| نوع | نتایج بررسی |
|---|---|
| changed | /etc/aide/aide.conf |
| changed | /usr/sbin/sshd |
AIDE یک عکس فوری رمزنگاشتی از سامانهٔ پرونده‌های شما می‌گیرد و گزارش می‌دهد از آن پس چه تغییر کرده است. همان ابزاری است که به پرسشی پاسخ می‌دهد که همهٔ ابزارهای دیگر پس از یک حادثه از آن طفره می‌روند: به چه دست زدند؟ این صفحه آخرین بررسی را در سه فهرست نشان می‌دهد — پرونده‌های افزوده، تغییریافته و حذف‌شده — همراه با ویژگی‌هایی که فرق دارند.
دو چیز تعیین می‌کند که AIDE روی سرور شما ارزشی دارد یا نه. نخست جای پایگاه داده: اگر روی همان سامانهٔ پرونده‌ای بنشیند که بررسی‌اش می‌کند، هر کس با دسترسی root می‌تواند پس از تغییرهای خود آن را به‌روز کند و گزارش پاک برگردد. نسخه‌ای را جایی نگه دارید که سرور نتواند در آن بنویسد. دوم، انضباط نسبت به وضعیت مبنا: پس از هر ارتقای مشروع بسته‌ها باید پایگاه داده از نو ساخته شود، وگرنه گزارش بعدی در تغییرهای منتظَر غرق می‌شود و دیگر خوانده نمی‌شود.
پوشه‌های پرهیاهو روی یک سرور معمولی /var/log، /var/lib و هر چیزی زیر /tmp هستند. کنارگذاشتن آن‌ها از بررسی تقلب نیست: همین است که خروجی باقی‌مانده را چنان کوتاه می‌کند که واقعاً به آن نگاه کنید.
پرتکرارترین گزارش AIDE دقیقاً از همین‌جا می‌آید: شب‌هنگام unattended-upgrades اجرا شده، ده‌ها باینری هش خود را عوض کرده‌اند و فهرست تغییرها مانند یک نفوذ خوانده می‌شود، حال آنکه به‌روزرسانی برنامه‌ریزی‌شده بوده است. روال ساده است: زمان گزارش را با زمان به‌روزرسانی بسنجید و اگر بر هم منطبق بودند، پایه را از نو بسازید. وقتی پرسش دیگر این نیست که چه چیزی تغییر کرد بلکه چه کسی تغییر داد، پاسخ با auditd است: AIDE نتیجه را ثبت می‌کند و لاگ ممیزی دست را.