AIDE — Dateiintegrität

Dateiintegrität, die sich tatsächlich lesen lässt

AIDE nimmt einen kryptografischen Schnappschuss Ihres Dateisystems und meldet, was sich seither geändert hat. Es beantwortet die Frage, um die alle anderen Werkzeuge nach einem Vorfall herumkommen: Was haben sie angefasst? Diese Seite zeigt die letzte Prüfung als drei Listen — hinzugefügt, geändert, entfernt — samt der abweichenden Attribute.

Zwei Dinge entscheiden, ob AIDE auf Ihrem Server etwas wert ist. Erstens der Ort der Datenbank: Liegt sie auf demselben Dateisystem, das sie prüft, kann jeder mit Root-Rechten sie nach seinen Änderungen aktualisieren — der Report bleibt sauber. Halten Sie eine Kopie dort, wo der Server nicht schreiben kann. Zweitens Disziplin bei der Baseline: Nach jedem legitimen Paket-Upgrade muss die Datenbank neu initialisiert werden, sonst ertrinkt der nächste Report in erwarteten Änderungen und wird nicht mehr gelesen.

Die lauten Verzeichnisse eines normalen Servers sind /var/log, /var/lib und alles unter /tmp. Sie von der Prüfung auszunehmen ist kein Schummeln — es macht die verbleibende Ausgabe kurz genug, um sie wirklich anzusehen.

Der häufigste AIDE-Bericht überhaupt stammt genau daher: nachts liefen unattended-upgrades, Dutzende Binärdateien wechselten den Hash, und die Liste der Änderungen liest sich wie ein Einbruch, obwohl es ein geplantes Update war. Das Vorgehen ist einfach — die Zeit des Berichts mit der Zeit des Updates vergleichen und die Basis neu aufbauen, wenn beides zusammenfällt. Lautet die Frage nicht mehr, was sich geändert hat, sondern wer es geändert hat, antwortet auditd: AIDE hält das Ergebnis fest, das Audit-Protokoll die Hand.