dawangmao 
对于网站优化来说，内容的丰富和SEO技术的应用是一个重点，但是这还有一个大前提，就是你的网站必须要足够的稳定，如果网站总是处于打不开或者是中毒的状态，就算是内容再好，SEO技术再精湛，都无济于事的。
对于用WordPress做的泰州企业网站来说，最新版本的WordPress都带有强密码，一般情况下是比较安全的，但是在混乱的互联网上，只是利用密码是远远不够的。这就需要今天我们要讲的这个话题：文件完整性监控（FIM）。
那么什么是文件完整性监控呢？下面泰州网络公司就来为大家做一个简单的介绍吧。
文件完整性监控顾名思义，就是通过工具或者插件监视你的网站上的文件，并且对任何更改（比如文件上传、编辑和删除等）进行提醒和警告。文件完整性监控可以帮助你的网站避免出现安全漏洞，并识别哪些可能会导致你的网站被黑客攻击的错误。
本文目录
文件完整性监控简介
文件完整性监控如何工作
为什么文件完整性监控很重要
为什么需要对WordPress网站进行文件完整性监控
两种不同类型的文件完整性监视方法
可以用来保护站点的3种文件完整性监视工具
文件完整性监控简介
在保护网站和服务器安全上，文件完整性监控是关键，通过这种方式，你能够确保自己的网站环境和文件的完整性。
你可以使用文件完整性监视来检测服务器操作系统，Web服务器和WordPress等Web应用程序中的文件更改。它甚至对于监视基于文件的软件解决方案（例如数据库 和配置文件）很有用。
使用文件完整性监视解决方案的网站更有可能及早发现安全漏洞，从而使他们更有机会保持网站的正常状态并阻止任何重大破坏问题。因此，文件完整性监控主要被视为安全解决方案。
但是，此解决方案也可以实现其他目标。在某些情况下，它可以监视以下方面的软件和操作系统配置更改：
服务器上的开放端口配置；
Web服务器和网络服务配置；
在服务器上运行或停止的服务（守护程序）。
即使计划中的文件更改有时也会给WordPress网站造成问题。通过使用文件完整性监视跟踪所有修改，你可以轻松确定与文件更改相关错误的可能原因。
这样可以加快网站故障排除的速度，因此你可以立即恢复站点并保持正常运行。
文件完整性监控如何工作
文件完整性监控的工作原理是对站点文件进行“指纹分析”，然后将它们相互比较。如果指纹不同，则意味着文件已更改。
为了创建指纹，文件完整性监视器（也称为文件完整性扫描程序）将扫描单个文件，并通过在文件上运行加密哈希函数 来创建“校验和”（与该文件关联的唯一数据字符串）。
文件完整性监视对于检查其他文件属性（例如权限和修改日期）也很有用。这些检查至关重要，因为即使对文件权限进行简单的更改也会使系统容易受到攻击。
为什么文件完整性监控很重要
文件完整性监控是网站主动和被动安全解决方案的一个必不可少的组成部分。
文件完整性监控作为主动安全
主动安全性的一个用途是识别开发人员在网站上工作时犯的错误，这些错误可能会使你的网站暴露无遗。比如文件权限设置错误，一些关于数据库或者是源代码的备份文件等等，这些都会威胁到网站的安全性。
文件完整性监控作为反应式安全性
文件完整性监控解决方案还可以记录在遭受黑客攻击后，你的网站上有哪些文件进行了哪些更改， 或者注入了哪些恶意程序。
除此之外，它甚至可以通过监视重要的WordPress站点文件（例如wp-config.php 和.htaccess 文件）来检查网站设置中的更改。
由于有了这些关键信息，你可以将站点恢复到被黑客攻击前的纯净状态，并在尽可能短的时间内清理掉剩下的任何恶意软件或“错误代码”。
合规要求
对于某些用户，法律还可能需要文件完整性监控。该支付卡行业数据安全标准（PCI DSS）需要符合网站：
管理网站访问者的敏感信息是一项严重的责任，所以现在倾向于使用安全连接https。如果你在网站上存储任何类型的客户数据，特别是持卡人数据，则启用文件完整性监视功能可帮助你确保任何人都不会篡改此类数据，并使你保持法律的正确性。
为什么需要对WordPress网站进行文件完整性监控
WordPress是一个PHP网站CMS程序，它由两种类型的文件组成：不可执行文件和可执行文件。
前者主要是日志和媒体文件。日志通常由插件和主题生成，而媒体文件是你上载到网站的文件，例如图像，视频，PDF等。它们是不可执行的，因为Web服务器并不需要执行它们。
大多数不可执行文件存储在WordPress的/ wp-content / uploads /目录中。更改非可执行文件不会影响你网站的安全性，性能或功能。实际上，默认情况下，大多数文件完整性监视解决方案都将这些文件从扫描中排除。
另一方面，可执行文件包括PHP，JavaScript和其他文件，这些文件包含你网站的源代码，例如WordPress核心，插件，主题以及你可能拥有的任何自定义Web应用程序。可执行文件中的更改可能发生，但仅在以下情况下发生：
更新WordPress核心；
安装新的主题 或插件；
更新你的主题 或现有的插件；
卸载（删除）插件或主题；
自定义WordPress安装，主题或插件的代码（通常不建议这样做）。
WordPress网站的可执行文件的其他任何更改都可能代表了入侵、恶意程序注入或开发人员的错误。在WordPress网站上运行文件完整性监控插件可以帮助你轻松发现这些问题，防止它们真正威胁到你网站的安全或功能。
快速回顾一下：文件完整性监控可以帮助你确定应删除的测试文件，大多数恶意软件注入–包括后门，重定向和特洛伊木马以及任何其他有害文件的更改。
当与活动日志结合使用时，文件完整性监控可以使你始终了解站点上正在发生的一切。你可以在网站被黑客攻击后及时了解网站的文件修改情况，以确定目标文件，并增强文件周围的安全性以防止将来遭受攻击。
