AIDE — integrità dei file

Integrità dei file in una forma che si legge davvero

AIDE scatta un’istantanea crittografica del filesystem e segnala che cosa è cambiato da allora. È lo strumento che risponde alla domanda che tutti gli altri eludono dopo un incidente: che cosa hanno toccato? Questa pagina mostra l’ultimo controllo in tre elenchi — file aggiunti, modificati, rimossi — con gli attributi che differiscono.

Due cose decidono se AIDE valga qualcosa sul vostro server. La prima è dove risiede il database: se sta sullo stesso filesystem che controlla, chiunque abbia root può aggiornarlo dopo le proprie modifiche e il report risulterà pulito. Tenetene una copia dove il server non possa scrivere. La seconda è la disciplina sulla baseline: dopo ogni aggiornamento legittimo di pacchetti il database va reinizializzato, altrimenti il report successivo annega in cambiamenti attesi e smette di essere letto.

Le directory rumorose di un server normale sono /var/log, /var/lib e tutto ciò che sta sotto /tmp. Escluderle dal controllo non è barare: è ciò che rende l’output rimanente abbastanza breve da essere davvero guardato.

Il rapporto di AIDE più frequente in assoluto nasce proprio da qui: nella notte sono girati unattended-upgrades, decine di binari hanno cambiato hash e l'elenco delle modifiche si legge come un'intrusione mentre è un aggiornamento pianificato. La procedura è semplice: confrontare l'ora del rapporto con quella dell'aggiornamento e, se coincidono, ricostruire la base. Quando la domanda non è più che cosa è cambiato ma chi l'ha cambiato, risponde auditd: AIDE registra il risultato, il registro di audit registra la mano.