AIDE — integralność plików

Integralność plików w postaci, którą naprawdę się czyta

AIDE robi kryptograficzną migawkę systemu plików i zgłasza, co zmieniło się od tamtej pory. To narzędzie, które odpowiada na pytanie, przed którym uchylają się wszystkie inne po incydencie: czego dotknęli? Ta strona pokazuje ostatnią kontrolę jako trzy listy — pliki dodane, zmienione i usunięte — wraz z atrybutami, które się różnią.

O tym, czy AIDE jest cokolwiek wart na twoim serwerze, decydują dwie rzeczy. Pierwsza to miejsce bazy danych: jeśli leży na tym samym systemie plików, który sprawdza, każdy z uprawnieniami roota może ją zaktualizować po swoich zmianach, a raport wróci czysty. Trzymaj kopię tam, gdzie serwer nie może pisać. Druga to dyscyplina wobec punktu odniesienia: po każdej legalnej aktualizacji pakietów bazę trzeba zbudować od nowa, inaczej kolejny raport utonie w oczekiwanych zmianach i przestanie być czytany.

Hałaśliwe katalogi na zwykłym serwerze to /var/log, /var/lib i wszystko pod /tmp. Wyłączenie ich z kontroli nie jest oszustwem: to właśnie sprawia, że reszta wyniku jest na tyle krótka, by naprawdę na nią spojrzeć.

Najczęstszy raport AIDE bierze się właśnie stąd: w nocy zadziałały unattended-upgrades, dziesiątki plików binarnych zmieniły skrót, a lista zmian czyta się jak włamanie, choć to zaplanowana aktualizacja. Postępowanie jest proste: porównać godzinę raportu z godziną aktualizacji i, jeśli się pokrywają, zbudować bazę od nowa. Gdy pytanie brzmi już nie co się zmieniło, lecz kto zmienił, odpowiada auditd: AIDE zapisuje wynik, dziennik audytu zapisuje rękę.