaren Anzeichen dafür, dass Ransomware Dateien vor Ort verschlüsselt.
• Massenlöschvorgänge erkennen, die auf Ransomware oder einen Insider hindeuten, der absichtlich Daten vernichtet.
• Benutzer identifizieren, deren gesamtes Dateiaktivitätsvolumen ihre persönliche Basislinie überschreitet – ein Muster, das mit der Vorbereitung großer Dateimengen vor der Exfiltration übereinstimmt.
• Häufige Bedrohungsindikatoren in einer einzigen Benachrichtigung zusammenfassen, ohne dass eine kontinuierliche manuelle Überwachung einzelner UBA-Berichte erforderlich ist.

 

 

Jegliche Abweichungen von der durch die UBA-Funktion festgelegten Aktivitätsbasislinie werden markiert, und Sie können die Abfolge der Ereignisse, die zu dieser Anomalie geführt haben, untersuchen.

 

 

Einer der wichtigsten Indikatoren für Malware-Eindringversuche sind Ereignisse, bei denen Dateien in großem Umfang verändert werden. Mithilfe der Anomalieberichte lassen sich potenzielle Angriffe leicht erkennen.

Compliance-Anforderungen mit FIM-Berichten erfüllen

Mehrere wichtige Compliance-Rahmenwerke verlangen ausdrücklich eine Dateiintegritätsüberwachung, und die meisten anderen erfordern Kontrollen, die FIM direkt erfüllt. ADAudit Plus bietet vorkonfigurierte FIM-Berichtssätze für sieben Standards, sodass Compliance-Nachweise auf Abruf verfügbar sind und nicht vor jedem Audit manuell zusammengestellt werden müssen.

Mit benutzerdefinierten Berichtsprofilen können Sie bestimmte Benutzer, überwachte Speicherorte, Audit-Aktionen und Zeitfilter in einer gespeicherten Ansicht kombinieren. Bei wiederkehrenden Compliance-Anforderungen (z. B. einer vierteljährlichen PCI-DSS-Überprüfung oder einem HIPAA-Audit für eine bestimmte Freigabe) führen Sie das gespeicherte Profil aus, anstatt den Bericht jedes Mal von Grund auf neu zu konfigurieren.

Warum native Windows-Tools für FIM zu kurz greifen

Windows verfügt über keine integrierte Funktion zur Überwachung der Dateiintegrität. Das Sicherheitsereignisprotokoll zeichnet Objektzugriffsereignisse auf, wenn die Überwachung konfiguriert ist, doch die Umwandlung von Rohdaten in einen verwertbaren FIM-Prüfpfad erfordert manuellen Aufwand, der nicht skalierbar ist. Hinzu kommt, dass

• Sicherheitsereignisprotokolle lokal auf jedem Windows-Server gespeichert werden. In einer Umgebung mit mehreren Servern erfordert die Korrelation von Dateiereignissen systemübergreifend das Sammeln und Auswerten der Protokolle von jedem Rechner einzeln.
• Die native Überwachung erfasst zwar Zugriffsereignisse, bietet jedoch keine Erkennung von Anomalien. Ein Benutzer, der in zehn Minuten tausend Dateien löscht, und ein Benutzer, der eine Datei löscht, erscheinen im Sicherheitsereignisprotokoll ohne Vergleichsbasis identisch.
• Windows bietet keine Funktion zur Überwachung der Registrierungsintegrität, die Änderungen in einem durchsuchbaren, auswertbaren Format neben den Dateiereignissen anzeigt.
• Es gibt keinen integrierten Mechanismus, um eine automatisierte Reaktion (ein Ticket, eine E-Mail oder eine Sitzungsbeendigung) auszulösen, wenn ein Ereignis zur Dateiintegrität auftritt.

ADAudit Plus schließt jede dieser Lücken. Ereignisse von allen überwachten Servern werden zentral erfasst, in benannten FIM-Berichten dargestellt, mit UBA-Baselines abgeglichen und über eine einzige Konsole mit einem automatisierten Warn- und Reaktions-Workflow verknüpft.