| ประเภท | ผลการตรวจสอบ |
|---|---|
| changed | /etc/aide/aide.conf |
| changed | /usr/sbin/sshd |
AIDE ถ่ายภาพเชิงวิทยาการรหัสลับของระบบไฟล์ของคุณ แล้วรายงานว่ามีอะไรเปลี่ยนไปนับจากนั้น มันคือเครื่องมือที่ตอบคำถามซึ่งเครื่องมืออื่นทั้งหมดหลบเลี่ยงหลังเกิดเหตุ ว่าพวกเขาไปแตะอะไรไว้บ้าง หน้านี้แสดงการตรวจครั้งล่าสุดเป็นสามรายการ ได้แก่ ไฟล์ที่เพิ่ม เปลี่ยน และถูกลบ พร้อมคุณลักษณะที่แตกต่างกัน
สองสิ่งตัดสินว่า AIDE มีค่าอะไรบนเซิร์ฟเวอร์ของคุณหรือไม่ อย่างแรกคือฐานข้อมูลอยู่ที่ไหน หากมันอยู่บนระบบไฟล์เดียวกับที่มันตรวจ ใครก็ตามที่มีสิทธิ์ root สามารถอัปเดตมันหลังการแก้ไขของตัวเองได้ แล้วรายงานก็จะกลับมาสะอาด เก็บสำเนาไว้ในที่ซึ่งเซิร์ฟเวอร์เขียนไม่ได้ อย่างที่สองคือวินัยต่อสภาพตั้งต้น หลังการอัปเกรดแพ็กเกจที่ถูกต้องทุกครั้งต้องสร้างฐานข้อมูลใหม่ มิฉะนั้นรายงานถัดไปจะจมอยู่ในความเปลี่ยนแปลงที่คาดหมายได้และเลิกถูกอ่านไปในที่สุด
ไดเรกทอรีที่ส่งเสียงดังบนเซิร์ฟเวอร์ทั่วไปคือ /var/log, /var/lib และทุกอย่างใต้ /tmp การกันมันออกจากการตรวจไม่ใช่การโกง นั่นคือสิ่งที่ทำให้ผลลัพธ์ที่เหลือสั้นพอจะได้ดูจริง ๆ
รายงานของ AIDE ที่พบบ่อยที่สุดเกิดจากตรงนี้เอง คือกลางคืน unattended-upgrades ทำงาน ไบนารีหลายสิบตัวเปลี่ยนแฮช และรายการเปลี่ยนแปลงอ่านดูเหมือนการบุกรุกทั้งที่เป็นการอัปเดตตามกำหนด วิธีจัดการง่ายมาก ให้เทียบเวลาของรายงานกับเวลาของการอัปเดต ถ้าตรงกันก็สร้างฐานใหม่ และเมื่อคำถามไม่ใช่ว่าอะไรเปลี่ยนแต่เป็นใครเปลี่ยน คนตอบคือ auditd เพราะ AIDE บันทึกผลลัพธ์ ส่วนบันทึกการตรวจสอบบันทึกมือ