Der Praxisleitfaden für Dateiüberwachung & Ordnerüberwachung bei Enginsight
Kritische Dateien wie Vertragsunterlagen dürfen sich nicht unbemerkt verändern. Mit File Integrity Monitoring behalten Sie genau diese Verzeichnisse im Blick – und werden automatisch informiert, sobald jemand etwas ändert, löscht oder die Rechte anpasst. In Teil 2 unseres Praxisleitfadens zeigen wir Schritt für Schritt, wie das geht.
Teil 2 des Praxisleitfadens für Enginsight
Eine offene Aufgabe aus Teil 1
Im ersten Teil ging es um Tags und darum, aus rund 150 Hosts an zwei Standorten eine sortierte Umgebung zu machen. Eine Aufgabe haben wir bewusst ausgeklammert: Die Geschäftsführung hatte gebeten, den Fileserver zu überwachen. Dort liegt der Ordner mit den Vertragsdaten, und an dem darf niemand unbemerkt etwas ändern oder löschen. Das ist möglich mit File Integrity Monitoring. Diese Aufgabe holen wir jetzt nach.
Stellen wir uns drei Situationen vor. Eine Kollegin aus der Buchhaltung verschiebt versehentlich einen ganzen Ordner. Jemand öffnet eine Datei, ändert eine Zahl und speichert sie wieder. Oder – der unangenehmste Fall – eine Schadsoftware fängt nachts an, Dateien zu verschlüsseln. Allen drei Fällen ist eines gemeinsam: Es passiert leise. Auf dem Server tut sich etwas, und niemand bekommt es mit.
Bei einem einzelnen Server kann man vielleicht ab und zu von Hand nachsehen. Bei 150 Hosts geht das nicht. Niemand hat die Zeit, jeden Tag jeden Ordner zu prüfen. Hier braucht es eine Funktion, die das übernimmt und nur dann meldet, wenn sich wirklich etwas tut.
Dateiüberwachung: Beobachten lassen, statt selbst zu kontrollieren
Das Prinzip dahinter ist einfach. Statt Ordner manuell zu durchsuchen, lässt man das System die Dateien beobachten und nur dann Bescheid geben, wenn sich etwas ändert. In der Enginsight-Plattform heißt diese Funktion File Integrity Monitoring, kurz FIM.
FIM legt für die überwachten Dateien eine Ausgangsbasis an, die aus Prüfsummen und Metadaten besteht. Diese Basis liegt schreibgeschützt direkt auf dem Host beim Pulsar Agent und zusätzlich auf dem Enginsight-Server. Verändert sich danach eine Datei, fällt das beim Abgleich auf. Die Erkennung stützt sich auf die Dateisystem-Ereignisse des Betriebssystems, also genau auf den Moment, in dem die Änderung passiert.
Schritt 1: FIM für die ganze Fileserver-Gruppe aktivieren
FIM setzt voraus, dass auf dem Host ein Pulsar Agent läuft. Aktivieren lässt es sich auf zwei Wegen: einzeln in den Einstellungen jedes Hosts, oder zentral über den Policy Manager. Wir nehmen den zweiten Weg, denn dafür haben wir in Teil 1 vorgearbeitet. Wir legen eine Richtlinie an, die FIM einschaltet, und hängen sie an den Tag „Funktion: Fileserver“. Damit ist FIM auf jedem Fileserver aktiv – und auf jedem neuen Fileserver, der später dazukommt, automatisch mit.
Ein Detail für Windows-Server: Dort muss die Überwachung von Objektzugriffen einmal aktiviert werden, sonst meldet FIM nichts. Wie das geht, steht in unserer Knowledge Base. Zwei weitere Dinge aus der Praxis: Auf verschlüsselten Laufwerken ohne Zugriffsüberwachung funktioniert FIM nicht. Und wenn eine Netzwerkfreigabe überwacht werden soll, richtet man FIM am besten direkt auf dem Server ein, der die Freigabe bereitstellt – nicht auf den Geräten, die darauf zugreifen. Das hält die Systemlast niedrig.
Schritt 2: Ein Regelwerk für den Vertragsordner
Jetzt legen wir fest, was genau überwacht wird. Das passiert in einem Regelwerk, unter Hosts → File Integrity Monitoring → Regelwerke → Regelwerk hinzufügen.
Zuerst die Grunddaten: ein aussagekräftiger Name wie „Vertragsdaten Fileserver“ und ein Schweregrad. Dann die Operationen – also welche Art von Dateizugriff überhaupt gemeldet werden soll. Für den Vertragsordner wählen wir Change (der Inhalt wird geändert), Delete (die Datei wird gelöscht) und Alter (Rechte oder Besitzer ändern sich). Create kommt dazu, wenn auch neu abgelegte Dateien auffallen sollen. Die Operation Read lassen wir bewusst weg. Sonst meldet das System jeden einzelnen Lesezugriff, und man steht schnell vor einer Alarmflut, in der die wichtigen Meldungen untergehen.
Den Ordner selbst geben wir als Dateipfad an. Platzhalter mit dem Stern (*) sind erlaubt, man kann also ganze Verzeichnisbäume abdecken. Allerdings sollte man, um Hardware-Ressourcen zu schonen, gezielt nur Ordner überwachen, die es zu schützen gilt. Anschließend ordnen wir das Regelwerk zu: unter Zugeordnete Referenzen wählen wir nicht einzelne Hosts, sondern den Tag „Funktion: Fileserver“. Über die Tag-Verknüpfung legt man fest, ob ein Host alle angegebenen Tags haben muss oder ob einer reicht.
