AIDE — filintegritet

Filintegritet i en form som faktiskt blir läst

AIDE tar en kryptografisk ögonblicksbild av filsystemet och rapporterar vad som ändrats sedan dess. Det är verktyget som svarar på frågan alla andra väjer för efter en incident: vad rörde de vid? Den här sidan visar den senaste kontrollen som tre listor — tillagda, ändrade och borttagna filer — med de attribut som skiljer sig.

Två saker avgör om AIDE är värt något på din server. Det första är var databasen ligger: står den på samma filsystem som den kontrollerar kan vem som helst med root uppdatera den efter sina ändringar, och rapporten kommer tillbaka ren. Håll en kopia där servern inte kan skriva. Det andra är disciplin kring utgångsläget: efter varje legitim paketuppgradering måste databasen byggas om, annars drunknar nästa rapport i väntade ändringar och slutar bli läst.

De bullriga katalogerna på en vanlig server är /var/log, /var/lib och allt under /tmp. Att utesluta dem är inte fusk: det är vad som gör den återstående utskriften kort nog att verkligen titta på.

Den allra vanligaste AIDE-rapporten kommer just härifrån: unattended-upgrades kördes under natten, dussintals binärer bytte hash, och listan med ändringar läses som ett intrång trots att det är en planerad uppdatering. Tillvägagångssättet är enkelt — jämför tiden för rapporten med tiden för uppdateringen och bygg om basen om de sammanfaller. När frågan inte är vad som ändrats utan vem som ändrat det, är det auditd som svarar: AIDE noterar resultatet, revisionsloggen noterar handen.