Integridad de archivos, lo que cambió

El módulo de integridad, llamado syscheck en la configuración, funciona así: la primera vez que recorre los directorios que le dijeron que vigile, guarda una huella criptográfica y los atributos de cada archivo; después, cada vez que mira, compara. Si el archivo es nuevo avisa de que se añadió, si la huella cambió avisa de que se modificó, y si ya no está, de que se eliminó.

Hay dos formas de mirar. El escaneo programado recorre los directorios cada cierto número de segundos —por defecto, doce horas—. El modo en tiempo real, que se activa por directorio, avisa casi al instante porque se apoya en el sistema operativo. Lo que cambia en un directorio sin tiempo real solo se nota en el siguiente recorrido.

Abre config_fim y mira el directorio de tareas programadas del servidor de datos.

Las tres alertas de integridad más comunes tienen reglas propias en el juego de fábrica: archivo añadido, suma cambiada y archivo eliminado. Las de modificado y eliminado traen un nivel mayor que el de añadido, porque perder o alterar algo que existía suele importar más que ver algo nuevo, aunque lo nuevo también puede ser lo peligroso.

El panel de la panadería muestra cuatro alertas de integridad del martes. Hay una sobre un archivo eliminado.

Un cambio en un archivo vigilado es normal cuando alguien lo pidió. La alerta de integridad no distingue entre un despliegue autorizado y un cambio no autorizado: ambos son «archivo modificado». Quien distingue es el SOC, cruzando la alerta con las solicitudes de cambio por equipo, por directorio y por hora.

La tabla cambios_aprobados trae las ventanas del día en UTC. Las dos alertas del servidor web 1 caen sobre un directorio y una hora.

Cuando una alerta no tiene solicitud detrás, no se concluye que sea un ataque: se concluye que hay una pregunta sin respuesta. En el servidor de datos hay una modificación de madrugada en el directorio de tareas programadas, un lugar que no cambia sin motivo, porque lo que está ahí se ejecuta solo y con permisos altos.

Cruza alertas_fim con cambios_aprobados: solo uno de los archivos modificados del día no tiene ninguna solicitud ni ventana.

La alerta del archivo de tareas programadas trae una huella antes y una huella después, y son distintas. Con eso el servidor sabe que el contenido cambió, pero no qué cambió ni si es dañino. Para saberlo hay que ver el archivo, quién lo tocó y cuándo, y para eso la integridad ofrece, según cómo esté configurada, la diferencia del contenido y el usuario que hizo el cambio.