ファイル完全性監視（FIM）とは？ふぁいるかんぜんせいかんし
ファイル完全性監視（FIM）とは、変わらないはずのファイルの指紋（ハッシュ値）を基準値として保管し、再計算した値と突き合わせて改ざんを検知する仕組み。侵入後に置かれたバックドアや、承認を経ない設定変更がここで見つかる。対象を広げるほど正当な変更まで警報になるため、変更管理の記録と自動で消し込める範囲を決めてから監視対象を選ぶ。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
境界で侵入を止めきれない前提に立つと、入られた後に何が変わったかを知る手段が要る。ログは攻撃者に消される余地があるが、基準ハッシュを監視対象と別の保護された場所に置いておけば、改ざんの事実は残せる。設計の観点では、これは「変わらないはずの領域はどこか」を明示する作業でもあり、そこが決まっていないシステムでは対象が際限なく膨らんで機能しない。稼働中の書き換えを設計上禁じてしまえば、この監視自体を軽くできる。
具体例
PCI DSSはカード情報を扱う環境にファイル完全性監視の導入を求めており、TripwireやOSSEC・Wazuhといった実装が使われる。コンテナ基盤では方針を変え、イメージを作り直して入れ替える前提にしてコンテナ内の書き込みを禁止し、稼働中のファイルが変わること自体を異常とみなす設計にすると、監視対象の選定という難所を回避できる。
試験での引っ掛け
基準値の置き場所が要で、監視対象と同じサーバに保管すると侵入者に一緒に書き換えられ、検知そのものが成立しない。正常時にも中身が変わり続けるログや一時ファイルを対象に入れると、警報が埋もれて誰も見なくなる。FIMは検知の仕組みであって防止ではなく、改ざんを止める働きは持たない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。