AIDE — ακεραιότητα αρχείων

Ακεραιότητα αρχείων σε μορφή που πράγματι διαβάζεται

Το AIDE παίρνει ένα κρυπτογραφικό στιγμιότυπο του συστήματος αρχείων σας και αναφέρει τι έχει αλλάξει έκτοτε. Είναι το εργαλείο που απαντά στην ερώτηση που όλα τα υπόλοιπα αποφεύγουν μετά από ένα περιστατικό: τι άγγιξαν; Η σελίδα δείχνει τον τελευταίο έλεγχο ως τρεις λίστες — αρχεία που προστέθηκαν, άλλαξαν και αφαιρέθηκαν — με τα χαρακτηριστικά που διαφέρουν.

Δύο πράγματα κρίνουν αν το AIDE αξίζει κάτι στον διακομιστή σας. Το πρώτο είναι πού βρίσκεται η βάση δεδομένων: αν κάθεται στο ίδιο σύστημα αρχείων που ελέγχει, οποιοσδήποτε με δικαιώματα root μπορεί να την ενημερώσει μετά τις αλλαγές του και η αναφορά θα γυρίσει καθαρή. Κρατήστε αντίγραφο εκεί όπου ο διακομιστής δεν μπορεί να γράψει. Το δεύτερο είναι πειθαρχία απέναντι στην αρχική κατάσταση: μετά από κάθε νόμιμη αναβάθμιση πακέτων η βάση πρέπει να ξαναχτίζεται, αλλιώς η επόμενη αναφορά πνίγεται σε αναμενόμενες αλλαγές και παύει να διαβάζεται.

Οι θορυβώδεις κατάλογοι σε έναν συνηθισμένο διακομιστή είναι οι /var/log, /var/lib και ό,τι βρίσκεται κάτω από το /tmp. Ο αποκλεισμός τους από τον έλεγχο δεν είναι ζαβολιά: είναι αυτό που κάνει το υπόλοιπο αποτέλεσμα αρκετά σύντομο ώστε να το κοιτάξετε στα αλήθεια.

Η πιο συχνή αναφορά του AIDE γεννιέται ακριβώς από εδώ: μέσα στη νύχτα έτρεξαν τα unattended-upgrades, δεκάδες εκτελέσιμα άλλαξαν σύνοψη, και η λίστα των αλλαγών διαβάζεται σαν παραβίαση ενώ πρόκειται για προγραμματισμένη ενημέρωση. Η διαδικασία είναι απλή: συγκρίνετε την ώρα της αναφοράς με την ώρα της ενημέρωσης και, αν συμπίπτουν, χτίστε ξανά τη βάση. Όταν το ερώτημα δεν είναι τι άλλαξε αλλά ποιος το άλλαξε, απαντά το auditd: το AIDE καταγράφει το αποτέλεσμα, το αρχείο ελέγχου το χέρι.