Monitorización de integridad de archivos con AIDE: construir la línea base, comparar contra ella y mantener la base de datos fuera del host

Objetivo

Establecer una base de datos AIDE conocida como buena para un host Linux, ejecutar comparaciones contra ella, excluir rutas que cambian de forma legítima, y almacenar la línea base en algún lugar al que un compromiso local no pueda llegar.

Requisitos previos

Privilegios de root; el paquete aide instalado; una configuración que liste las rutas a vigilar y la regla (qué atributos comparar) para cada una —/etc/aide.conf en sistemas de la familia RHEL, /etc/aide/aide.conf (más /etc/aide/aide.conf.d/) en Debian/Ubuntu. aide --version imprime el archivo de configuración predeterminado compilado y los valores de database_in/database_out; pasar --config=<file> explícitamente cuando difieran del archivo editado.

Pasos

1. Definir qué vigilar en la configuración, excluyendo rutas volátiles como /proc, /sys, /tmp, directorios de registro y cachés del gestor de paquetes con un ! inicial: !/var/log omite ese árbol. aide.conf documenta database_out como el destino de la base de datos escrita por --init, junto con la sintaxis de reglas de inclusión/exclusión.
2. Construir la base de datos inicial. Familia RHEL: aide --init. Debian/Ubuntu: aideinit -y -f (el envoltorio de Debian; -y y -f responden a sus avisos de sobrescritura, de modo que se ejecuta sin interacción). La página de manual indica que tras --init hay que «moverla al lugar apropiado (ver la opción de configuración database_in)» antes de que --check funcione.
3. Mover la nueva base de datos a la ruta database_in. Valores predeterminados de la familia RHEL: mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz. En Debian/Ubuntu, aideinit escribe /var/lib/aide/aide.db.new y, con -f, la copia ella misma a /var/lib/aide/aide.db.
4. Copiar de inmediato esa base de datos a un almacenamiento en el que el host monitorizado no pueda escribir (un servidor separado, medios de escritura única, o un sistema de secretos/gestión de configuración) —una base de datos que quede solo en el host monitorizado puede ser editada por cualquier cosa con root en ese host, anulando la comprobación.
5. Ejecutar una comparación en cualquier momento posterior: aide --check. Su código de salida es una máscara de bits (1 = archivos nuevos, 2 = archivos eliminados, 4 = archivos modificados; 14 en adelante son errores), de modo que una salida distinta de cero no es en sí misma un fallo de la herramienta. Revisar el informe en busca de adiciones, eliminaciones o cambios de atributos inesperados.
6. Después de cada cambio intencional (un parche, una edición de configuración), volver a ejecutar --init (o --update, que compara y escribe una nueva base de datos en la ruta separada database_out, la cual después hay que mover al lugar correspondiente de la misma forma) y redistribuir la nueva base de datos de la misma manera, para que el siguiente --check compare contra el estado actual conocido como bueno en lugar de señalar trabajo rutinario.

Resultado esperado

aide --check se ejecuta limpio inmediatamente después de una reconstrucción, y en cualquier ejecución posterior informa de todo archivo que cambió, se añadió o se eliminó desde la línea base almacenada.

Límites y base de verificación

AIDE solo detecta una diferencia entre el sistema de archivos actual y su base de datos almacenada —no demuestra nada si ambos se leen del mismo host comprometido durante la misma sesión, por lo que el paso 4 (mover la base de datos fuera del host) es el control que hace significativa la comprobación. Excluir una ruta en el paso 1 la elimina de todas las comprobaciones futuras; revisar las exclusiones periódicamente en lugar de tratarlas como permanentes. Ninguno de estos pasos requiere reiniciar; para deshacer una exclusión no deseada, editar aide.conf y reconstruir la base de datos.