AIDE — filintegritet

Filintegritet i en form, der rent faktisk bliver læst

AIDE tager et kryptografisk øjebliksbillede af filsystemet og melder, hvad der er ændret siden. Det er værktøjet, der svarer på det spørgsmål, alle andre viger uden om efter en hændelse: hvad rørte de ved? Denne side viser den seneste kontrol som tre lister — tilføjede, ændrede, fjernede filer — med de attributter, der afviger.

To ting afgør, om AIDE er noget værd på din server. Det første er, hvor databasen ligger: står den på det samme filsystem, som den kontrollerer, kan enhver med root opdatere den efter sine ændringer, og rapporten kommer tilbage ren. Hold en kopi et sted, serveren ikke kan skrive. Det andet er disciplin omkring udgangspunktet: efter hver legitim pakkeopgradering skal databasen bygges om, ellers drukner den næste rapport i forventede ændringer og holder op med at blive læst.

De støjende mapper på en almindelig server er /var/log, /var/lib og alt under /tmp. At udelade dem er ikke snyd: det er det, der gør resten af udskriften kort nok til virkelig at se på.

Den allermest almindelige AIDE-rapport stammer netop herfra: unattended-upgrades kørte i løbet af natten, snesevis af binære filer skiftede hash, og listen over ændringer læses som et indbrud, selv om det er en planlagt opdatering. Fremgangsmåden er enkel — sammenlign tidspunktet for rapporten med tidspunktet for opdateringen, og byg basen op igen, hvis de falder sammen. Når spørgsmålet ikke er hvad der er ændret, men hvem der ændrede det, er det auditd, der svarer: AIDE noterer resultatet, revisionsloggen noterer hånden.