【红帽Linux】AIDE 使用手册

AIDE (Advanced Intrusion Detection Environment) 是一个用于检测系统完整性变化的工具，主要用于 Linux 和类 Unix 系统。它可以被用来发现系统被攻击或被篡改的迹象。下面是 AIDE 的基本使用手册，涵盖安装、配置和日常使用等方面。

1. 安装 AIDE

AIDE 的安装过程取决于你的操作系统。以下是针对 Ubuntu 和 RHEL/CentOS 的安装步骤。

对于 Debian 或 Ubuntu:

sudo apt update
sudo apt install aide

对于 RHEL 或 CentOS:

sudo yum install aide

2. 配置 AIDE

AIDE 的主配置文件通常位于 /etc/aide/aide.conf或/etc/aide.conf。你可以根据需要编辑此文件来进行配置, 在功能性验证阶段使用默认配置即可, 后续可根据需求进行调整。

基本配置选项:

·         指定要检查的目录:

/ etc,
/var etc,
/usr etc,

·         选择要检查的文件属性:

file_attributes = size, perms, user, group, mtime, ctime, ftype, md5, sha1

·         排除不需要检查的文件:

exclude_dirs = /proc /sys /dev /tmp /var/tmp /var/run /var/lock /var/spool /var/cache
exclude_files = /lost+found

·         使用 SHA-256 校验:

file_attributes = size, perms, user, group, mtime, ctime, ftype, sha256

·         忽略某些文件类型:

exclude_types = a b c d l s

3. 生成初始数据库

首次运行 AIDE 之前，你需要生成一个初始数据库，用于保存系统文件的当前状态。

sudo aide --init
命令完成后的文件如果是可以值得信任的基准, 那么可以通过以下命令使其成为基准数据库:
ln -s /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

这可能会花费一些时间，因为它需要遍历整个文件系统。

4. 运行 AIDE

一旦初始数据库生成完成，你可以运行 AIDE 来检查当前文件系统对比于基准数据库的完整性。

sudo /usr/sbin/aide --check

5. 查看结果

AIDE的事件都会写入日志文件中, /var/log/aide/aide.log为其默认位置.

cat /var/log/aide/aide.log

6. 更新数据库

如果你确定没有任何异常，就可以更新数据库以反映当前的系统状态。通常你需要根据aide --check的事件对于误报的问题, 更新aide基准数据库, 如果确认是不需要关注的误报则可以配置aide.conf文件规则进行过滤.

sudo aide --update

7. 自动化 AIDE

为了提高效率，你可以设置 cron 任务来定期运行 AIDE 并通过邮件发送报告给管理员。

创建 cron 任务:

编辑 /etc/cron.d/aide 文件，并添加如下内容来每天凌晨 4 点运行 AIDE：

0 4 * * * root /usr/sbin/aide --check

你还可以配置 AIDE 通过邮件发送报告：

0 4 * * * root /usr/sbin/aide --check | mail -s "AIDE Report" admin@example.com

确保已经安装了 mailx 并正确配置了邮件服务。

总结

以上步骤涵盖了 AIDE 的基本安装、配置和使用方法。根据你的具体需求，你可能还需要进一步定制 AIDE 的配置文件。AIDE 是一个强大的工具，能够帮助你监控文件系统的完整性并保护系统免受攻击。请确保定期运行 AIDE 以保持系统的安全性。