| Tyyppi | Tarkistuksen tulokset |
|---|---|
| changed | /etc/aide/aide.conf |
AIDE ottaa kryptografisen tilannekuvan tiedostojärjestelmästä ja kertoo mikä on sen jälkeen muuttunut. Se on työkalu joka vastaa kysymykseen jota kaikki muut väistävät häiriön jälkeen: mihin he koskivat? Tämä sivu näyttää viimeisimmän tarkistuksen kolmena listana — lisätyt, muuttuneet ja poistetut tiedostot — poikkeavine ominaisuuksineen.
Kaksi asiaa ratkaisee onko AIDE palvelimellasi minkään arvoinen. Ensimmäinen on tietokannan sijainti: jos se on samassa tiedostojärjestelmässä jota se tarkistaa, kuka tahansa root-oikeuksin voi päivittää sen muutostensa jälkeen ja raportti palaa puhtaana. Pidä kopio paikassa johon palvelin ei voi kirjoittaa. Toinen on kurinalaisuus lähtötilanteen suhteen: jokaisen laillisen pakettipäivityksen jälkeen tietokanta on rakennettava uudelleen, muuten seuraava raportti hukkuu odotettuihin muutoksiin ja lakkaa tulemasta luetuksi.
Tavallisen palvelimen meluisat hakemistot ovat /var/log, /var/lib ja kaikki /tmp:n alla. Niiden jättäminen pois tarkistuksesta ei ole huijaamista: se tekee jäljelle jäävästä tulosteesta niin lyhyen, että sitä oikeasti katsotaan.
Kaikkein tavallisin AIDE-raportti syntyy juuri tästä: unattended-upgrades ajoi yöllä, kymmenet binäärit vaihtoivat tiivisteen, ja muutoslista näyttää murrolta vaikka kyse on suunnitellusta päivityksestä. Menettely on yksinkertainen: vertaa raportin kellonaikaa päivityksen kellonaikaan ja rakenna perustila uudelleen, jos ne osuvat yksiin. Kun kysymys ei ole mikä muuttui vaan kuka muutti, vastaa auditd: AIDE kirjaa tuloksen, auditloki kirjaa käden.