Monitoring d'integrite de fichiers (FIM)
Qu'est-ce que Monitoring d'integrite de fichiers (FIM) ?
Monitoring d'integrite de fichiers (FIM)Controle de securite qui detecte les modifications inattendues sur les fichiers systeme, applicatifs et de configuration sensibles en les comparant a une baseline cryptographique de reference.
Le File Integrity Monitoring (FIM) maintient des empreintes cryptographiques (SHA-256 ou plus) des fichiers sensibles, cles de registre ou objets de configuration et alerte lorsque leur contenu ou leurs metadonnees evoluent hors d'une fenetre de changement approuvee. Parmi les implementations classiques : Tripwire de Gene Kim (1992), AIDE, OSSEC, Wazuh, Samhain, et les modules integres a Trend Micro, Tenable, Qualys, Splunk et la plupart des EDR. PCI DSS v4.0 exigence 11.5.2 (anciennement 11.5), HIPAA et SOX rendent le FIM obligatoire. Un FIM efficace cible un perimetre serre (binaires systeme, racines web, sudoers, /etc, hives de registre, taches planifiees), s'integre au change management pour supprimer les mises a jour autorisees et envoie les evenements vers un SIEM pour correlation avec EDR, identite et threat intelligence.
● Exemples
- 01
OSSEC alerte lorsque /etc/sudoers est modifie hors d'une execution Ansible approuvee.
- 02
Tripwire Enterprise integre au systeme de tickets pour signaler des changements non valides du document root d'un serveur web.
● Questions fréquentes
Qu'est-ce que Monitoring d'integrite de fichiers (FIM) ?
Controle de securite qui detecte les modifications inattendues sur les fichiers systeme, applicatifs et de configuration sensibles en les comparant a une baseline cryptographique de reference. Cette notion relève de la catégorie Défense et opérations en cybersécurité.
Que signifie Monitoring d'integrite de fichiers (FIM) ?
Controle de securite qui detecte les modifications inattendues sur les fichiers systeme, applicatifs et de configuration sensibles en les comparant a une baseline cryptographique de reference.
Comment fonctionne Monitoring d'integrite de fichiers (FIM) ?
Le File Integrity Monitoring (FIM) maintient des empreintes cryptographiques (SHA-256 ou plus) des fichiers sensibles, cles de registre ou objets de configuration et alerte lorsque leur contenu ou leurs metadonnees evoluent hors d'une fenetre de changement approuvee. Parmi les implementations classiques : Tripwire de Gene Kim (1992), AIDE, OSSEC, Wazuh, Samhain, et les modules integres a Trend Micro, Tenable, Qualys, Splunk et la plupart des EDR. PCI DSS v4.0 exigence 11.5.2 (anciennement 11.5), HIPAA et SOX rendent le FIM obligatoire. Un FIM efficace cible un perimetre serre (binaires systeme, racines web, sudoers, /etc, hives de registre, taches planifiees), s'integre au change management pour supprimer les mises a jour autorisees et envoie les evenements vers un SIEM pour correlation avec EDR, identite et threat intelligence.
Comment se défendre contre Monitoring d'integrite de fichiers (FIM) ?
Les défenses contre Monitoring d'integrite de fichiers (FIM) combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Monitoring d'integrite de fichiers (FIM) ?
Noms alternatifs courants : FIM, Detection de changement, Monitoring type Tripwire.
● Termes liés
- network-security№ 048
Détection par anomalie
Approche de détection qui établit une base de référence de l'activité normale et signale comme potentiellement malveillantes les déviations par rapport à celle-ci.
- defense-ops№ 371
EDR (Endpoint Detection and Response)
Technologie de sécurité d'endpoint qui enregistre en continu l'activité des processus, fichiers, registre et réseau pour détecter, analyser et répondre aux menaces sur les machines.
- compliance№ 807
PCI DSS
Norme mondiale de sécurité de l'information pour les organisations qui stockent, traitent ou transmettent des données de cartes de paiement, gérée par le PCI Security Standards Council.
- malware№ 949
Rootkit
Logiciel malveillant furtif qui octroie et masque un accès privilégié au système d'exploitation ou au matériel, en échappant aux outils de détection courants.
- forensics-ir№ 524
Réponse à incident
Processus organisé permettant de préparer, détecter, analyser, contenir, éradiquer puis récupérer suite à un incident de cybersécurité, en capitalisant sur les leçons apprises.
- defense-ops№ 091
Detection comportementale
Approche de detection qui identifie l'activite malveillante a partir du comportement a l'execution des processus, utilisateurs et flux reseau, plutot que par des signatures statiques.
● Voir aussi
- № 626Agregation de logs
- № 769OSSEC
- № 1225Wazuh