AIDE — цілісність файлів

Цілісність файлів у вигляді, який справді читають

AIDE робить криптографічний знімок вашої файлової системи і повідомляє, що змінилося відтоді. Це інструмент, який відповідає на питання, від якого всі інші ухиляються після інциденту: до чого вони торкалися? Ця сторінка показує останню перевірку як три списки — додані, змінені та вилучені файли — з атрибутами, що відрізняються.

Дві речі вирішують, чи вартий AIDE чогось на вашому сервері. Перша — де живе база даних: якщо вона на тій самій файловій системі, яку перевіряє, будь-хто з правами root може оновити її після своїх змін, і звіт повернеться чистим. Тримайте копію там, куди сервер не може писати. Друга — дисципліна щодо вихідного стану: після кожного законного оновлення пакунків базу треба будувати наново, інакше наступний звіт потоне в очікуваних змінах і його перестануть читати.

Галасливі каталоги на звичайному сервері — /var/log, /var/lib і все під /tmp. Виключити їх з перевірки — не шахрайство: саме це робить решту виводу достатньо короткою, щоб у неї справді зазирнути.

Найчастіший звіт AIDE береться саме звідси: вночі відпрацювали unattended-upgrades, десятки бінарників змінили хеш, і список змін читається як зламування, хоча це планове оновлення. Порядок простий: звірити час звіту з часом оновлення і, якщо вони збіглися, перебудувати базу. Коли питання вже не що змінилося, а хто змінив, відповідає auditd: AIDE фіксує результат, журнал аудиту — руку.