Monitoreo e integridad de archivos en el perímetro

Una herramienta de integridad de archivos guarda una referencia de cómo debe estar un archivo crítico, por ejemplo su huella, y compara después el estado real con esa referencia. Si difiere, avisa. No impide el cambio ni dice si fue malo: dice que ocurrió, cuándo y sobre qué archivo, y deja a una persona decidir si coincide con un cambio aprobado.

La norma PCI DSS pide un mecanismo de detección de cambios en archivos críticos que avise al personal de las modificaciones no autorizadas.

Todo cambio aprobado deja un ticket con su ventana de tiempo. Una alerta que no cita ninguno es un cambio sin autorización conocida: puede ser un olvido de procedimiento o un acceso indebido, y hasta que se aclare se trata como lo segundo. Un archivo de configuración del acceso administrativo es de los últimos que se desea ver cambiar sin aviso.

Lee las alertas de integridad del día.

Citar un ticket no basta: el cambio debe ocurrir dentro de la ventana que ese ticket aprobó. Un cambio dos horas después, aunque lleve un ticket real, es un cambio fuera de lo aprobado. Para comprobarlo se cruza la hora del cambio con la ventana del ticket citado, en la misma zona horaria; aquí todo está en UTC.

El valor de la vigilancia depende de cuánto pasa entre el cambio y el aviso. Se mide restando las dos horas. Un aviso que llega a los pocos segundos permite actuar; uno que llega horas después deja la ventana abierta mientras el cambio hace efecto. Para el cambio que no citó ticket, ese tiempo es parte del informe.

Una alerta de integridad sin cambio aprobado se trata como un posible incidente. Se conserva primero la evidencia: la copia del archivo tal como está, su huella y los registros de acceso de esa hora. Después se compara con la referencia, se identifica quién entró y se decide. Sobrescribir el archivo con la versión buena sin guardar antes la modificada borra el rastro.