Không phát hiện thay đổi
Lần kiểm tra cuối: 12.10.2026 03:09
AIDE chụp một ảnh mật mã của hệ thống tệp và báo lại điều gì đã thay đổi kể từ đó. Nó là công cụ trả lời được câu hỏi mà mọi công cụ khác né tránh sau một sự cố: họ đã đụng vào cái gì? Trang này hiện lần kiểm tra gần nhất dưới dạng ba danh sách — tệp được thêm, thay đổi và bị xóa — kèm những thuộc tính khác biệt.
Hai điều quyết định AIDE có đáng giá gì trên máy chủ của bạn hay không. Thứ nhất là cơ sở dữ liệu nằm ở đâu: nếu nó nằm trên chính hệ thống tệp mà nó kiểm tra, bất kỳ ai có quyền root cũng có thể cập nhật nó sau khi sửa đổi và báo cáo sẽ trở về sạch sẽ. Hãy giữ một bản sao ở nơi máy chủ không ghi được. Thứ hai là kỷ luật với trạng thái gốc: sau mỗi lần nâng cấp gói hợp lệ, cơ sở dữ liệu phải được dựng lại, nếu không báo cáo kế tiếp sẽ chìm trong những thay đổi được dự đoán và không còn ai đọc nữa.
Những thư mục ồn ào trên một máy chủ bình thường là /var/log, /var/lib và mọi thứ dưới /tmp. Loại chúng khỏi phần kiểm tra không phải là gian lận: chính điều đó làm phần kết quả còn lại đủ ngắn để bạn thật sự nhìn vào.
Báo cáo AIDE thường gặp nhất sinh ra đúng từ đây: ban đêm unattended-upgrades đã chạy, hàng chục tệp nhị phân đổi hash, và danh sách thay đổi đọc lên như một vụ đột nhập trong khi đó là bản cập nhật theo lịch. Cách xử lý đơn giản: đối chiếu giờ của báo cáo với giờ của bản cập nhật, nếu trùng thì dựng lại nền. Khi câu hỏi không còn là cái gì đã đổi mà là ai đã đổi, người trả lời là auditd: AIDE ghi kết quả, nhật ký kiểm toán ghi bàn tay.