Anda harus memantau (hampir) semua file.
Dengan asumsi bahwa sistem ini hanyalah database hash, maka ada beberapa file yang harus Anda lewati:
- semua yang ada di /proc (ada banyak hal berguna di sini untuk pemburu root kit)
- file log (ada alat yang akan melakukan analisis heuristik terhadap file-file ini)
- berkas yang berisi sistem berkas (ini mencakup sistem berkas loop-back dan berkas basis data - tetapi Anda mungkin ingin memeriksa 'berkas' di dalam berkas).
- tukar ruang
(bagian yang sulit adalah menyiapkan proses untuk mengaudit perubahan dengan benar)
Tidak yakin sistem pemantauan integritas file apa yang Anda gunakan, tetapi sebagian besar sistem pemantauan integritas file komersial seperti Verisys dan Tripwire dapat dikonfigurasi untuk 'secara otomatis' memantau file yang relevan.
Misalnya, Anda memberi tahu mereka bahwa Anda menjalankan Windows Server 2008 dan Microsoft SQL Server 2008, lalu mereka memantau file yang berlaku dan entri registri.