ファイル整合性監視 (FIM)

# はじめに

ファイル整合性監視（FIM: File Integrity Monitoring）は、オペレーティングシステムやアプリケーションのファイルが正当であることを検証するための重要なセキュリティ制御です。現在のファイル状態を、あらかじめ定義された「正常な状態（ベースライン）」と比較することで機能します。ファイルが予期せず変更、追加、または削除された場合、それはシステムの侵害や不正な変更の兆候である可能性があります。

FIM が重要である理由は、多くの深刻な攻撃が最終的にファイルへの変更を伴うためです。マルウェアが新しい実行ファイルを配置したり、永続化メカニズムがスタートアップファイルを改ざんしたり、あるいは不注意な管理者が意図せず設定を変更したりすることがあります。これらの変更を監視しても、なぜそれが起きたのかという原因までは分かりませんが、ホスト上の何かが期待される状態ではなくなったという信頼できるシグナルを得ることができます。

この実験では、Linux 用の一般的なオープンソース FIM ツールである AIDE（Advanced Intrusion Detection Environment）を使用します。AIDE のインストール方法、システムの暗号化ベースラインデータベースの生成方法、悪意のあるファイル変更のシミュレーション、そして最終的に整合性チェックを実行して不正な変更を検出する方法を学びます。