AIDE — 파일 무결성

정말로 읽히는 모양의 파일 무결성

AIDE는 파일 시스템의 암호학적 스냅숏을 떠서 그 뒤로 무엇이 바뀌었는지 알려 줍니다. 사고가 난 뒤 다른 모든 도구가 비켜 가는 물음에 답해 주는 도구입니다. 그들이 무엇을 건드렸는가, 하는 물음 말입니다. 이 페이지는 가장 최근 검사를 세 목록으로 보여 줍니다. 더해진 파일, 바뀐 파일, 지워진 파일, 그리고 어긋난 속성들입니다.

AIDE가 여러분의 서버에서 값어치를 갖는지는 두 가지가 정합니다. 첫째는 데이터베이스가 어디에 놓이는가입니다. 검사 대상인 바로 그 파일 시스템 위에 앉아 있다면 root 권한을 가진 누구든 제 변경 뒤에 그것을 갱신할 수 있고, 보고서는 말끔한 채로 돌아옵니다. 서버가 쓸 수 없는 곳에 사본을 두십시오. 둘째는 기준 상태에 대한 규율입니다. 정당한 꾸러미 갱신이 있을 때마다 데이터베이스를 다시 만들어야 합니다. 그러지 않으면 다음 보고서는 예상된 변경 속에 잠기고, 끝내 아무도 읽지 않게 됩니다.

보통의 서버에서 시끄러운 디렉터리는 /var/log, /var/lib, 그리고 /tmp 아래의 모든 것입니다. 그것들을 검사에서 빼는 일은 속임수가 아닙니다. 남은 출력을 정말로 들여다볼 만큼 짧게 만들어 주는 것이 바로 그 일입니다.

AIDE 보고서 가운데 가장 흔한 것이 바로 여기서 나옵니다. 밤사이 unattended-upgrades가 돌았고, 수십 개의 바이너리가 해시를 바꾸었으며, 변경 목록은 침입처럼 읽히지만 실제로는 예정된 업데이트입니다. 요령은 간단합니다. 보고서의 시각과 업데이트의 시각을 맞춰 보고, 겹친다면 기준을 다시 세우면 됩니다. 질문이 무엇이 바뀌었는가가 아니라 누가 바꾸었는가로 옮겨 가면, 대답하는 쪽은 auditd입니다. AIDE는 결과를 남기고, 감사 로그는 손을 남깁니다.