AIDE — integridade dos ficheiros

Integridade de ficheiros numa forma que se lê mesmo

O AIDE tira um instantâneo criptográfico do seu sistema de ficheiros e comunica o que mudou desde então. É a ferramenta que responde à pergunta que todas as outras contornam depois de um incidente: no que é que mexeram? Esta página mostra a última verificação em três listas — ficheiros acrescentados, alterados e removidos — com os atributos que diferem.

Duas coisas decidem se o AIDE vale alguma coisa no seu servidor. A primeira é onde reside a base de dados: se estiver no mesmo sistema de ficheiros que verifica, qualquer pessoa com root pode atualizá-la depois das suas alterações e o relatório sairá limpo. Guarde uma cópia onde o servidor não possa escrever. A segunda é disciplina com a referência: após cada atualização legítima de pacotes, a base tem de ser reinicializada, sob pena de o relatório seguinte se afogar em alterações esperadas e deixar de ser lido.

Os diretórios ruidosos de um servidor normal são /var/log, /var/lib e tudo o que está sob /tmp. Excluí-los da verificação não é batota: é o que deixa o resultado restante suficientemente curto para ser mesmo visto.

O relatório do AIDE mais frequente de todos nasce precisamente daqui: durante a noite correram os unattended-upgrades, dezenas de binários mudaram de hash e a lista de alterações lê-se como uma intrusão quando é uma atualização planeada. O procedimento é simples: comparar a hora do relatório com a da atualização e, se coincidirem, reconstruir a base. Quando a pergunta deixa de ser o que mudou e passa a ser quem mudou, quem responde é o auditd: o AIDE regista o resultado, o registo de auditoria regista a mão.