Surveillance de l'intégrité des fichiers avec AIDE : construire la référence, comparer le système à celle-ci et conserver la base hors de l'hôte

Objectif

Établir pour un hôte Linux une base AIDE saine et connue, lancer des comparaisons par rapport à celle-ci, exclure les chemins qui changent légitimement, et stocker la référence à un endroit qu'une compromission locale ne peut pas atteindre.

Prérequis

Privilèges root ; le paquet aide installé ; une configuration qui liste les chemins à surveiller et, pour chacun, la règle (quels attributs comparer) : /etc/aide.conf sur les systèmes de la famille RHEL, /etc/aide/aide.conf (ainsi que /etc/aide/aide.conf.d/) sur Debian/Ubuntu. aide --version affiche le fichier de configuration par défaut compilé dans le binaire ainsi que les valeurs de database_in et database_out ; passez explicitement --config=<file> lorsqu'ils diffèrent du fichier que vous avez modifié.

Étapes

1. Définissez dans la configuration ce qu'il faut surveiller, en excluant les chemins volatils tels que /proc, /sys, /tmp, les répertoires de journaux et les caches des gestionnaires de paquets, au moyen d'un ! initial : !/var/log ignore toute cette arborescence. aide.conf indique que database_out désigne la destination de la base écrite par --init, et décrit aussi la syntaxe des règles d'inclusion et d'exclusion.
2. Construisez la base initiale. Famille RHEL : aide --init. Debian/Ubuntu : aideinit -y -f (le script d'enrobage de Debian ; -y et -f répondent à ses demandes de confirmation d'écrasement, ce qui permet une exécution non interactive). La page de manuel précise qu'après --init, il faut « move it to the appropriate place (see database_in config option) » (la déplacer à l'emplacement approprié, voir l'option de configuration database_in) avant que --check fonctionne.
3. Déplacez la nouvelle base vers le chemin database_in. Valeurs par défaut de la famille RHEL : mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz. Sur Debian/Ubuntu, aideinit écrit /var/lib/aide/aide.db.new et, avec -f, la copie lui-même vers /var/lib/aide/aide.db.
4. Copiez aussitôt cette base vers un stockage sur lequel l'hôte surveillé ne peut pas écrire (un serveur distinct, un support non réinscriptible ou un système de gestion de secrets ou de configuration) : une base laissée uniquement sur l'hôte surveillé peut être modifiée par tout ce qui dispose des droits root sur cet hôte, ce qui rend la vérification inopérante.
5. Lancez une comparaison à tout moment ultérieur : aide --check. Son code de sortie est un masque de bits (1 = nouveaux fichiers, 2 = fichiers supprimés, 4 = fichiers modifiés ; 14 et au-delà correspondent à des erreurs) ; un code non nul n'indique donc pas, en soi, une défaillance de l'outil. Examinez le rapport pour repérer les ajouts, suppressions ou changements d'attributs inattendus.
6. Après chaque modification intentionnelle (un correctif, une modification de configuration), relancez --init (ou --update, qui effectue la vérification puis écrit une nouvelle base dans le chemin distinct database_out ; cette base doit ensuite être mise en place de la même manière) et redistribuez la nouvelle base de la même façon, afin que le --check suivant compare à l'état sain actuel au lieu de signaler des opérations de routine.

Résultat attendu

aide --check s'exécute sans alerte juste après une reconstruction, puis, à chaque exécution ultérieure, signale tous les fichiers modifiés, ajoutés ou supprimés depuis la référence stockée.

Limites et base de vérification

AIDE détecte uniquement une différence entre le système de fichiers actuel et sa base stockée : il ne prouve rien si les deux sont lus sur le même hôte compromis pendant la même session. C'est pourquoi l'étape 4 (déplacer la base hors de l'hôte) est le contrôle qui donne un sens à la vérification. Exclure un chemin à l'étape 1 le retire de toutes les vérifications futures ; réexaminez périodiquement les exclusions au lieu de les considérer comme définitives. Aucun redémarrage n'est nécessaire pour ces étapes ; pour annuler une exclusion indésirable, modifiez aide.conf et reconstruisez la base.