Главная мысль
FIM сообщает об изменении, но сам не устанавливает причину; перенос исправления требует проверки совместимости, тестов и сопровождения.
FIM сравнивает важные файлы с эталонным состоянием
Контроль целостности файлов (FIM) фиксирует утверждённое состояние важных файлов и конфигураций, а затем проверяет изменения. Сравнение криптографических хешей, времени и источника изменения помогает заметить изменения файлов веб-сервера, бинарных файлов приложений, конфигураций и выбранных каталогов. Мониторинг всех файлов создаёт шум и нагрузку; выбирайте охват по риску и регистрируйте плановые изменения.
Перенос исправления из новой версии в старую
Перенос исправления (backport) — адаптация исправления безопасности из нового выпуска для старой версии ПО, которая всё ещё используется. Это может помочь, когда немедленный переход на новую основную версию создаёт риск несовместимости или сбоев в работе; поддержку переноса и происхождение исправления следует подтвердить у проекта или поставщика. При переносе исправления для старого ядра из новой версии ядра простого копирования кода недостаточно: нужно учитывать различия API, зависимостей и контекста.
Тестируйте изменения и документируйте исключения
Соберите ПО с перенесённым исправлением в изолированной тестовой среде; проверьте побочные эффекты, нарушения ранее работавших функций, производительность и безопасность. До выпуска проверьте код, подпись и целостность источника, подготовьте откат и зафиксируйте согласование. При оповещении FIM о неожиданном изменении сопоставьте его с согласованным запросом на изменение и описанием выпуска, установите причину и передайте несогласованное изменение на разбор ответственным специалистам. Мониторинг показывает, что изменение произошло, но не доказывает его вредоносность.