AIDE — ファイル整合性

本当に読まれる形のファイル完全性

AIDE はファイルシステムの暗号学的な写しを取り、その後に何が変わったかを報告します。事故のあと、ほかのどの道具も避けて通る問いに答えてくれる道具です。彼らは何に触れたのか、という問いです。このページは直近の検査を三つの一覧として示します。追加されたファイル、変更されたファイル、削除されたファイル、そして食い違っている属性です。

AIDE があなたのサーバーで値打ちを持つかどうかは、二つのことで決まります。一つはデータベースの置き場所です。検査する当のファイルシステムの上に載っているなら、root を持つ者は誰でも自分の変更のあとにそれを更新でき、レポートはきれいなまま戻ってきます。サーバーが書き込めない場所に複製を置いてください。もう一つは基準に対する規律です。正当なパッケージ更新のたびにデータベースを作り直さねばなりません。さもなければ次のレポートは想定内の変更に溺れ、やがて誰にも読まれなくなります。

ふつうのサーバーで騒がしいディレクトリは /var/log、/var/lib、そして /tmp の下のすべてです。それらを検査から外すのはごまかしではありません。残った出力を、実際に目を通せるだけ短くしてくれるのがまさにそれなのです。

AIDE の報告でいちばん多いのは、まさにこれです。夜のうちに unattended-upgrades が走り、数十のバイナリのハッシュが変わり、変更一覧は侵入のように読めますが、実際は予定どおりの更新です。手順は簡単で、報告の時刻と更新の時刻を突き合わせ、重なっていれば基準を作り直します。問われているのが何が変わったかではなく誰が変えたかであれば、答えるのは auditd です。AIDE は結果を記録し、監査ログは手を記録します。