两种不同类型的文件完整性监视方法
文件完整性监视的基础始终是相同的：比较在不同时间点获取的单个文件的指纹。有几种方法可以实现。
1、将文件与WordPress原文件进行比较
一种常用的方法是通过使用WordPress插件将指纹与WordPress原文件进行比较。在这种情况下，该插件会将你网站的index.php文件的指纹与WordPress发布的最新index.php文件的指纹进行比较。
使用此方法的优点是，你可以轻松确认文件是否与原始文件相同。但是，由于你要将数据与WordPress原文件进行比较，因此存在一些缺点：
该解决方案无法识别分布式配置文件（例如.htaccess和wp-config.php）中的更改；
如果你自定义网站的代码，则会被标记为误报；
该插件只能比较已知应用程序（WordPress核心）的文件，有时还可以比较流行插件的文件；
这些解决方案无法检测到自定义应用程序或插件中的更改，因为没有可与它们进行比较的东西
你网站的安全性取决于插件更新原始指纹的速度或WordPress原文件的可用性。
2、将文件与自行生成的数据进行比较
由于基于WordPress原文件的方法存在局限性，因此比较两组自生成的数据是首选方法，就成为最佳可操作的建议。这种类型的解决方案通过将指纹与自己以前的扫描进行比较来检测文件更改。
这意味着插件在安装时会生成第一个指纹。然后，当它再次扫描文件时，它将新指纹与原始扫描的指纹进行比较。并且无论何时记录文件更改，你都可以将插件配置为自动接受该更改或向你发送警报。
与第一种方法相比，此方法是首选方法，因为它具有以下优点：
它可以检测自定义代码中的更改；
该系统适合你的网站（你可以验证更改并更新指纹，从而支持连续的自定义）；
它报告的误报大大减少；
由于这些原因，在寻找文件完整性监视工具或插件时，你希望选择一个基于自身生成的数据的工具。
可以用来保护站点的3种文件完整性监视工具
有几种不同的文件完整性监控解决方案。我们将它们分为以下三个基本类别。让我们一起来看看吧！
1、服务器级软件解决方案
这些程序安装在Web服务器的操作系统上，并检查Web服务器上的所有文件。这意味着只有在拥有自己的Web服务器或VPS的情况下才能使用它们。
作为服务器级解决方案，它们并不专门针对某一个WordPress网站。因此，它们可能会产生很多误报。最重要的是，它们可能非常昂贵，也需要更加专业的知识来进行操作。所以对于中小型泰州企业网站来说，一般都不会采用这种解决方案。
2.、WordPress插件
如果你想要更特定于WordPress的文件完整性监控器解决方案，可以使用各种插件来完成此任务。
Website File Changes Monitor
Website File Changes Monitor是WordPress上的一款专用的文件完整性监视插件。它是免费的，并且在检测到文件更改时会通过电子邮件提醒你。
该插件使用自行生成的数据进行文件比较，你可以启动按需扫描。它是用于WordPress的完全可配置的文件完整性监视解决方案，你可以排除文件和目录，配置扫描计划等。
真正让给该插件与众不同的是，它是唯一完全了解WordPress核心，插件和主题更改的WordPress插件。
WordPress File Monitor
WordPress File Monitor的功能和Website File Changes Monitor类似，也很强大，但是相比较而言，WordPress File Monitor对于WordPress系统文件、插件、主题的更改并不能及时检测到，而且还会出现较多的误报情况。
误报警报可能会对网站造成非常不利的影响，因为精通安全性的用户无法验证警报是从关键事件还是仅由安全文件更改生成的。
其他插件选项
以上是WordPress唯一的文件完整性监视插件。其他具有文件完整性监视功能的插件是多合一安全解决方案的一部分，例如 Sucuri Security、iThemes security和Wordfence。
这两个插件都使用将文件与WordPress原文件进行比较的方法，并且不知道站点结构的变化，即它们仅识别WordPress核心和某些流行插件的变化。
3、开源文件完整性监控工具
如果你不喜欢使用插件，则可能要考虑使用许多可用于监视文件的开源工具之一。例如，Tripwire提供其平台的开源版本，该版本 提供免费的安全功能，包括文件监视。话虽如此，该版本不如其付费版本有效。
另一个要考虑的开源平台是OSSEC：
这是一种流行的免费安全解决方案，并且能够执行文件监视任务。但是，就像我们提到的许多其他工具一样，它可以在服务器级别运行。尽管它可以 与WordPress一起使用，但是只有在拥有专用服务器或VPS的情况下，它才可以工作。
另外，如果你选择OSSEC，则需要进行一些高级配置，但它可能仍然不是你站点最准确的解决方案。
开源安全平台最有趣的方面是，如果你了解代码方面的知识，则可以调整这些工具以包括扩展功能并满足你的喜好和需求。
总结
WordPress安全是一件严肃的事情。采取预防措施来保护你的网站，内容，业务和用户数据是一个极为重要的事情。文件完整性监视只是其中的一部分。 在确实发生攻击的情况下，拥有一个WordPress备份系统来恢复文件也很重要。
在本文中，我们展示了文件完整性监视如何满足这两个需求，并共享了可在WordPress网站上使用的三种类型的文件完整性监视解决方案：
服务器级别的软件解决方案，例如Tripwire（有效，但可能非常昂贵）;
免费的WordPress插件，例如“ 网站文件更改监视器”;
开源工具，例如OSSEC。
