主页 » 配置 > 文件完整性监视

# 文件完整性监控 (FIM)

文件完整性监控是一项功能，可帮助您监控 Windows 和 Linux 系统中文件和文件夹的所有更改（添加/删除/修改）。

重要提示:

1. 建议仅对必要的文件和文件夹实施 FIM，以避免由生成的日志数量过多导致的磁盘空间问题。
2. 在 Windows FIM 模块中，监视需要 Windows 服务器和 Windows 文件服务器许可证。

## 文件完整性监控先决条件

#### Windows:

- 当您为 Windows 启用文件完整性监控时，将自动启用某些文件服务器的访问策略。如果在您的域中存在覆盖审核策略的 GPO，请按照以下步骤手动启用它们

- 在管理员命令提示符中输入以下命令：
  auditpol/get/category:"Object Access"
- 然后继续启用以下访问策略

- 审核文件共享
- 审核文件系统
- 审核句柄操作
- 审核详细的文件共享
- 审核其他对象访问事件。

- 所监控的文件/文件夹应启用 SACLs。此产品会自动启用它们。如果没有，请手动使用以下权限更新 SACLs (查看如何)

- 执行文件/遍历文件夹
- 写数据/创建文件
- 附加数据/创建文件夹
- 写属性
- 写扩展属性
- 删除子文件夹和文件
- 删除读取权限
- 更改权限
- 取得所有权

#### Linux:

- 在 Linux 机器上应安装 SSH 服务器（仅限安装时必需）。
- 确保已在 Linux 机器上安装和配置审计守护程序。同时，确保：

- Linux 内核版本为 2.6.25 或更高版本
- Linux 审计框架版本高于 1.8

- 如果从 /etc/audit/audit.rules 启用了系统调用块规则和不可变规则，请删除以下规则：

- 系统调用块规则，-a never，task
- 不可变规则，-e 2

- 如果您正在为 SUSE 机器启用审计，请设置以下规则：

- 导航到 /etc/sysconfig/auditd
- 设置 AUDITD_DISABLE_CONTEXTS = no

- 如果存在安全增强型 Linux（SELinux），则必须处于宽容模式或禁用状态：

- 使用命令 getenforce 检查 SELinux 状态。
- 如果状态为“强制执行”，请导航到文件 /etc/selinux/config 并进行以下编辑：SELINUX = permissive。
- 重新启动服务器。

注意: 配置 Linux 的 FIM 将审计 Linux 文件的以下操作：

- 读取
- 写入
- 执行
- 属性更改

## 配置文件完整性监控

要配置文件完整性监控，请执行以下步骤：

- 导航至设置 > 配置 > 管理文件完整性监控。
- 根据您要监控的文件或文件夹所在的设备，单击Windows或Linux选项卡。
- 单击添加FIM。
- 选择包含要监控的文件或文件夹的设备，输入正确的凭据，浏览并选择您要监控的文件和文件夹。或者，您也可以输入文件/文件夹的位置。

注意：对于Linux设备，除了输入上述详细信息外，还会提示您输入SSH端口号。

- 排除过滤器使您可以选择排除
  1. 特定的文件类型。
  2. 主位置内的特定子位置。
  3. 主位置内的所有子位置。
- 如果您想知道是谁更改了文件或文件夹，请勾选审计用户名复选框。
注意：对于Linux设备，默认情况下会记录用户名。
- 单击配置。

## 配置批量文件完整性监控

如果需要添加多个设备中相同的文件和文件夹进行监控，则可以使用批量文件完整性监控功能。

- 导航到设置 > 配置 > 管理文件完整性监控。
- 根据您要监视的文件和文件夹所在的设备，单击Windows或Linux选项卡。
- 单击添加FIM。在右上角选择配置多个设备。
- 选择文件模板，选择所在的设备，输入正确的凭据。

注意:对于Linux设备，除了输入上述详细信息外，您还将被提示输入SSH端口号。

- 单击配置。

备注：

- 如果设备中已经安装了代理程序，那么文件监控将自动在代理程序中启用。
- 如果设备中尚未安装代理程序以监控文件，则将安装代理程序并在其中启用文件监控。
- 请注意，每次发生更改时生成的日志量可能会影响文件服务器的性能。建议将文件/文件夹监控限制在所需的文件/文件夹范围内。

## 管理文件完整性监控（FIM）模板

如果需要在多个设备中监控相同的文件或文件夹，则可以创建一个模板并将其分配给这些设备。请按照以下步骤创建FIM模板：

- 导航到设置 > 配置 > 管理文件完整性监控 > FIM模板。
- 根据要监视的文件和文件夹所在的设备，单击Windows或Linux选项卡。
- 单击添加FIM。
- 输入模板名称并选择文件和文件夹的位置。

或者，您可以输入文件/文件夹的位置。

- 排除过滤器提供了排除以下选项：

1. 特定文件类型。
2. 主位置内的特定子位置。
3. 主位置内的所有子位置。

- 如果想知道是谁更改了文件或文件夹，请选中审核用户名复选框。
- 单击配置。

所有创建的模板都在一个表格列中列出，并提供编辑/删除选项。

## 本页面包括以下内容：

- 文件完整性监测的前提条件
- 配置文件完整性监测
- 配置批量文件完整性监测
- 管理文件完整性监测 (FIM) 模板

Copyright © 2022, ZOHO Corp。版权所有。
ManageEngine