AIDE — integritas file

Integritas berkas dalam bentuk yang benar-benar dibaca

AIDE mengambil potret kriptografis dari sistem berkas Anda dan melaporkan apa yang berubah sejak itu. Ialah perkakas yang menjawab pertanyaan yang dihindari semua perkakas lain seusai insiden: mereka menyentuh apa? Halaman ini menampilkan pemeriksaan terakhir sebagai tiga daftar — berkas yang ditambahkan, diubah dan dihapus — beserta atribut yang berbeda.

Dua hal menentukan apakah AIDE bernilai di server Anda. Pertama, di mana basis datanya berada: kalau ia duduk pada sistem berkas yang sama dengan yang diperiksanya, siapa pun dengan hak root dapat memperbaruinya setelah perubahannya sendiri dan laporan akan kembali bersih. Simpanlah salinan di tempat yang tidak bisa ditulisi server. Kedua, disiplin terhadap keadaan acuan: setelah setiap peningkatan paket yang sah, basis data harus dibangun ulang, kalau tidak laporan berikutnya tenggelam dalam perubahan yang sudah diduga dan berhenti dibaca orang.

Direktori yang berisik pada server biasa adalah /var/log, /var/lib dan segala sesuatu di bawah /tmp. Mengeluarkannya dari pemeriksaan bukanlah kecurangan: justru itulah yang membuat sisa keluarannya cukup pendek untuk benar-benar dilihat.

Laporan AIDE yang paling sering muncul lahir tepat dari sini: semalam unattended-upgrades berjalan, puluhan berkas biner berganti hash, dan daftar perubahan terbaca seperti pembobolan padahal itu pembaruan terjadwal. Prosedurnya sederhana: bandingkan waktu laporan dengan waktu pembaruan, dan bila keduanya berimpit, bangun ulang basisnya. Ketika pertanyaannya bukan lagi apa yang berubah melainkan siapa yang mengubah, yang menjawab adalah auditd: AIDE mencatat hasilnya, log audit mencatat tangannya.