AIDE — integrita súborov

Integrita súborov v podobe, ktorú naozaj čítate

AIDE urobí kryptografickú snímku súborového systému a hlási, čo sa odvtedy zmenilo. Je to nástroj, ktorý odpovie na otázku, ktorej sa všetky ostatné po incidente vyhýbajú: čoho sa dotkli? Táto stránka ukazuje poslednú kontrolu ako tri zoznamy — pridané, zmenené a odstránené súbory — s atribútmi, ktoré sa líšia.

O tom, či je AIDE na vašom serveri na niečo, rozhodujú dve veci. Prvou je, kde leží databáza: ak je na tom istom súborovom systéme, ktorý kontroluje, môže ju ktokoľvek s rootom po svojich zmenách aktualizovať a správa sa vráti čistá. Držte kópiu tam, kam server nemôže zapisovať. Druhou je disciplína okolo východiskového stavu: po každej legitímnej aktualizácii balíkov treba databázu postaviť nanovo, inak sa ďalšia správa utopí v očakávaných zmenách a prestane sa čítať.

Hlučné adresáre na bežnom serveri sú /var/log, /var/lib a všetko pod /tmp. Vyňať ich z kontroly nie je podvod: práve vďaka tomu je zvyšok výstupu dosť krátky na to, aby sa naň človek skutočne pozrel.

Najčastejšia správa AIDE pochádza práve odtiaľto: v noci prebehli unattended-upgrades, desiatky binárok zmenili odtlačok a zoznam zmien sa číta ako vlámanie, hoci ide o plánovanú aktualizáciu. Postup je jednoduchý: porovnať čas správy s časom aktualizácie a ak sa zhodujú, postaviť základ nanovo. Keď otázka neznie čo sa zmenilo, ale kto to zmenil, odpovedá auditd: AIDE zaznamená výsledok, auditný log ruku.