核心文件監(jiān)控配置最佳實踐
云安全中心核心文件監(jiān)控功能能夠?qū)崟r監(jiān)控服務(wù)器上核心文件的訪問情況，包括讀取、寫入、刪除、重命名和權(quán)限變更等操作，并及時發(fā)出告警，以防止核心文件被盜取或篡改。本文介紹配置核心文件監(jiān)控規(guī)則的規(guī)范和示例，可幫助您更好地使用該功能。
主機入侵檢測與核心文件監(jiān)控的關(guān)系
網(wǎng)絡(luò)安全最佳實踐建議采用多層縱深防御策略。主機入侵檢測功能可以在大部分場景下發(fā)現(xiàn)可疑的入侵行為，其檢測邏輯基于行為特征，關(guān)注已知或未知的惡意行為和系統(tǒng)活動。核心文件監(jiān)控則專注于監(jiān)控文件系統(tǒng)中的文件和目錄的完整性，檢測未授權(quán)的更改。
兩者功能互補，共同提供更全面的安全保護，可提高應(yīng)對復(fù)雜威脅的發(fā)現(xiàn)能力。當(dāng)發(fā)生安全事件時，理解攻擊者的行為至關(guān)重要。如果攻擊者讀取或修改了規(guī)則防護范圍內(nèi)的文件，核心文件監(jiān)控提供的告警記錄可以幫助運營人員追溯攻擊者的具體活動，進行有效的事件響應(yīng)和取證分析。
此外，核心文件監(jiān)控不僅能檢測外部威脅，還能識別來自內(nèi)部的威脅，比如內(nèi)部人員的惡意行為或誤操作，這些行為核心文件監(jiān)控都會記錄。
規(guī)則配置規(guī)范和示例
本部分內(nèi)容提供了核心文件監(jiān)控規(guī)則的配置規(guī)范和示例，涵蓋了常用應(yīng)用場景及規(guī)則配置說明。然而需要注意的是，不同的配置規(guī)則在不同用戶的系統(tǒng)上執(zhí)行時，或許會命中正常的運維類操作，產(chǎn)生“誤報”現(xiàn)象，下文表格的最后一欄提供了可能引發(fā)相應(yīng)策略告警的正常操作示例。
為了最大限度地降低誤報對系統(tǒng)運維的影響，建議在廣泛部署這些規(guī)則之前，先采取漸進的試驗方式：
少量試驗：在初步配置規(guī)則時，請選擇少量臺機器進行配置規(guī)則的試點。
細(xì)致監(jiān)測：在規(guī)則試運行期間，密切觀察每個規(guī)則命中的情形，以驗證規(guī)則的準(zhǔn)確性和適用性。
迭代改進：根據(jù)檢測結(jié)果，適時地為一些確認(rèn)無害的運維操作增加相應(yīng)的放行規(guī)則，以確保關(guān)鍵運維活動不會觸發(fā)告警，降低需要運營的告警量。
正式部署：在經(jīng)過數(shù)次試驗和規(guī)則優(yōu)化后，如果觀察到規(guī)則命中情況穩(wěn)定、誤報基本消失，可以在更多的服務(wù)器中部署這些配置。
類型 | 說明 | 具體類型 | 行為動作 | 文件路徑示例 | 可能觸發(fā)誤報的操作說明 |
核心系統(tǒng)文件 | 此類目錄涵蓋了大多數(shù)系統(tǒng)命令和共享鏈接庫。監(jiān)控這些目錄能夠幫助檢測潛在攻擊者的惡意篡改行為，包括植入惡意二進制文件或篡改系統(tǒng)依賴庫。 | 系統(tǒng)可執(zhí)行二進制文件目錄 | 寫入、刪除 |
| 通過包管理軟件進行安裝或更新操作時，也會對這些目錄進行寫入。此外，如果您自行從源代碼編譯安裝軟件（通常使用 make && make install 命令），也可能涉及這些目錄的寫入。因此，您需根據(jù)實際情況配置相應(yīng)的放行規(guī)則，以避免此類正常操作觸發(fā)告警。 |
共享庫文件目錄 | 寫入、刪除 |
| |||
配置類文件 | 攻擊者可能會修改各種關(guān)鍵系統(tǒng)配置文件，以實現(xiàn)不同的惡意目的。例如：
| 用戶與權(quán)限相關(guān)文件 | 寫入 |
| 正常的用戶添加（useradd）、權(quán)限修改（usermod）、刪除用戶（userdel）和修改密碼（passwd）等命令可能會對這類文件進行寫入操作。用戶可以根據(jù)具體的運維操作規(guī)范，增加相應(yīng)的放行規(guī)則，或?qū)⒏婢瘮?shù)據(jù)用作審計日志。 |
關(guān)鍵系統(tǒng)配置文件 | 寫入、刪除 |
