AIDE — целостность файлов

Целостность файлов в виде, который действительно читают

AIDE снимает криптографический слепок файловой системы и сообщает, что изменилось с тех пор. Это инструмент, отвечающий на вопрос, от которого уклоняются все остальные после инцидента: к чему они прикасались? Эта страница показывает последнюю проверку тремя списками — добавленные, изменённые и удалённые файлы — вместе с расходящимися атрибутами.

Стоит ли AIDE чего-то на вашем сервере, решают две вещи. Первая — где лежит база: если она на той же файловой системе, которую проверяет, любой с правами root может обновить её после своих правок, и отчёт вернётся чистым. Держите копию там, куда сервер не может писать. Вторая — дисциплина по отношению к исходному состоянию: после каждого законного обновления пакетов базу нужно строить заново, иначе следующий отчёт тонет в ожидаемых изменениях и его перестают читать.

Шумные каталоги на обычном сервере — /var/log, /var/lib и всё под /tmp. Исключить их из проверки не жульничество: именно это делает оставшийся вывод достаточно коротким, чтобы в него правда заглянули.

Отсюда же берётся самый частый утренний отчёт AIDE: ночью отработали unattended-upgrades, десятки бинарников сменили хеш, и список изменений читается как взлом, хотя это плановое обновление. Порядок здесь простой — сверить время отчёта со временем обновления и, если они совпали, перестроить базу. Когда вопрос уже не что изменилось, а кто менял, отвечает auditd: AIDE фиксирует результат, журнал аудита — руку.