QRadar

​​IBM 并不提供一个名为“FIM”的独立产品。​​ 其文件完整性监控能力是其更广泛的安全与合规产品组合中的一项​​核心功能​​，主要深度集成于以下两个关键平台中：

1. ​​IBM Security Guardium​​
2. ​​IBM Security QRadar​​

这种集成化的方式体现了IBM的战略：将FIM作为一项关键数据输入和控制点，融入更大的安全与合规工作流中，而非提供一个单点工具。

​​IBM 文件完整性监控 (FIM) 解决方案详解​​

​​一、 核心产品载体​​

​​1. IBM Security Guardium - 数据安全与合规平台​​

Guardium 是IBM在数据安全领域的旗舰产品，其FIM功能侧重于​​保护核心数据资产​​的底层基础设施。

• ​​功能模块​​： FIM功能通常由 ​​IBM Security Guardium Data Protection​​ 或 ​​Guardium Vulnerability Assessment​​ 组件提供。
• ​​监控重点​​：
• ​​数据库及相关系统​​： 监控数据库服务器（如Db2, Oracle, SQL Server, SAP HANA）、大数据平台（如 Hadoop）的关键文件和配置变更。
• ​​关键目录与文件​​： 监控数据库配置文件（如 spfile.ora, my.cnf）、日志文件、审计轨迹文件、备份文件等，防止篡改或未授权的访问。
• ​​权限变更​​： 检测对数据库或系统关键目录的权限修改。
• ​​核心价值​​：
• ​​合规性驱动​​： 直接服务于 ​​PCI DSS, SOX, HIPAA, GDPR​​ 等法规中关于“保护审计工具”和“防止篡改”的要求。Guardium 自身就是一款审计工具，因此确保其监控目标和自身系统的完整性至关重要。
• ​​数据安全上下文​​： 将文件变更与数据库的异常访问行为（如大量数据下载）关联起来，提供更丰富的威胁上下文。例如，一个配置文件被修改后紧接着发生了异常数据查询，这极可能是一次攻击链。

​​2. IBM Security QRadar - 安全信息与事件管理 (SIEM) 平台​​

QRadar 是IBM的SIEM和安全分析中枢，其FIM能力通过​​集成与关联​​来实现。

• ​​实现方式​​：
• ​​通过QRadar代理​​： QRadar可以在目标系统（服务器、工作站）上部署轻量级代理（Log Agent或WinCollect），配置其收集文件完整性事件。
• ​​通过第三方FIM产品集成​​： QRadar拥有一个庞大的生态系统，可以通过​​QRadar App​​ 的形式（例如专门的Tripwire App）直接接收并解析来自专业第三方FIM产品（如Tripwire）的告警事件。
• ​​核心价值​​：
• ​​安全事件关联​​： 这是其最大优势。QRadar将接收到的文件变更事件与来自网络、终端、应用的​​数百万其他安全事件​​进行关联分析。
• ​​示例​​： 一次文件篡改告警，如果与一次成功的暴力破解登录事件、一个来自可疑IP的访问以及一个异常进程创建事件在短时间内相继发生，QRadar可以将其关联成一个高置信度的​​攻击事件（Offense）​​，而非孤立的低优先级告警。
• ​​统一仪表盘与响应​​： 在QRadar的单一控制台上，安全分析师可以看到文件变更事件及其丰富的上下文，并可以从这里发起调查和响应流程。

​​二、 核心功能与特性​​

基于上述平台，IBM的FIM解决方案提供以下能力：

1. ​​变更检测与告警​​

• 监控对文件、目录、Windows注册表键值的增、删、改操作。
• 基于哈希算法（如SHA-256）进行精确校验，确保极低的误报率。

1. ​​基准管理与策略定义​​

• 能够为受监控的系统建立“已知良好”的基准状态。
• 提供灵活的策略定义，允许用户自定义监控哪些文件、忽略哪些文件（如临时目录）。

1. ​​丰富的集成与关联 (QRadar核心优势)​​

• 将FIM事件与整个IT环境的安全数据关联，提供无与伦比的威胁可见性。
• 支持与IBM的SOAR（安全编排、自动化与响应）产品 ​​IBM Security QRadar SOAR​​ （原Resilient）集成，实现自动化响应工单。

1. ​​合规性报告与审计​​

• ​​Guardium​​ 提供开箱即用的合规报告，直接满足审计员对FIM的要求。
• ​​QRadar​​ 可以生成自定义的安全运营报告，展示文件完整性相关的安全事件和趋势。

​​

三、 典型应用场景​​

• ​​核心数据库保护​​： 监控关键数据库服务器的系统和配置文件完整性，这是Guardium的核心场景。
• ​​安全事件调查与溯源​​： 当QRadar检测到可疑活动时，调查人员可以查看相关系统是否发生了文件变更，以确定攻击是否成功或如何持久化。
• ​​满足严格合规要求​​： 为受监管行业（金融、医疗）提供证据，证明其关键审计工具和系统的完整性得到了监控。
• ​​混合云环境监控​​： QRadar 可以监控部署在公有云（如IBM Cloud, AWS, Azure）上的工作负载的文件活动。