aide

AIDE 文件完整性检查

补充说明

AIDE 为文件建立哈希和属性基线，之后对比发现新增、删除和修改。它适合检测关键系统文件被篡改，但不能阻止入侵。

常用示例

aide --init
aide --check
aide --update
aide --config-check
aide -c /etc/aide.conf --check
aide --init --config=/etc/aide.conf

配置要点：

# /etc/aide.conf
/bin    R+sha256
/sbin   R+sha256
/etc    R+sha256
!/etc/mtab

常见属性：

p 权限
u 属主
g 属组
s 大小
m 修改时间
n 链接数
sha256 哈希

易错点与排错

• 首次 --init 建立基线；基线本身要保存在安全位置。
• 合法变更（升级、配置修改）后要更新基线，否则每天都有告警。
• 数据库和配置要防篡改；不要放在被监控目录里。
• --check 需要 root 读取所有文件；权限不足会漏检。
• 大文件系统和频繁变更目录会产生大量 I/O 和告警；按需排除。
• AIDE 不是实时监控；按 cron 定期执行，结合 inotify/auditd。
• 告警要有人处理；只生成报告不看的完整性检查没有意义。

相关命令

• aide — 完整性检查
• rkhunter — rootkit 检查
• auditd — 实时审计