主机文件完整性监控流程<\/strong><\/p>

概念定义<\/strong>：主机文件完整性监控是指对服务器或终端计算机上的重要文件和目录进行持续监控，检测其内容、属性、权限等是否发生未经授权的更改，并生成告警或报告的安全运维活动。其核心目标是发现恶意篡改、误操作或配置漂移，确保系统关键文件的完整性和一致性。<\/p> <\/li>

监控对象识别<\/strong>：该流程的首要步骤是确定需要监控的关键文件与目录。这通常包括：<\/p>

系统核心文件<\/strong>：操作系统内核、动态链接库（\/lib<\/code>， \/usr\/lib<\/code>， C:\Windows\System32<\/code>）、关键可执行文件（\/bin<\/code>， \/sbin<\/code>， C:\Windows<\/code>下的系统程序）。<\/li>
配置文件<\/strong>：系统配置文件（如\/etc\/passwd<\/code>， \/etc\/ssh\/sshd_config<\/code>， Windows注册表关键项）、应用程序配置文件。<\/li>
重要数据与日志文件<\/strong>：网站内容目录、数据库文件、审计日志和安全日志文件。<\/li>
静态可信基准<\/strong>：通常需要在系统处于“已知良好”状态（如新部署、安全加固后）时创建监控对象的初始完整性快照，作为后续比对的基准。<\/li> <\/ul> <\/li>
监控策略制定与部署<\/strong>：在明确监控对象后，需制定并实施监控策略：<\/p> 部署监控代理\/工具<\/strong>：在主机构上安装专用的完整性监控代理（如开源的AIDE、Tripwire的商业或开源版本，或EDR\/主机安全产品的相关模块）。<\/li> 配置监控规则<\/strong>：在代理中定义需监控的文件\/目录路径，并指定监控的属性，如文件内容的哈希值（MD5， SHA-256）、文件权限（所有者、组、访问控制列表）、文件大小、最后修改时间、inode等。<\/li> 建立基准数据库<\/strong>：在受监控系统处于可信状态时，运行监控工具，根据规则计算并加密存储所有监控对象的基准哈希值与属性，生成“基准数据库”。该数据库应存储在只读介质或安全中心服务器上，以防被篡改。<\/li> <\/ul> <\/li> 持续监控与变更检测<\/strong>：这是流程的核心执行环节：<\/p> 定期扫描<\/strong>：监控代理按预设计划（如每日、每小时）对监控对象重新计算其当前哈希值与属性。<\/li> 完整性校验<\/strong>：将计算结果与基准数据库中的记录进行对比。<\/li> 变更识别<\/strong>：任何未在策略中预先允许的差异（如文件哈希值改变、权限变更、文件被新增或删除）都会被识别为“完整性破坏事件”。<\/li> <\/ul> <\/li> 告警与响应处置<\/strong>：当检测到未授权的变更时，流程进入响应阶段：<\/p> 告警生成与上报<\/strong>：监控代理或管理控制台立即生成安全告警，并通过邮件、短信、SIEM或SOAR平台等渠道通知安全运维人员。告警信息应包含变更详情（文件名、变更类型、时间、相关进程等）。<\/li> 变更验证与调查<\/strong>：安全人员收到告警后，首先验证告警是否真实有效（排除误报，如已知的合法更新操作）。随后调查变更原因，判断是恶意活动（如木马植入、配置被黑）、合法但未记录的运维操作，还是系统自身行为。<\/li> 处置与恢复<\/strong>：根据调查结果采取行动。若为恶意篡改，立即启动应急响应流程，隔离主机、清除恶意文件，并从可信备份中恢复原始文件。若为配置漂移，则按照配置管理流程进行纠正或正式批准变更。<\/li> <\/ul> <\/li> 基准维护与审计优化<\/strong>：为确保监控长期有效，需进行闭环管理：<\/p> 基准更新<\/strong>：在确认合法的系统更新或授权变更后（如软件升级、合规性配置调整），必须及时更新基准数据库，以反映新的“已知良好”状态，避免后续产生大量合法告警。<\/li> 策略调优<\/strong>：定期审查监控策略，根据业务变化、威胁情报和误报分析，调整监控范围、精细度或告警阈值。<\/li> 审计与报告<\/strong>：定期生成文件完整性监控报告，总结监控覆盖率、告警数量、处置结果及趋势分析，为安全运维管理和合规审计提供依据。<\/li> <\/ul> <\/li> <\/ol>