文件指纹（fim）

功能与检测机制

文件指纹（FIM，File Integrity Monitoring）对登记的关键文件 / 目录建立基线指纹，之后周期性比对，发现篡改立即告警：

• 单文件：SHA-256 全文哈希。
• 目录：「相对路径 + 文件大小 + 修改时间」聚合指纹（不读内容，大目录开销极小）。
• 快速路径：大小与修改时间和基线一致时跳过重哈希。
• 默认每 360 秒全量校验一轮（fim.interval_sec 可配）。

统计卡

卡片	含义	下钻
监测目标	已登记目标数量	目标全量列表
指纹重置	累计重置次数	不可点击
异常变更	变更类事件数	文件变更日志（action=changed）

监测目标管理

表格列	说明
路径	文件或目录的绝对路径（等宽字体显示）
状态	正常（绿）/ 已变更 / 不存在（琥珀）
指纹	SHA 截取前 12 位，悬停显示完整值
大小 / 变更时间	基线记录的大小与建立时间

典型操作：添加目标与立即校验

添加监测目标

1. 「监测目标」面板右上点击添加目标。
2. 在弹窗中输入要监测的文件或目录绝对路径（如 C:\www\config 或 /etc/ssh/sshd_config）。
3. 确认后立即生成首次基线。

立即校验

1. 点击立即校验按钮，全量目标即时比对一轮（不必等周期）。
2. 完成后提示「校验完成」；异常会出现在「异常变更」卡片与日志中。

异常处理与基线重置

• changed（已变更）：内容 / 大小 / 时间戳变化 → warning 告警。告警后基线自动更新为现状，不会反复轰炸（这是设计行为：把每次变更都当作一次新基线，持续变更会持续告警）。
• deleted（已删除）：文件消失 → 告警（6 小时去重）。
• 重置指纹：目标行操作「重置指纹」（确认后）将当前状态作为新基线 —— 用于合法变更后消除误报。
• 删除目标：移除监测（历史事件保留在日志中）。

建议监测的对象

平台	建议目标
Linux	/etc/ssh/sshd_config、/etc/passwd、/etc/shadow、/etc/crontab、/etc/systemd/system、站点配置目录、网站入口文件
Windows	站点根目录关键文件（web.config / wp-config.php…）、计划任务脚本目录、RDP 相关配置