第7章 AIDE で整合性の確認
AIDE
(Advanced Intrusion Detection Environment) は、システムのファイルのデータベースを作成し、そのデータベースを使用してファイルの整合性を確保し、システムの侵入を検出します。
7.1. AIDE のインストール
以下の手順は、AIDE
をインストールして、そのデータベースを開始するのに必要です。
前提条件
-
AppStream
リポジトリーが有効になっている。
手順
aide パッケージをインストールするには、次のコマンドを実行します。
# yum install aide
初期データベースを生成するには、次のコマンドを実行します。
# aide --init
注記デフォルト設定では、
aide --init
コマンドは、/etc/aide.conf
ファイルで定義するディレクトリーとファイルのセットのみを確認します。ディレクトリーまたはファイルをAIDE
データベースに追加し、監視パラメーターを変更するには、/etc/aide.conf
を変更します。データベースの使用を開始するには、初期データベースのファイル名から末尾の
.new
を削除します。# mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
-
AIDE
データベースの場所を変更するには、/etc/aide.conf
ファイルを編集して、DBDIR
値を変更します。追加のセキュリティーのデータベース、設定、/usr/sbin/aide
バイナリーファイルを、読み取り専用メディアなどの安全な場所に保存します。
7.2. AIDE
を使用した整合性チェックの実行
前提条件
-
AIDE
が適切にインストールされ、そのデータベースが初期化されている。「AIDE のインストール」を参照してください。
手順
手動でチェックを開始するには、以下を行います。
# aide --check Start timestamp: 2018-07-11 12:41:20 +0200 (AIDE 0.16) AIDE found differences between database and filesystem!! ... [trimmed for clarity]
AIDE
は、最低でも、スキャンを毎週実行するように設定する必要があります。AIDE
は毎日実行する必要があります。たとえば、AIDE
を毎日午前 04:05 に実行するようにスケジュールするには、cron
コマンドを使用して、次の行を/etc/crontab
ファイルを追加します。05 4 * * * root /usr/sbin/aide --check
7.3. AIDE データベースの更新
システムの変更 (パッケージの更新、設定ファイルの修正など) を確認してから、基本となる AIDE
データベースを更新することが推奨されます。
前提条件
-
AIDE
が適切にインストールされ、そのデータベースが初期化されている。「AIDE のインストール」を参照してください。
手順
基本となる AIDE データベースを更新します。
# aide --update
aide --update コマンドは、
/var/lib/aide/aide.db.new.gz
データベースファイルを作成します。-
整合性チェックで更新したデータベースを使用するには、ファイル名から末尾の
.new
を削除します。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。