Geen wijzigingen gevonden
Laatste controle: 12.10.2026 03:09
AIDE maakt een cryptografische momentopname van uw bestandssysteem en meldt wat er sindsdien veranderd is. Het is het gereedschap dat de vraag beantwoordt waar alle andere na een incident omheen draaien: wat hebben ze aangeraakt? Deze pagina toont de laatste controle als drie lijsten — toegevoegd, gewijzigd, verwijderd — met de attributen die afwijken.
Twee dingen bepalen of AIDE op uw server iets waard is. Ten eerste waar de database staat: ligt die op hetzelfde bestandssysteem dat gecontroleerd wordt, dan kan iedereen met root hem na zijn wijzigingen bijwerken en komt het rapport schoon terug. Bewaar een kopie op een plek waar de server niet kan schrijven. Ten tweede discipline rond de nulmeting: na elke legitieme pakketupgrade moet de database opnieuw worden opgebouwd, anders verdrinkt het volgende rapport in verwachte wijzigingen en wordt het niet meer gelezen.
De luidruchtige mappen op een gewone server zijn /var/log, /var/lib en alles onder /tmp. Die uitsluiten van de controle is geen valsspelen: het maakt de rest van de uitvoer kort genoeg om er werkelijk naar te kijken.
Het meest voorkomende AIDE-rapport komt precies hiervandaan: 's nachts draaiden unattended-upgrades, tientallen binaries kregen een andere hash, en de lijst met wijzigingen leest als een inbraak terwijl het een geplande update is. De werkwijze is eenvoudig: de tijd van het rapport naast die van de update leggen en, als ze samenvallen, de basis opnieuw opbouwen. Gaat het niet om wat er veranderd is maar om wie het veranderde, dan antwoordt auditd: AIDE legt het resultaat vast, het auditlogboek de hand.