Zwei Arten von Ausnahmen gibt es noch, und die sollte man auseinanderhalten. Einzelne Hosts schließt man über Ausgeschlossene Referenzen aus. Einzelne Pfade oder Dateien, etwa temporäre Dateien, die sich ohnehin ständig ändern, über Dateipfad-Ausnahmen. So bleibt die Überwachung auf das beschränkt, was zählt.
Noch ein Hinweis: Enginsight bringt bereits vorkonfigurierte Regelwerke für die Schweregrade Critical, High und Medium mit. Die decken kritische Systemverzeichnisse ab, die man ohnehin im Blick haben sollte. Unser eigenes Regelwerk für die Vertragsdaten kommt einfach dazu.
Schritt 3: In der Dateioperationen-Übersicht nachsehen
Bevor wir einen Alarm scharfschalten, prüfen wir, ob die Überwachung das Richtige meldet. Dafür gibt es die Dateioperationen-Übersicht unter Hosts → File Integrity Monitoring → Dateioperationen. Dort steht in Echtzeit, was passiert ist: welche Operation an welcher Datei, in welchem Verzeichnis und auf welchem Host. Dazu, welcher Benutzer es war und mit welchem Programm, welchen Schweregrad die Operation hat und über welches Regelwerk sie erkannt wurde.
Man kann die Liste filtern und einen Zeitraum eingrenzen. Wer einmal eine Testdatei im überwachten Ordner ändert, sieht den Eintrag kurz darauf in der Liste. Das ist die Probe aufs Exempel: Stimmt die Überwachung, geht es an den letzten Schritt.
Schritt 4: Der Alarm, der die Zuständigen von selbst informiert
Die Übersicht ist nützlich, aber niemand schaut den ganzen Tag hinein. Deshalb richten wir einen Alarm ein, der sich meldet, sobald im Vertragsordner etwas passiert.
Unter Alarme → Alarm hinzufügen (rechte obere Ecke) öffnet sich im ersten Schritt ein Wizard. Wir wählen als Alarmart Host, denn FIM läuft auf den Hosts, und klicken weiter. Beim Referenzoperator (Tag-Verknüpfung) stellen wir „Alle mit den Tags“ ein und geben „Funktion: Fileserver“ an. Damit gilt der Alarm für jede Maschine mit diesem Tag, ohne dass wir einen einzigen Hostnamen eintragen. Als Bedingung wählen wir das Szenario „Überwachung der Integrität von Dateien (File Integrity Monitoring)“. Der Alarm greift dann auf die Regelwerke zurück, die wir in Schritt 2 angelegt haben. Dann klicken wir auf Weiter und öffnen den nächsten Schritt.
Jetzt legen wir fest, wer Bescheid bekommt. Man fügt Benutzer oder eine ganze Gruppe als Empfänger hinzu. Die Option „Verantwortliche informieren“ sorgt dafür, dass auch die für den Host hinterlegten Zuständigen eine Meldung erhalten, selbst wenn sie nicht ausdrücklich als Empfänger eingetragen sind. Neben der E-Mail kann man zusätzlich SMS, Mattermost oder Microsoft Teams anschalten. Über die Alarmkategorie steuert man, wie oft an offene Vorfälle erinnert wird: bei „Kritischer Zustand“ täglich, bei „Warnung“ wöchentlich.
Die beiden nächsten Schritte Automatisierung und Zusammenfassung können wir für unseren Use Case überspringen. Zum Schluss erscheint eine Übersichtsseite des neuen Alarms. Jetzt muss er nur noch gespeichert werden und der neue Alarm ist angelegt.
Ab jetzt gilt: Ändert jemand eine Datei im Vertragsordner, löscht sie oder verändert die Rechte, geht die Meldung automatisch raus. Niemand muss mehr in eine Liste schauen.
Was wir eingerichtet haben
In vier Schritten ist aus einem unbeobachteten Ordner ein überwachtes Verzeichnis geworden. FIM ist über eine Policy für die ganze Fileserver-Gruppe aktiv. Ein Regelwerk legt fest, welche Änderungen am Vertragsordner zählen. Die Dateioperationen-Übersicht zeigt jede Aktivität in Echtzeit. Und ein Alarm informiert die Zuständigen, sobald etwas passiert.
Auch hier greift wieder alles über den Tag „Funktion: Fileserver“ statt über Einzelhosts. Kommt nächsten Monat ein zweiter Fileserver dazu, bekommt er über die Namenskonvention automatisch seinen Tag – und damit FIM, das Regelwerk und den Alarm gleich mit. Die halbe Stunde Tag-Einrichtung aus Teil 1 zahlt sich ein weiteres Mal aus.
Eine ehrliche Anmerkung zum Schluss: FIM hält keine Veränderung an einer Datei auf. Es macht sie sichtbar, und zwar früh genug, dass man reagieren kann, bevor aus einem stillen Vorfall ein großes Problem wird. Genau das war die Bitte der Geschäftsführung. Sie ist jetzt erledigt.
Am besten probiert man das Ganze einmal an einem unkritischen Testordner aus, bevor der echte Vertragsordner unter Überwachung kommt. Und wer beim Einrichten unsicher ist, muss nicht allein durch die Dokumentation: Der Support sitzt in Deutschland und spricht Deutsch, und die Plattform wird hier entwickelt und betrieben. Bei Fragen zu Regelwerken oder Alarmen genügt ein Anruf.
