AIDE — سلامة الملفات

سلامة الملفات في صورة تُقرأ فعلاً

يأخذ AIDE لقطة تعمويّة لنظام ملفاتك ويبلّغ عمّا تغيّر منذئذ. هو الأداة التي تجيب عن السؤال الذي تتجنبه كل الأدوات الأخرى بعد الحادث: ما الذي لمسوه؟ تعرض هذه الصفحة آخر فحص في ثلاث قوائم — ملفات مضافة ومتغيرة ومحذوفة — مع السمات المختلفة.

شيئان يحسمان ما إذا كان AIDE يساوي شيئاً على خادمك. الأول هو موضع قاعدة البيانات: إن كانت على نظام الملفات نفسه الذي تفحصه، فبإمكان أي أحد بصلاحيات root تحديثها بعد تغييراته، ويعود التقرير نظيفاً. احتفظ بنسخة حيث لا يستطيع الخادم الكتابة. الثاني هو الانضباط تجاه الحالة المرجعية: بعد كل ترقية حزم مشروعة يجب إعادة بناء القاعدة، وإلا غرق التقرير التالي في تغييرات متوقعة وتوقف الناس عن قراءته.

الأدلة الصاخبة على خادم اعتيادي هي /var/log و/var/lib وكل ما تحت /tmp. استثناؤها من الفحص ليس غشاً: هو ما يجعل ما تبقّى من المخرجات قصيراً بما يكفي لتنظر إليه حقاً.

أكثر تقارير AIDE شيوعاً يأتي من هنا بالضبط: عملت unattended-upgrades ليلاً، وتغيّرت بصمة عشرات الملفات التنفيذية، فتُقرأ قائمة التغييرات كأنها اختراق مع أنها تحديث مجدول. الإجراء بسيط: قارن وقت التقرير بوقت التحديث، وإذا تطابقا فأعد بناء القاعدة. وحين لا يكون السؤال ما الذي تغيّر بل من غيّره، فالجواب عند auditd: إذ يسجّل AIDE النتيجة، ويسجّل سجل التدقيق اليد.