Integridad de archivos (FIM) — beta

La supervisión de integridad de archivos vigila archivos importantes del sistema en servidores y estaciones con Elastic Agent y registra cada creación, modificación, eliminación, traslado y cambio de permisos o propietario. Los cambios de archivos críticos (cuentas, SSH, sudo, cron, systemd, programas del sistema) se convierten en eventos del Centro de eventos, se evalúan en la Puntuación de seguridad y el cumplimiento NIS2 y se asignan a MITRE ATT&CK.

• •Recopilación — la integración de Elastic Agent «File Integrity Monitoring» (entrada audit/file_integrity) envía los eventos de archivos al flujo de datos logs-fim.event-default. Tras cambiar las rutas vigiladas el agente realiza un escaneo inicial (eventos «escaneo inicial»).
• •Políticas → Fleet — las políticas de FlowPRO son la fuente de verdad: cada 10 minutos y justo después de cada cambio FlowPRO escribe las rutas, exclusiones y hashes en la integración FIM de cada política de Fleet. Elimina entradas FIM duplicadas. Nunca reinicia los agentes.
• •Evaluación — cada minuto FlowPRO lee los eventos nuevos (no omite nada, ni miles a la vez), mantiene el último estado conocido de cada archivo por equipo y aplica las reglas de alerta. Las coincidencias se agrupan por regla y equipo; durante la espera aguardan y después se notifican con el recuento completo.
• •Actualizaciones de software — los cambios del gestor de paquetes (archivos temporales dpkg/rpm, procesos de paquetes o una ráfaga de cambios en directorios del sistema) se notifican como un único evento informativo «Actualización de software» por equipo como máximo cada 6 horas en lugar de miles de alertas.
• •Cobertura — el estado de FIM por agente se lee del estado de los componentes en Fleet. Un servidor tranquilo sin cambios está bien; un agente cuya entrada FIM desaparece o falla genera el evento «FIM no se está ejecutando».

• •Cada fila es un evento del Centro de eventos (origen «Integridad de archivos»): regla, equipo, número de cambios, archivos de ejemplo con acción, SHA-256, proceso y hora.
• •Confirmar (analista, administrador) marca un cambio como esperado, con una nota opcional: el registro de auditoría de cambios aprobados que exige la gestión de cambios de NIS2. Se pueden confirmar varios cambios a la vez.
• •Los cambios críticos y altos pendientes reducen la Puntuación de seguridad; los de más de 7 días incumplen el control NIS2 FI-2.

Todos los eventos de archivos de los agentes: filtro por equipo, ruta, acción y periodo (hasta 90 días). Un clic abre el detalle con propietario, permisos, tamaño, hashes, hora de modificación, inode y, con la fuente eBPF, el proceso y el usuario. Los filtros se guardan en la URL, por lo que la vista se puede compartir.

Los controles también se evalúan en el módulo Cumplimiento (NIS2, categoría Integridad del sistema). Estados de las políticas de Fleet: Escrita — FlowPRO gestiona la integración FIM; Sin FIM — ninguna política de FlowPRO la usa; Gestionada fuera de FlowPRO — FIM se configuró a mano en Kibana y no se modifica; Error — vea el mensaje.

• •Canales de notificación + severidad mínima — adónde se envían los eventos de cambios (correo, Teams, Slack, webhook …).
• •Notificar actualizaciones / umbral de ráfaga — número de cambios en directorios del sistema en un minuto a partir del cual el equipo se considera en actualización durante 15 minutos.
• •Notificar caída y recuperación de FIM en un agente; Escribir políticas en Fleet automáticamente (desactívelo solo si gestiona la integración FIM en Kibana).

Una política define el sistema operativo, las rutas vigiladas (los directorios se vigilan de forma recursiva), las rutas excluidas, los algoritmos de hash, la fuente de eventos en Linux y las políticas de Fleet de destino (vacío = todas las del sistema). El sistema de una política de Fleet se toma de sus agentes (o de su nombre si no tiene ninguno). Varias políticas en una política de Fleet se combinan.

Una regla pertenece a una política y se aplica a sus equipos. Los patrones usan * y ? (p. ej. /etc/ssh/*, */.ssh/authorized_keys; las rutas de Windows no distinguen mayúsculas). La espera limita la frecuencia con la que una regla notifica el mismo equipo; los cambios intermedios no se pierden y se añaden al siguiente evento. La técnica MITRE sitúa el cambio en la matriz ATT&CK. «Probar» muestra cuántos eventos de los últimos 7 días habría detectado la regla.

Una línea base es una instantánea aprobada de los archivos de un equipo (hash, propietario, grupo, permisos) dentro de las rutas de una política, tomada del estado de archivos que FlowPRO construye a partir de los eventos FIM (incluido el escaneo inicial del agente). La comparación muestra los archivos añadidos, eliminados o modificados (con hash / propietario / permisos anteriores y nuevos) desde la instantánea y el número de eventos de cambio desde entonces. Créela tras la instalación o un cambio aprobado; pueden hacerlo analistas y administradores.

El panel «Archivos conocidos del equipo» muestra el último estado conocido de cada archivo vigilado y permite buscar y mostrar los eliminados.