| סוג | תוצאות הבדיקה |
|---|---|
| changed | /etc/aide/aide.conf |
AIDE מצלם תצלום הצפנתי של מערכת הקבצים שלכם ומדווח מה השתנה מאז. זהו הכלי שעונה על השאלה שכל האחרים מתחמקים ממנה אחרי אירוע: במה הם נגעו? הדף מציג את הבדיקה האחרונה כשלוש רשימות — קבצים שנוספו, השתנו והוסרו — יחד עם התכונות שנבדלות.
שני דברים מכריעים אם AIDE שווה משהו בשרת שלכם. הראשון הוא היכן שוכן מסד הנתונים: אם הוא יושב על אותה מערכת קבצים שהוא בודק, כל בעל הרשאות root יכול לעדכן אותו לאחר השינויים שלו והדוח יחזור נקי. החזיקו עותק במקום שבו השרת אינו יכול לכתוב. השני הוא משמעת כלפי מצב הייחוס: אחרי כל שדרוג חבילות לגיטימי יש לבנות את המסד מחדש, אחרת הדוח הבא טובע בשינויים צפויים ומפסיקים לקרוא אותו.
הספריות הרועשות בשרת רגיל הן /var/log, /var/lib וכל מה שתחת /tmp. הוצאתן מן הבדיקה אינה רמאות: היא בדיוק מה שהופך את הפלט הנותר לקצר די הצורך כדי שבאמת תסתכלו בו.
דוח ה-AIDE הנפוץ מכולם נולד בדיוק מכאן: בלילה רצו unattended-upgrades, עשרות קבצים בינאריים החליפו גיבוב, ורשימת השינויים נקראת כפריצה אף שמדובר בעדכון מתוכנן. הסדר פשוט: להשוות את שעת הדוח לשעת העדכון, ואם הן חופפות — לבנות את הבסיס מחדש. כשהשאלה אינה מה השתנה אלא מי שינה, התשובה היא auditd: AIDE מתעד את התוצאה, יומן הביקורת מתעד את היד.