AIDE — цялост на файловете

Цялост на файловете във вид, който наистина се чете

AIDE прави криптографска моментна снимка на файловата ви система и съобщава какво се е променило оттогава. Това е инструментът, който отговаря на въпроса, който всички останали избягват след инцидент: до какво са се докоснали? Тази страница показва последната проверка като три списъка — добавени, променени и премахнати файлове — заедно с атрибутите, които се различават.

Две неща решават дали AIDE струва нещо на вашия сървър. Първото е къде живее базата данни: ако е върху същата файлова система, която проверява, всеки с root права може да я обнови след своите промени и докладът ще се върне чист. Дръжте копие там, където сървърът не може да пише. Второто е дисциплина спрямо изходното състояние: след всяко законно обновяване на пакети базата трябва да се изгради наново, иначе следващият доклад се удавя в очаквани промени и спира да бъде четен.

Шумните директории на обикновен сървър са /var/log, /var/lib и всичко под /tmp. Изключването им от проверката не е измама: точно това прави остатъка от изхода достатъчно кратък, че наистина да го погледнете.

Най-честият доклад на AIDE идва точно оттук: през нощта са минали unattended-upgrades, десетки двоични файлове са сменили контролната си сума и списъкът с промени се чете като взлом, макар да е планирана актуализация. Редът е прост: сравнете часа на доклада с часа на обновяването и ако съвпадат, изградете базата наново. Когато въпросът не е какво се е променило, а кой го е променил, отговаря auditd: AIDE записва резултата, одитният дневник — ръката.