文件完整性基准<\/strong><\/p>

文件完整性监控的核心是检测变化，但判断“变化”需要一个基准。基准是系统在已知良好状态<\/strong>下，每个受监控文件经特定密码学哈希算法（如SHA-256）计算出的指纹值的集合。<\/p>

创建基准的步骤<\/strong><\/p>

定义范围与策略<\/strong>：确定需要监控的关键文件与目录，通常包括系统二进制文件（如\/usr\/bin, \/system32）、配置文件（如\/etc, \/ProgramData）、静态网站内容等。策略需规定基准创建的时机（如系统初始安装、安全加固后）。<\/li>
获取初始哈希值<\/strong>：在系统干净的、可信的状态下，遍历目标文件，为每个文件计算密码学哈希值，并记录其关键属性（如文件路径、大小、权限、修改时间戳）。<\/li>
安全存储基准数据<\/strong>：将收集到的哈希值与属性信息组合成一个基准数据库，并对其进行数字签名或存储于只读、受严格访问控制的介质中。关键点<\/strong>是必须保证基准自身不可被篡改，否则整个监控系统将失效。<\/li> <\/ol>
基准的应用与挑战<\/strong><\/p>

应用<\/strong>：在后续的监控周期中，将当前文件的哈希值与基准数据库中的值进行比较。任何未经验证的差异都会被标记为潜在的完整性违规事件。<\/li>
挑战<\/strong>：并非所有变化都是恶意的。合法的系统更新、授权配置调整会导致文件变更。因此，建立基准后，必须有明确的变更管理流程<\/strong>来批准和更新基准。常见的做法是结合白名单<\/strong>或变更窗口<\/strong>，在特定时间或对特定文件允许预期的变化，并据此更新基准文件，使其保持最新“已知良好状态”。<\/li> <\/ul>