一、什麼是檔案完整性監控（FIM）？

檔案完整性監控（File Integrity Monitoring，FIM）是一種用於偵測檔案異常變更的資安技術。
當重要的系統設定檔或應用程式檔案遭到修改時，可能代表正常的系統維護，也可能是攻擊者正在進行未經授權的操作。
Wazuh 的 FIM 功能可以監控以下事件：

• 檔案新增：偵測監控目錄中出現的新檔案。
• 檔案修改：偵測檔案內容或屬性變更。
• 檔案刪除：偵測原本存在的檔案遭到移除。
• 檔案屬性變更：例如權限、擁有者或雜湊值發生改變。
  Wazuh 透過比較檔案的雜湊值與相關屬性，判斷檔案是否發生變更。

二、FIM 的主要監控方式

Wazuh 提供多種檔案監控模式，可以依照系統需求進行設定。

其中，Real-time Monitoring 可以在檔案發生變更時快速偵測事件，而 Who-data Monitoring 則可以提供更詳細的變更來源資訊。

三、設定 Wazuh FIM 監控目錄

本次以 Linux 系統為範例，建立一個測試目錄，並設定 Wazuh 進行即時監控。
步驟一：建立測試目錄

sudo mkdir -p /home/wazuh-test

步驟二：修改 Agent 設定檔
開啟 Wazuh Agent 的設定檔：

sudo nano /var/ossec/etc/ossec.conf

找到原本的 區塊，在其中加入：

<directories realtime="yes" check_all="yes">/home/wazuh-test</directories>

這段設定代表：

• realtime="yes"：啟用即時監控。
• check_all="yes"：檢查檔案的各項完整性屬性。
• /home/wazuh-test：指定監控目錄。
  注意：應將上述設定加入既有的 區塊，避免重複建立不必要的設定區塊。
  步驟三：重新啟動 Wazuh Agent

sudo systemctl restart wazuh-agent

重新啟動後，Wazuh Agent 就會載入新的 FIM 監控設定。

四、模擬檔案變更事件

完成設定後，可以透過簡單的指令模擬檔案異動。

1. 新增檔案

echo "Hello Wazuh" | sudo tee /home/wazuh-test/test.txt

此指令會建立 test.txt，並寫入測試文字。
2. 修改檔案

echo "File Modified" | sudo tee -a /home/wazuh-test/test.txt

這個操作會在原有檔案中新增文字，模擬檔案內容遭到修改。
3. 刪除檔案

sudo rm /home/wazuh-test/test.txt

刪除檔案後，Wazuh 也可以偵測到對應的異動事件。

五、查看 FIM 監控結果

完成上述操作後，可以進入 Wazuh Dashboard，開啟 File Integrity Monitoring 功能查看相關事件。
正常情況下，可以觀察到下列資訊：

透過這些資訊，管理人員可以確認哪些檔案發生變更，並進一步判斷事件是否正常。

六、FIM 在實際資安環境中的應用

FIM 不僅能用於測試環境，也經常應用在企業的伺服器安全監控。
例如：

1. 系統設定檔監控：監控 SSH 等重要服務設定，避免遭到未授權修改。
2. 網站檔案監控：偵測網站程式碼是否遭到竄改。
3. 重要資料保護：發現特定目錄中的檔案遭到異常刪除或修改。
4. 資安事件調查：搭配 Wazuh 警報資訊，分析異常檔案變更的時間與範圍。
   需要注意的是，FIM 主要負責偵測檔案完整性變化，並不代表每次檔案修改都是惡意行為，因此仍需要搭配日誌分析及安全規則進行判斷。