Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

4.11. 使用 AIDE检查完整性

高级入侵检测环境（Advanced Intrusion Detection Environment，简称 AIDE）是一个实用工具，它可以创建系统上的文件数据库，然后利用该数据库来确保文件的完整性，并检测系统入侵。

4.11.1. 安装 AIDE

要安装 aide 软件包，请以 root 用户身份输入以下命令： 
~]# yum install aide
要生成初始数据库，请以 root 用户身份输入以下命令： 
~]# aide --init

AIDE, version 0.15.1

### AIDE database at /var/lib/aide/aide.db.new.gz initialized.
注意
在默认配置中，aide --init 命令只检查 /etc/aide.conf 文件中定义的一组目录和文件。要在 AIDE 数据库中包含其他目录或文件，并更改其监视的参数，请相应地编辑 /etc/aide.conf。
要开始使用数据库，请从初始数据库文件名中删除 .new 子字符串： 
~]# mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
要修改 AIDE 数据库的位置，请编辑 /etc/aide.conf 文件并修改 DBDIR 值。要获得额外的安全性，请将数据库、配置和 /usr/sbin/aide 二进制文件存储在安全的位置，如只读介质。
重要
为了避免 AIDE 数据库位置更改后的 SELinux 拒绝，请相应地更新您的 SELinux 策略。如需更多信息，请参阅 SELinux 用户和管理员指南。

4.11.2. 执行完整性检查

要启动手动检查，请以 root 用户身份输入以下命令： 
~]# aide --check
AIDE 0.15.1 found differences between database and filesystem!!
Start timestamp: 2017-03-30 14:12:56

Summary:
  Total number of files:	147173
  Added files:			1
  Removed files:		0
  Changed files:		2
...
AIDE 至少应配置为运行每周扫描。多数情况下，AIDE 应该每天运行。例如，要使用 cron 计划在每天 4:05 执行 AIDE （请参阅系统管理员指南中的 Automating System Tasks 章节），请将以下行添加到 /etc/crontab ： 
05 4 * * * root /usr/sbin/aide --check

4.11.3. 更新 AIDE 数据库

在验证了软件包更新或配置文件调整等系统更改后，更新您的基准 AIDE 数据库： 
~]# aide --update
aide --update 命令创建 /var/lib/aide/aide.db.new.gz 数据库文件。要开始使用它进行完整性检查，请从文件名中删除 .new 子字符串。

4.11.4. 其它资源

有关 AIDE 的更多信息，请参阅以下文档：