AIDE利用方法

RHEL5で利用方法を説明します。

１． AIDEのインストール
AIDEをインストールするには、以下のコマンドを実行します。

#yum install aide

２． 設定ファイルの編集
インストール時の標準のままでも動作しますが、必要がある場合には、設定ファイルを編集します。

#vi /etc/aide.conf

３．AIDEデータベースファイルの作成
ベースとなるAIDEデータベースファイルを作成します。

#aide --init
#cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

aideは、データベースファイル(aide.db.new.gz)を/var/lib/aideディレクトリに新たに作成します。
これを、手動でベースとしてコピーコマンド等で保存します。

通常、管理者は、セキュリティのため、ネットワーク接続前に、データベースファイルを作成しておくべきです。

４．改ざんチェック
システムの現在状態との比較を行うには、以下のコマンドを実行します。

#aide --check

改ざんが検知されると以下のような結果が出力されます。

AIDE found differences between database and filesystem!!
Start timestamp: 2009-11-30 14:39:45
Summary:
Total number of files=11247,added files=0,removed files=0,changed files=1

Changed files:
changed:/bin/ls

Detailed information about changes:

File: /bin/ls
Mtime : 2009-11-30 14:26:18 , 2009-11-30 14:39:39
Ctime : 2009-11-30 14:26:18 , 2009-11-30 14:39:39

５．データベースファイルの更新
結果を確認し、改ざんが検知された場合でも、その変更が問題なければ、現在の状態のデータベースを作成し、新たなベースとします。

#aide --init
#cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

この チェック aide --check からAIDEデータベース作成 aide --init は、 aide --update コマンドで省略可能です。
その場合、４と５の操作は、次のようになります。

#aide --update
#cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

参考）
How do I check the software integrity on Red Hat Enterprise Linux 5?