| Típus | Ellenőrzés eredményei |
|---|---|
| changed | /etc/aide/aide.conf |
Az AIDE kriptográfiai pillanatképet készít a fájlrendszeréről, és jelenti, mi változott azóta. Ez az az eszköz, amely megválaszolja azt a kérdést, amelyet minden más kikerül egy incidens után: mihez nyúltak? Ez az oldal az utolsó ellenőrzést három listaként mutatja — hozzáadott, módosult és törölt fájlok — az eltérő attribútumokkal együtt.
Két dolog dönti el, ér-e valamit az AIDE a szerverén. Az első, hogy hol lakik az adatbázis: ha ugyanazon a fájlrendszeren van, amelyet ellenőriz, bárki root joggal frissítheti a saját változtatásai után, és a jelentés tisztán jön vissza. Tarts egy másolatot ott, ahová a szerver nem tud írni. A második a kiindulási állapottal kapcsolatos fegyelem: minden jogos csomagfrissítés után újra kell építeni az adatbázist, különben a következő jelentés belefullad a várt változásokba, és többé senki nem olvassa el.
Egy szokásos szerveren a zajos könyvtárak a /var/log, a /var/lib és minden a /tmp alatt. Ezek kihagyása az ellenőrzésből nem csalás: éppen ettől lesz a maradék kimenet elég rövid ahhoz, hogy tényleg ránézz.
A leggyakoribb AIDE-jelentés pontosan innen ered: éjjel lefutottak az unattended-upgrades, binárisok tucatjai kaptak új hasht, és a változáslista betörésnek olvasódik, holott tervezett frissítés. Az eljárás egyszerű: vesse össze a jelentés idejét a frissítés idejével, és ha egybeesnek, építse újra az alapállapotot. Amikor már nem az a kérdés, mi változott, hanem ki változtatta meg, arra az auditd felel: az AIDE az eredményt rögzíti, az auditnapló a kezet.