使用强密码的默认和最新WordPress安装非常安全。然而，仅仅在互联网上生存是不够的。 这就是文件完整性监控 (FIM) 发挥作用的地方。文件完整性监控工具或插件会监控您站点的文件，并在文件上传、编辑、删除等任何更改时提醒您。 文件完整性监控可帮助您领先于安全漏洞并识别可能使您的网站遭受黑客攻击的错误。 在这篇文章中，我们将为您提供文件完整性监控的全面介绍，并解释它如何提高您网站的安全性。我们还将分享一些不同的工具和插件，您可以使用这些工具和插件在您的WordPress网站上实施此安全解决方案。 文件完整性监控简介 文件完整性监控的工作原理 为什么文件完整性监控很重要 为什么需要对WordPress网站进行文件完整性监控 两种不同类型的文件完整性监控方法 可用于保护站点的3种文件完整性监控工具 开源文件完整性监控工具 文件完整性监控简介 在保护和维护网站和服务器等基础设施时，文件完整性监控是关键。该解决方案验证给定环境的完整性，即检查站点文件的内容是否已意外更改。 您可以使用文件完整性监控来检测操作系统、Web服务器和WordPress等Web应用程序中的文件更改。它甚至可以用于监控基于文件的软件解决方案，例如数据库和配置文件。 使用文件完整性监控解决方案的组织更有可能及早发现安全漏洞，从而使他们有更好的机会保持在线并阻止任何重大损害。因此，文件完整性监控主要被认为是一种安全解决方案。 但是，此解决方案也可以实现其他目标。在某些情况下，它可以监控以下方面的软件和操作系统配置更改： 在服务器上打开端口配置。 Web服务器和网络服务配置。 在服务器上运行或停止服务（守护程序）。 即使是计划中的文件更改有时也会给您的WordPress网站带来问题。通过使用文件完整性监控跟踪所有修改，您可以轻松确定与文件更改相关的错误的可能原因。 这使故障排除速度更快，因此您可以立即恢复站点 并运行。 文件完整性监控的工作原理 文件完整性监控的工作原理是获取站点文件的“指纹”，然后将它们相互比较。如果指纹不同，则表示文件已更改。 为了创建指纹，文件完整性监视器（也称为文件完整性扫描仪）扫描单个文件并通过在文件上运行加密哈希函数来创建“校验和”——与该文件关联的唯一数据字符串。 站点文件指纹 文件完整性监控对于检查其他文件属性（例如权限和修改日期）也很有用。这些检查至关重要，因为即使是文件权限的简单更改也可能使系统容易受到攻击。 为什么文件完整性监控很重要 使文件完整性监控成为必备安全解决方案的一个方面是它的双重优势，即反应式和主动式安全解决方案。 文件完整性监控作为主动安全 主动安全的一个例子是识别您的开发人员在您的网站上工作时可能使您的网站暴露的错误。错误的文件权限、包含敏感信息的剩余文件（例如数据库备份或源代码文件）是文件完整性监控可以主动识别的安全威胁的良好示例。 文件完整性监控作为反应式安全 文件完整性监控解决方案还可以指出黑客攻击后您的网站发生了什么变化， 或者恶意软件被注入到哪些文件中。 除此之外，它甚至可以通过监控重要的 WordPress 站点文件（例如wp-config.php 和.htaccess文件）来检查您网站设置的更改。 多亏了这些关键信息，您可以将您的网站恢复到之前的（干净）状态，并在尽可能短的时间内清除任何恶意软件或“坏代码”。 合规要求 对于某些人来说，法律也可能要求进行文件完整性监控。支付卡行业数据安全标准( PCI DSS) 要求符合标准的站点： “部署变更检测机制（例如，文件完整性监控工具）以提醒人员未经授权的修改。” 管理网站访问者的敏感信息是一项严肃的责任。如果您在您的网站上存储任何类型的客户数据，尤其是持卡人数据，启用文件完整性监控可以帮助您确保此类数据没有被任何人篡改，并让您遵守法律。 PCI DSS 为什么需要对WordPress网站进行文件完整性监控 WordPress是一个Web应用程序，它由两种类型的文件组成：不可执行文件和可执行文件。 前者主要是日志和媒体文件。日志通常由插件和主题生成，而媒体文件是您上传到网站的文件，例如图像、视频、PDF等。它们是不可执行的，因为Web服务器不执行它们而只是为它们提供服务。 大多数不可执行的文件都存储在WordPress的/wp-content/uploads/目录中。对不可执行文件的更改不会影响您网站的安全性、性能或功能。事实上，大多数文件完整性监控解决方案默认将这些文件排除在扫描之外。 另一方面，可执行文件包括PHP、JavaScript和其他包含站点源代码的文件，例如WordPress核心、插件、主题以及您可能拥有的任何自定义Web应用程序。可执行文件的更改可能会发生，但前提是您： 更新WordPress核心 安装新主题或插件。 更新您的主题或现有插件。 卸载（删除）插件或主题。 […]
