Měli byste sledovat (téměř) vše soubory.
Za předpokladu, že tento systém je pouze hašovací databáze, pak existují některé soubory, které byste měli přeskočit:
- vše v /proc (je zde ale spousta užitečných věcí pro lovce root kitů)
- soubory protokolu (existují nástroje, které provedou heuristickou analýzu těchto souborů)
- soubory, které obsahují souborové systémy (to by zahrnovalo souborové systémy se zpětnou smyčkou a databázové soubory – ale pravděpodobně budete chtít zkontrolovat 'soubory' uvnitř souboru).
- vyměnit prostor
(obtížné je nastavení procesu pro správné auditování změn)
Nejste si jisti, jaký systém monitorování integrity souborů používáte, ale většinu komerčních systémů monitorování integrity souborů, jako jsou Verisys a Tripwire, lze nakonfigurovat tak, aby „automaticky“ monitorovaly příslušné soubory.
Například jim řeknete, že používáte Windows Server 2008 a Microsoft SQL Server 2008, a pak budou sledovat příslušné soubory a položky registru.