AIDE — 文件完整性

以真正会被读完的形式呈现文件完整性

AIDE 为你的文件系统拍下一张密码学快照，并报告此后有什么发生了变化。它正是那个能回答事故之后所有其他工具都绕开的问题的工具：他们动了什么？这一页把最近一次检查呈现为三份清单——新增、变更和删除的文件——并附上有差异的属性。

决定 AIDE 在你服务器上是否有价值的有两件事。第一是数据库放在哪里：如果它就坐落在自己所检查的那个文件系统上，任何拥有 root 权限的人都能在改完之后更新它，报告便会干干净净地回来。请在服务器写不到的地方留一份副本。第二是对基线的纪律：每次合法的软件包升级之后都必须重建数据库，否则下一份报告就会淹没在预期之中的变更里，从此再没人读。

普通服务器上吵闹的目录是 /var/log、/var/lib 以及 /tmp 之下的一切。把它们排除在检查之外不算作弊：正是这一步让剩下的输出短到你真的会去看一眼。

AIDE 最常见的那份报告正是这么来的：夜里 unattended-upgrades 跑过，几十个二进制文件的哈希都变了，改动清单读起来像入侵，其实是计划内的更新。处理很简单：把报告的时间和更新的时间对一下，若能对上，就重建基线。而当问题不再是什么被改了、而是谁改的，回答这个的是 auditd——AIDE 记录结果，审计日志记录那只手。