Оптимизация соответствия требованиям ИТ-безопасности с использованием возможностей Wazuh FIM

[Father]

Мониторинг целостности файлов (FIM) - это средство контроля ИТ-безопасности, которое отслеживает и обнаруживает изменения файлов в компьютерных системах. Оно помогает организациям проводить аудит важных файлов и системных конфигураций путем регулярного сканирования и проверки их целостности. Большинство стандартов информационной безопасности требуют использования FIM для предприятий для обеспечения целостности их данных.

Соблюдение требований ИТ-безопасности предполагает соблюдение применимых законов, политик, положений, процедур и стандартов, выпущенных правительствами и регулирующими органами, таких как PCI DSS, ISO 27001, TSC, GDPR и HIPAA. Несоблюдение этих правил может привести к серьезным последствиям, таким как кибератаки, потеря конфиденциальных данных, финансовые потери и ущерб репутации. Таким образом, организации должны уделять приоритетное внимание соблюдению правил и стандартов в области ИТ для снижения рисков и эффективной защиты своих информационных систем.

Быстрые темпы технологического прогресса и нехватка квалифицированных специалистов по кибербезопасности усугубляют трудности с соблюдением требований. Для эффективного соблюдения этих правил предприятиям необходимо стратегически планировать, выделять ресурсы на усилия по обеспечению кибербезопасности, а также тщательно классифицировать и защищать свои информационные активы.

Преимущества соблюдения стандартов кибербезопасности​

Соблюдение правил и стандартов кибербезопасности важно для предприятий любого размера. Эти правила требуют внедрения конкретных мер, политик и процессов кибербезопасности. Придерживаясь этих стандартов, организации обеспечивают прозрачность и целостность своих методов обеспечения кибербезопасности. Некоторые преимущества включают:

• Это гарантирует наличие в организациях устойчивых процедур резервного копирования и восстановления. Это сводит к минимуму сбои в бизнес-операциях и поддерживает непрерывность во время киберинцидента или катастрофы, поскольку данные, хранящиеся на сайтах резервного копирования, могут быть восстановлены.
• Это обеспечивает структурированную основу для управления рисками в различных аспектах бизнеса. Организации могут снизить затраты, связанные с инцидентами в области кибербезопасности и несоблюдением нормативных требований, следуя установленным процедурам и средствам контроля.
• ИТ защищает репутацию организации. Утечка данных может существенно повлиять на репутацию компании. Соответствие помогает защититься от таких утечек, тем самым сохраняя репутацию бизнеса.
• Это облегчает выход на регулируемые рынки. В секторах здравоохранения, финансов и розничной торговли это гарантирует регулирующим органам, что ИТ-практики и системы фирмы соответствуют необходимым стандартам.

Возможности Wazuh FIM​

Wazuh - это решение для обеспечения безопасности с открытым исходным кодом, которое предлагает унифицированную защиту XDR и SIEM на нескольких платформах. ИТ защищает рабочие нагрузки в локальных, виртуализированных, облачных и контейнерных средах, предоставляя организациям эффективный подход к обеспечению кибербезопасности. Wazuh предлагает мониторинг целостности файлов (FIM) в качестве одной из своих возможностей; он также предоставляет другие возможности, такие как оценка конфигурации безопасности, обнаружение угроз и реагирование на них.

Возможности Wazuh FIM обеспечивают следующее:

• Мониторинг файлов и каталогов в режиме реального времени и по расписанию.
• Обнаружение несанкционированных изменений файлов.
• Подробные сведения о том, что или кто вносил изменения в данные.

FIM в сочетании с другими возможностями Wazuh, такими как обнаружение вредоносных программ, уязвимостей и оценка конфигурации безопасности (SCA), улучшает обнаружение угроз, расследование и устранение неполадок. Эти возможности могут помочь оптимизировать усилия вашей организации по обеспечению соответствия требованиям безопасности.

Обеспечение соответствия нормативным требованиям с использованием возможностей Wazuh FIM​

Пользователи могут настроить мониторинг целостности файлов в соответствии с требованиями стандартов соответствия ИТ-безопасности, актуальных для их организации. Wazuh FIM можно настроить для мониторинга добавления, удаления и изменения содержимого файла.

Отслеживание изменений файлов в организации помогает системным администраторам и аналитикам безопасности видеть эти изменения во всей организации и оперативно устранять инциденты безопасности. После настройки события FIM можно просматривать на панели управления Wazuh.

События FIM на панели мониторинга Wazuh

Мониторинг целостности файлов и доступа к ним​

Функция Wazuh FIM выполняет базовое сканирование и сохраняет контрольную сумму шифрования и другие атрибуты отслеживаемых файлов. При внесении изменений в отслеживаемый файл FIM сравнивает его контрольную сумму и атрибуты с базовыми. При выявлении какого-либо несоответствия будет запущено оповещение. Функция мониторинга целостности файлов Wazuh отслеживает такие детали, как процесс или пользователь, изменивший критически важный файл, и когда были внесены изменения. Используя возможности Wazuh FIM, организации могут обеспечить соответствие различным разделам нормативных стандартов, таким как:

• Требования PCI DSS 11.5.2
• CM-3 стандарта NIST 800-53
• Статья 5.1. (f) GDPR
• Безопасность персонала § 164.308 (a) (2) HIPAA.

