Dateiintegritätsüberwachung mit AIDE: Baseline erstellen, dagegen prüfen und die Datenbank ausserhalb des Hosts aufbewahren

Ziel

Eine als korrekt bekannte AIDE-Datenbank für einen Linux-Host einrichten, Vergleiche dagegen ausführen, Pfade mit legitimen Änderungen ausschliessen und die Baseline an einem Ort speichern, den eine lokale Kompromittierung nicht erreicht.

Voraussetzungen

Root-Rechte; das Paket aide ist installiert; eine Konfiguration, die die zu überwachenden Pfade und für jeden Pfad die Regel (welche Attribute verglichen werden) auflistet — /etc/aide.conf auf Systemen der RHEL-Familie, /etc/aide/aide.conf (zusätzlich /etc/aide/aide.conf.d/) auf Debian/Ubuntu. aide --version gibt die einkompilierte Standard-Konfigurationsdatei sowie die Werte für database_in/database_out aus; weichen diese von der bearbeiteten Datei ab, ist --config=<file> explizit anzugeben.

Schritte

1. In der Konfiguration festlegen, was überwacht wird, und volatile Pfade wie /proc, /sys, /tmp, Log-Verzeichnisse und Caches des Paketmanagers mit einem vorangestellten ! ausschliessen: !/var/log überspringt diesen Verzeichnisbaum. In aide.conf ist neben der Syntax für Einschluss- und Ausschlussregeln auch database_out dokumentiert, das Ziel für die Datenbank, die --init schreibt.
2. Die initiale Datenbank erstellen. RHEL-Familie: aide --init. Debian/Ubuntu: aideinit -y -f (der Debian-Wrapper; -y und -f beantworten dessen Rückfragen zum Überschreiben, sodass er nicht interaktiv läuft). Laut Handbuchseite muss die Datenbank nach --init an die passende Stelle verschoben werden („move it to the appropriate place (see database_in config option)“), bevor --check funktioniert.
3. Die neue Datenbank an den Pfad database_in verschieben. Standardwerte der RHEL-Familie: mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz. Auf Debian/Ubuntu schreibt aideinit die Datei /var/lib/aide/aide.db.new und kopiert sie mit -f selbst nach /var/lib/aide/aide.db.
4. Die Datenbank sofort auf einen Speicher kopieren, auf den der überwachte Host nicht schreiben kann (separater Server, einmal beschreibbare Medien oder ein Secrets- bzw. Konfigurationsmanagementsystem) — eine Datenbank, die nur auf dem überwachten Host liegt, kann von allem bearbeitet werden, das dort Root-Rechte hat, und die Prüfung wird wirkungslos.
5. Zu einem beliebigen späteren Zeitpunkt einen Vergleich ausführen: aide --check. Der Exit-Status ist eine Bitmaske (1 = neue Dateien, 2 = entfernte Dateien, 4 = geänderte Dateien; ab 14 handelt es sich um Fehler); ein Exit-Status ungleich null bedeutet daher für sich genommen nicht, dass das Tool versagt hat. Den Bericht auf unerwartete Neuzugänge, Löschungen oder Attributänderungen prüfen.
6. Nach jeder beabsichtigten Änderung (Patch, Konfigurationsänderung) erneut --init ausführen (oder --update, das prüft und eine neue Datenbank in den separaten Pfad database_out schreibt, die dann auf dieselbe Weise an ihren Platz verschoben werden muss) und die neue Datenbank wie zuvor verteilen, damit das nächste --check gegen den aktuellen, als korrekt bekannten Zustand vergleicht, statt Routinearbeiten zu melden.

Erwartetes Ergebnis

aide --check läuft unmittelbar nach einem Neuaufbau ohne Befunde durch und meldet bei jedem späteren Lauf jede Datei, die seit der gespeicherten Baseline geändert, hinzugefügt oder entfernt wurde.

Grenzen und Prüfbasis

AIDE erkennt nur einen Unterschied zwischen dem aktuellen Dateisystem und der gespeicherten Datenbank — es beweist nichts, wenn beides in derselben Sitzung vom selben kompromittierten Host gelesen wird. Deshalb ist Schritt 4 (die Datenbank vom Host wegbringen) die Massnahme, die die Prüfung aussagekräftig macht. Ein in Schritt 1 ausgeschlossener Pfad fällt aus allen künftigen Prüfungen heraus; Ausschlüsse sind daher regelmässig zu überprüfen, statt sie als dauerhaft zu betrachten. Für keinen dieser Schritte ist ein Neustart erforderlich; einen unerwünschten Ausschluss macht man rückgängig, indem man aide.conf bearbeitet und die Datenbank neu aufbaut.