Monitoramento de integridade de arquivos com AIDE: criar a baseline, verificar contra ela e manter o banco de dados fora do host

Objetivo

Estabelecer um banco de dados AIDE confiável para um host Linux, executar comparações com ele, excluir caminhos que mudam legitimamente e guardar a baseline em um local que um comprometimento local não consiga alcançar.

Pré-requisitos

Privilégios de root; o pacote aide instalado; uma configuração que liste os caminhos a vigiar e, para cada um, a regra (quais atributos comparar): /etc/aide.conf em sistemas da família RHEL, /etc/aide/aide.conf (mais /etc/aide/aide.conf.d/) em Debian/Ubuntu. O comando aide --version exibe o arquivo de configuração padrão embutido na compilação e os valores de database_in/database_out; passe --config=<file> explicitamente quando eles forem diferentes do arquivo que você editou.

Passos

1. Defina na configuração o que vigiar, excluindo caminhos voláteis como /proc, /sys, /tmp, diretórios de log e caches de gerenciadores de pacotes com um ! no início: !/var/log ignora toda essa árvore. O aide.conf documenta database_out como o destino do banco de dados gravado por --init, além da sintaxe das regras de inclusão e exclusão.
2. Crie o banco de dados inicial. Família RHEL: aide --init. Debian/Ubuntu: aideinit -y -f (o wrapper do Debian; -y e -f respondem às perguntas de sobrescrita, de modo que ele roda sem interação). A página de manual informa que, depois de --init, é preciso "move it to the appropriate place (see database_in config option)" antes de --check funcionar.
3. Mova o novo banco de dados para o caminho database_in. Padrão na família RHEL: mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz. Em Debian/Ubuntu, o aideinit grava /var/lib/aide/aide.db.new e, com -f, ele mesmo o copia para /var/lib/aide/aide.db.
4. Copie esse banco de dados imediatamente para um armazenamento no qual o host monitorado não consiga escrever (outro servidor, mídia de gravação única ou um sistema de gestão de segredos/configuração). Um banco de dados que fica apenas no host monitorado pode ser editado por qualquer processo com root nesse host, o que anula a verificação.
5. Execute uma comparação em qualquer momento posterior: aide --check. O código de saída é uma máscara de bits (1 = arquivos novos, 2 = arquivos removidos, 4 = arquivos alterados; 14 ou mais indicam erros), portanto um código diferente de zero, por si só, não significa falha da ferramenta. Analise o relatório em busca de adições, remoções ou mudanças de atributos inesperadas.
6. Após cada alteração intencional (um patch, uma edição de configuração), execute --init novamente (ou --update, que verifica e grava um novo banco de dados no caminho separado database_out, o qual precisa ser movido para o lugar da mesma forma) e redistribua o novo banco de dados do mesmo modo. Assim, o próximo --check compara com o estado confiável atual, em vez de apontar como desvio um trabalho de rotina.

Resultado esperado

aide --check termina sem diferenças logo após uma reconstrução e, em qualquer execução seguinte, relata todo arquivo que foi alterado, adicionado ou removido desde a baseline armazenada.

Limites e base de verificação

O AIDE apenas detecta diferença entre o sistema de arquivos atual e o banco de dados armazenado. Ele não prova nada se ambos forem lidos do mesmo host comprometido na mesma sessão; por isso o passo 4 (mover o banco de dados para fora do host) é o controle que torna a verificação significativa. Excluir um caminho no passo 1 o retira de todas as verificações futuras; revise as exclusões periodicamente em vez de tratá-las como permanentes. Nenhum desses passos exige reinicialização; para desfazer uma exclusão indesejada, edite aide.conf e reconstrua o banco de dados.