| ধরন | যাচাইয়ের ফলাফল |
|---|---|
| changed | /etc/aide/aide.conf |
AIDE আপনার ফাইল ব্যবস্থার একটি ক্রিপ্টোগ্রাফিক ছবি তোলে এবং জানায় তারপর থেকে কী বদলেছে। এটিই সেই সরঞ্জাম যা ঘটনার পর সেই প্রশ্নের উত্তর দেয় যা অন্য সবাই এড়িয়ে যায়: তারা কীসে হাত দিয়েছিল? এই পাতা শেষ পরীক্ষাটি তিনটি তালিকায় দেখায় — যোগ হওয়া, বদলানো ও মুছে যাওয়া ফাইল — সেইসব বৈশিষ্ট্যসহ যেগুলো আলাদা।
দুটি বিষয় ঠিক করে আপনার সার্ভারে AIDE-র কোনো মূল্য আছে কি না। প্রথমটি হলো ডেটাবেস কোথায় থাকে: যদি সেটি সেই একই ফাইল ব্যবস্থায় বসে থাকে যা সে পরীক্ষা করে, তবে root অধিকার আছে এমন যে কেউ নিজের বদলগুলোর পরে সেটি হালনাগাদ করে দিতে পারে আর প্রতিবেদন পরিষ্কার হয়ে ফিরবে। একটি অনুলিপি এমন জায়গায় রাখুন যেখানে সার্ভার লিখতে পারে না। দ্বিতীয়টি ভিত্তি-অবস্থার প্রতি শৃঙ্খলা: প্রতিটি বৈধ প্যাকেজ উন্নয়নের পরে ডেটাবেস নতুন করে গড়তে হয়, নইলে পরের প্রতিবেদন প্রত্যাশিত বদলে ডুবে যায় আর পড়া বন্ধ হয়ে যায়।
সাধারণ সার্ভারে হইচই করা তালিকাগুলো হলো /var/log, /var/lib এবং /tmp-এর নিচের সবকিছু। এগুলোকে পরীক্ষার বাইরে রাখা ফাঁকিবাজি নয়: এটাই সেই জিনিস যা বাকি ফলাফলকে এত ছোট করে যে আপনি সত্যিই তাতে চোখ বোলান।
AIDE-এর সবচেয়ে সাধারণ প্রতিবেদনটি ঠিক এখান থেকেই আসে: রাতে unattended-upgrades চলেছে, কয়েক ডজন বাইনারির হ্যাশ বদলেছে, আর পরিবর্তনের তালিকা সিঁধ কাটার মতো পড়ায় যদিও এটি নির্ধারিত হালনাগাদ। পদ্ধতি সহজ: প্রতিবেদনের সময়ের সঙ্গে হালনাগাদের সময় মিলিয়ে দেখুন, মিলে গেলে ভিত্তি নতুন করে গড়ুন। প্রশ্নটি যখন কী বদলেছে নয় বরং কে বদলেছে, তখন উত্তর দেয় auditd: AIDE ফল লেখে, নিরীক্ষা লগ লেখে হাত।