文件完整性监控（FIM）
文件完整性监控是一项功能，可帮助您监控在 Windows 和 Linux 系统中文件和文件夹所做的所有更改（添加/删除/修改）。
重要说明：- 建议仅对严格必要的文件和文件夹实施 FIM，以避免由于生成大量日志而可能出现的磁盘空间问题。
- 在 Windows FIM 模块中，
- 如果为 FIM 配置了 Windows 文件 Server，则需要同时具备 Windows Server 和 文件 Server 许可证。
- 如果为 FIM 配置了 Windows Server，则只需要一个Windows Server 许可证。
- 如果为 FIM 配置了 Windows 工作站，则只需要一个Windows 工作站许可证。
Linux FIM 代理架构：
要安装软件包，请在此处查看语法。
文件完整性监控的先决条件
Windows：
- 当您为 Windows 启用文件完整性监控时，文件服务器上将自动启用某些访问策略。如果您的域中存在覆盖审核策略的 GPO，请按照以下步骤手动启用相应策略
- 在管理员命令提示符中输入命令：auditpol/get/category:"Object Access"
- 然后启用以下访问策略
- 审计文件共享
- 审计文件系统
- 审核句柄操作
- 文件共享详细审计
- 审核其他对象访问事件。
- 应为受监控的文件或文件夹启用 SACLs。产品会自动启用它们。如果未启用，请使用以下权限手动更新 SACLs (查看方法)
- 执行文件/遍历文件夹
- 写入数据/创建文件
- 追加数据/创建文件夹
- 写入属性
- 写入扩展属性
- 删除子文件夹和文件
- 删除读取权限
- 更改权限
- 主动承担责任
Linux：
注意： Server 仅将代理凭据用于文档中提到的操作。
配置适用于 Linux 的 FIM 会审计以下对 Linux 文件的操作：
由于 auditd 需要 root 或 sudo 权限，如果用户没有这些权限，请按照获取权限的步骤进行操作。
安装 FIM 代理所需权限：
- 将 AgentManager 添加到 Sudoers 文件。
- 创建一个目录并为其分配权限。
1. 将 AgentManager 添加到 sudoers 文件：
要让非 sudo 用户以 sudo 权限运行 AgentManager，请按照以下说明操作：
- 使用 root 用户来配置权限。
- 请执行以下命令：
复制到剪贴板 visudo -f /etc/sudoers.d/<username>
- 将以下行添加到 sudoers 文件：
复制到剪贴板 <username> ALL=NOPASSWD: /opt/ManageEngine/EventLogAnalyzer_Agent/bin/AgentManager *
示例：
- visudo -f /etc/sudoers.d/testuser
- testuser ALL=NOPASSWD: /opt/ManageEngine/EventLogAnalyzer_Agent/bin/AgentManager *
注意: 在安装之前，确保已将 AgentManager 添加到 sudoers 文件中。要验证，请执行以下命令。
cat /etc/sudoers.d/<用户名>
示例: cat /etc/sudoers.d/testuser
预期输出: testuser ALL=NOPASSWD: /opt/ManageEngine/EventLogAnalyzer_Agent/bin/AgentManager *
在 Sudoers 文件中添加 AgentManager 的原因：
以下操作需要 sudo 权限：
- 将 Agent 目录和 elafim.conf 文件[位于 audit [或] audisp 目录下]的所有权转移给 root 用户。
- 重新启动 auditd 服务也可能需要 root 权限。
2. 创建一个目录并为其授予权限
为防止除 ManageEngine 之外的目录遭到未授权访问，请以 root 身份为无 sudo 权限的用户执行以下命令。
创建目录：
复制到剪贴板 授予目录权限：
复制到剪贴板 setfacl -m u:<username>:rwx /opt/ManageEngine/
适用于 CentOS/RHEL v8 及更高版本/Ubuntu/openSUSE/Debian/Fedora：
复制到剪贴板 setfacl -m u:<username>:wx /etc/audit/ /etc/audit/plugins.d/
适用于 CentOS/RHEL v6 至 v7.9：
复制到剪贴板 setfacl -m u:<username>:wx /etc/audisp/ /etc/audisp/plugins.d/
为 audit.rules 授予权限：
复制到剪贴板 setfacl -m u:<username>:r /etc/audit/audit.rules
示例: setfacl -m u:testuser:rwx /opt/ManageEngine/
配置文件完整性监控
要配置文件完整性监控，请前往
- 前往 设置 > 配置 > 管理 文件完整性监控。
- 根据您希望监控的文件和文件夹所在的设备，单击 Windows 或 Linux 选项卡。
- 单击添加 FIM。
- 选择文件/文件夹所在的设备，输入正确的凭据，浏览并选择您希望监控的文件和文件夹。或者，您可以输入文件/文件夹的位置。
注意： 对于 Linux 设备，除了输入上述详细信息之外，还会提示您输入 SSH 端口号。
配置批量文件完整性监控
如果需要将位于多个设备上的相同文件和文件夹添加到监控中，可以使用批量文件完整性监控功能。
- 前往 设置 > 配置 > 管理 文件完整性监控。
- 根据您希望监控的文件和文件夹所在的设备，单击Windows或Linux 选项卡。
- 单击 添加 FIM。 在右上角选择 配置多个设备。
- 选择文件/文件夹所在的设备，输入正确的凭据，并选择文件模板。
注意： 对于 Linux 设备，除了输入上述详细信息之外，还会提示您输入 SSH 端口号。
注意： - 如果在要监控其文件的设备上已安装代理程序，代理程序会自动启用文件监控。
- 如果在要监控文件的设备上未安装代理程序，将安装代理程序并在其中启用文件监控。
- 请注意，对文件夹发生的每次更改所生成的日志量可能会影响文件服务器的性能。建议将文件/文件夹监控限制在所需的文件/文件夹范围内。
管理文件完整性监控（FIM）模板
若需要在多台设备上监控相同的文件或文件夹，可以创建一个模板并将其分配给这些设备。要创建 FIM 模板，请按以下步骤进行：
- 导航至 设置 > 配置 > 管理文件完整性监控 > FIM 模板。
- 根据您希望监控的文件和文件夹所在的设备，单击 Windows 或 Linux 选项卡。
- 点击 添加 FIM。
- 输入模板名称，并选择文件和文件夹的位置。
或者，您可以输入文件/文件夹的位置。
- 排除过滤器为你提供一个排除选项
- Certain file types.
- Certain sub-locations within the main location.
- All sub-locations within the main location.
如果您想了解是谁对文件或文件夹进行了更改，请勾选审计用户名复选框。单击 配置。
所有已创建的模板都会以表格形式列出，并提供编辑/删除选项。
点击此处展开
下载 PDF