Например, мы можем настроить Wazuh FIM для мониторинга файла конфигурации SSH /etc/ssh/sshd_config на конечной точке Linux. Злоумышленники часто используют конфигурационный файл SSH для ослабления безопасности путем изменения номеров портов или отключения надежных шифров. Wazuh FIM может обнаруживать несанкционированные изменения, отслеживая изменения в этом файле. Следующая конфигурация агента Wazuh устанавливает возможность Wazuh FIM отслеживать файл /etc/ssh / sshd_config на контролируемой конечной точке:

<syscheck>
<directories>/etc/ssh/sshd_config</directories>
</syscheck>

На изображении ниже показаны предупреждения, срабатывающие при внесении изменений в файл конфигурации SSH.

Оповещение об изменении конфигурации SSH

Аналогично, каталог /etc/ufw обычно содержит файлы конфигурации для UFW (несложного брандмауэра), популярного приложения брандмауэра в Linux. Эти файлы определяют правила, определяющие, какой сетевой трафик разрешен или заблокирован в вашей системе. Злоумышленник может изменить правила UFW, чтобы открыть порты, которые обычно закрыты по умолчанию, что позволяет получить несанкционированный доступ к системе или службам внутренней сети.

Мы можем настроить Wazuh FIM для мониторинга каталога / etc / ufw. Это настраивается путем добавления приведенной ниже конфигурации в файл конфигурации агента на контролируемой конечной точке. Мы также включаем атрибут whodata, который регистрирует пользователя, изменившего отслеживаемый файл.

<syscheck>
<directories whodata="yes">/etc/ufw</directories>
</syscheck>

На изображении ниже показаны предупреждения, срабатывающие при внесении изменений в файлы правил UFW.

Оповещение об изменении файлов правил UFW

Функция Wazuh FIM позволяет увидеть пользователя и процесс, инициирующие изменение. Эта информация показана на изображении ниже.

Оповещение пользователя и процесса, изменивших файл правил UFW

Преимущества использования Wazuh FIM для обеспечения соответствия нормативным требованиям​

Wazuh предоставляет возможность мониторинга целостности файлов, помогающую выполнять требования по обеспечению ИТ-безопасности и снижать риски. Преимущества использования возможностей Wazuh FIM включают:

• Проверки целостности: Он вычисляет криптографические хэши отслеживаемых файлов по сравнению с их базовыми данными для выполнения проверок целостности, точного обнаружения изменений. Это обеспечивает целостность и безопасность конфиденциальных данных.
• Журнал аудита: Организации могут использовать эту возможность для создания подробных отчетов и журналов аудита изменений файлов во время аудитов. Эти отчеты легко доступны при необходимости.
• Обнаружение угроз: Wazuh FIM в сочетании с другими возможностями, такими как интеграция VirusTotal и YARA, эффективен для обнаружения угроз или вредоносного ПО, размещенного на контролируемых конечных точках. Благодаря дальнейшему использованию возможностей Wazuh по реагированию на инциденты такие обнаруженные угрозы эффективно обрабатываются до того, как конечная точка будет повреждена.
• Централизованное управление: Ит предоставляет возможности централизованного управления и отчетности, которые позволяют организациям отслеживать оповещения и действия FIM в различных средах с единой информационной панели.
• Оповещения в режиме реального времени: Он может предоставлять оповещения в режиме реального времени об изменениях, внесенных в отслеживаемые файлы и каталоги. Он также предоставляет подробную информацию о пользователе, внесшем изменение, и названии используемой программы или процесса. Это помогает аналитикам безопасности оперативно выявлять потенциальные инциденты безопасности или нарушения соответствия требованиям и реагировать на них.
• Экономическая эффективность: его можно бесплатно загрузить и использовать, что делает его экономически выгодным вариантом для предприятий, особенно малых и средних, с ограниченным бюджетом.

Заключение​

Wazuh - это платформа безопасности с открытым исходным кодом, которая предлагает бесплатную унифицированную защиту XDR и SIEM на нескольких платформах. Wazuh также предлагает дополнительные возможности, такие как обнаружение уязвимостей, оценка конфигурации безопасности, обнаружение вредоносных программ и мониторинг целостности файлов (FIM). Его возможности FIM помогают организациям соблюдать некоторые правила кибербезопасности. Другие возможности также способствуют соблюдению нормативных требований в области кибербезопасности, защите активов организации и повышению уровня безопасности.

Посетите наш веб-сайт, чтобы узнать больше о Wazuh.

Ссылки​

1. Повышение безопасности данных с помощью Wazuh FIM с открытым исходным кодом
2. Мониторинг целостности файлов Wazuh