Ingen endringer funnet
Siste kontroll: 12.10.2026 03:09
AIDE tar et kryptografisk øyeblikksbilde av filsystemet og melder hva som er endret siden. Det er verktøyet som svarer på spørsmålet alle andre unngår etter en hendelse: hva rørte de ved? Denne siden viser den siste kontrollen som tre lister — lagt til, endret, fjernet — med attributtene som avviker.
To ting avgjør om AIDE er verdt noe på serveren din. Det første er hvor databasen ligger: står den på samme filsystem som den kontrollerer, kan hvem som helst med root oppdatere den etter sine endringer, og rapporten kommer tilbake ren. Hold en kopi et sted serveren ikke kan skrive. Det andre er disiplin rundt utgangspunktet: etter hver legitime pakkeoppgradering må databasen bygges på nytt, ellers drukner neste rapport i ventede endringer og slutter å bli lest.
De støyende katalogene på en vanlig server er /var/log, /var/lib og alt under /tmp. Å utelate dem er ikke juks: det er det som gjør resten av utskriften kort nok til virkelig å se på.
Den aller vanligste AIDE-rapporten kommer nettopp herfra: unattended-upgrades kjørte i løpet av natten, dusinvis av binærfiler byttet hash, og listen over endringer leses som et innbrudd selv om det er en planlagt oppdatering. Fremgangsmåten er enkel — sammenlign tidspunktet for rapporten med tidspunktet for oppdateringen, og bygg basen på nytt hvis de faller sammen. Når spørsmålet ikke er hva som er endret, men hvem som endret det, er det auditd som svarer: AIDE noterer resultatet, revisjonsloggen noterer hånden.