| 在運維操作需要調(diào)整系統(tǒng)的網(wǎng)絡(luò)設(shè)置、名稱解析、內(nèi)核參數(shù)調(diào)整等配置時，會修改此類文件。 | ||
運維類應(yīng)用配置文件 | 寫入 |
| 在系統(tǒng)的維護、配置更新、安全加固或密鑰定期輪轉(zhuǎn)的過程中，可能會修改這些文件，建議配置對應(yīng)的放行規(guī)則。 | ||
安全審計類配置文件 | 寫入、刪除 |
| 首次設(shè)置系統(tǒng)的審計框架，或者根據(jù)合規(guī)、安全等需求調(diào)整監(jiān)控策略時，可能需要修改此類文件。 | ||
Web服務(wù)類配置文件 | 寫入 |
| Web服務(wù)的初始配置、安裝后設(shè)置、相關(guān)模塊的添加和刪除，以及Web服務(wù)的更新等操作，都可能導(dǎo)致此類被監(jiān)控文件的修改。 | ||
數(shù)據(jù)庫類配置文件 | 寫入 |
| 數(shù)據(jù)庫服務(wù)的安裝和運維變更等操作可能會導(dǎo)致此類配置文件的變化，建議根據(jù)實際情況增加相應(yīng)的放行規(guī)則。 | ||
常見的持久化點位 | 攻擊者通常會添加定時任務(wù)、惡意服務(wù)或啟動腳本等配置，以在周期性執(zhí)行或系統(tǒng)重啟后持續(xù)保持訪問權(quán)限。 | Cron類 | 寫入 |
| 正常運維操作可能會新增、調(diào)整或刪除現(xiàn)有的crontab條目，從而修改相應(yīng)的文件。 |
服務(wù)類 | 寫入 |
| 在安裝一些服務(wù)類應(yīng)用時，會存在添加、修改系統(tǒng)服務(wù)的操作。 | ||
Shell配置類 | 寫入 |
| 運維人員在修改默認(rèn)環(huán)境設(shè)置或為頻繁使用的長命令創(chuàng)建別名時，可能會更改相關(guān)文件的內(nèi)容。 | ||
Web服務(wù)的代碼目錄 | 配置對Web服務(wù)的代碼目錄進行文件監(jiān)控的規(guī)則有助于保障Web應(yīng)用的安全。通常情況下，攻擊者會利用漏洞或未授權(quán)訪問等弱點，上傳Webshell惡意文件。通過這些Webshell文件，攻擊者可以進一步遠(yuǎn)程訪問、控制和管理受攻擊的服務(wù)器。通過監(jiān)控Web服務(wù)的代碼目錄，可以有效發(fā)現(xiàn)潛在的Webshell上傳行為，檢測未經(jīng)授權(quán)的更改，包括Web頁面的篡改、惡意腳本的植入以及其他惡意活動。 | Web代碼目錄 | 寫入，權(quán)限變更 |
| 在正常的業(yè)務(wù)和維護操作中，服務(wù)更新和部署，以及部分CMS的插件、主題的安裝和更新，都可能會向代碼目錄寫入Web腳本文件。一些自動化部署工具（如Jenkins、GitLab CI/CD、Ansible等）也會在持續(xù)集成和部署過程中寫入文件。在這種情況下，需要配置具體的寫入進程，或排除外部可上傳的目錄，并限制特定文件后綴，以確保安全。 |
包含敏感內(nèi)容的文件 | 敏感鑒權(quán)信息的泄露是網(wǎng)絡(luò)安全的主要風(fēng)險之一。攻擊者在獲得一臺主機的權(quán)限后，通常會進一步搜尋敏感鑒權(quán)信息，以進行橫向移動并擴大入侵范圍。因此，對包含敏感內(nèi)容的文件配置讀取操作的監(jiān)控，可以有效并及時地發(fā)現(xiàn)此類風(fēng)險或惡意行為。 | 云服務(wù)類CLI鑒權(quán)信息 | 讀取 |
| 包含敏感信息的文件通常會被其歸屬的應(yīng)用程序讀取。例如，Alibaba Cloud CLI 會讀取 |
版本控制鑒權(quán)信息 | 讀取 |
| |||
數(shù)據(jù)庫配置 | 讀取 | / | |||
運維、編排系統(tǒng)的私鑰信息 | 讀取 |
|
相關(guān)文檔
關(guān)于核心文件監(jiān)控功能的更多信息，請參見核心文件監(jiān)控。
如果需要確保網(wǎng)站文件或目錄不被篡改，您可以使用網(wǎng)頁防篡改功能。更多信息，請參見網(wǎng)頁防篡改。