AIDE — intégrité des fichiers

Un contrôle d’intégrité que l’on peut vraiment lire

AIDE prend un instantané cryptographique de votre système de fichiers et signale ce qui a changé depuis. C’est l’outil qui répond à la question que tous les autres esquivent après un incident : qu’ont-ils touché ? Cette page présente le dernier contrôle en trois listes — fichiers ajoutés, modifiés, supprimés — avec les attributs qui diffèrent.

Deux choses déterminent la valeur réelle d’AIDE sur votre serveur. D’abord l’emplacement de la base : si elle réside sur le système de fichiers qu’elle contrôle, quiconque dispose de root peut la mettre à jour après ses modifications et le rapport restera propre. Gardez une copie là où le serveur ne peut pas écrire. Ensuite la discipline sur la référence : après chaque mise à jour légitime de paquets, la base doit être réinitialisée, faute de quoi le rapport suivant se noie dans des changements attendus et cesse d’être lu.

Les répertoires bruyants d’un serveur normal sont /var/log, /var/lib et tout ce qui se trouve sous /tmp. Les exclure du contrôle n’est pas de la triche : c’est ce qui rend la sortie restante assez courte pour être réellement consultée.

Le rapport AIDE le plus fréquent vient précisément de là : unattended-upgrades a tourné pendant la nuit, des dizaines de binaires ont changé d'empreinte, et la liste des modifications se lit comme une intrusion alors qu'il s'agit d'une mise à jour planifiée. La marche à suivre est simple — comparer l'heure du rapport à celle de la mise à jour et, si elles coïncident, reconstruire la base. Quand la question n'est plus ce qui a changé mais qui l'a changé, c'est auditd qui répond : AIDE consigne le résultat, le journal d'audit consigne la main.