AIDE是一種Linux安全工具，可通過監(jiān)視服務(wù)器文件中的更改來檢測黑客入侵。 初始化AIDE時，會將指定的目錄或文件哈希值，大小，權(quán)限，映射和其他屬性保存到數(shù)據(jù)庫中，然后將基礎(chǔ)數(shù)據(jù)庫進(jìn)行比較，獲取文件修改和未經(jīng)授權(quán)的修改以及黑客的入侵痕跡。

下面我來給大家介紹如何使用AIDE工具。

安裝及使用

1)安裝并初始化基線數(shù)據(jù)庫

2)使用--check參數(shù)獲得變動信息

AIDE使用的基線數(shù)據(jù)庫文件名為aide.db.gz，而--check或--update生成的文件名為aide.db.new.gz，所以每次都需要手動把a(bǔ)ide.db.new.gz復(fù)制到aide.db.gz：

注意事項

1)因為每次檢查都需要重新計算所有文件的哈希值，如果服務(wù)器CPU資源吃緊，可以考慮在配置文件中忽略指定的目錄。

2)服務(wù)器操作得越頻繁，造成的文件改動越多，為了減少雜音，可適當(dāng)減少對某些目錄的監(jiān)控，或只對網(wǎng)站目錄等敏感路徑進(jìn)行監(jiān)控。

3)AIDE基線數(shù)據(jù)庫文件最后存儲在NFS只讀路徑上，避免黑客控制服務(wù)器后清除AIDE記錄。

4)可以考慮使用離線檢查方式，即定期把服務(wù)器上的數(shù)據(jù)庫集中收集到一個地方統(tǒng)一分析處理。

雖然AIDE功能比較單一，但只要部署正確，文件系統(tǒng)的任何風(fēng)吹草動都會被記錄，武功再高也怕菜刀就是這個道理!