Linux 取证135 条

AIDE 文件完整性基线

AIDE 按配置规则计算文件哈希与属性生成基线库，之后用 --check 对比，可发现新增、删除与被修改的关键文件。

配置	/etc/aide.conf
库	/var/lib/aide/aide.db、aide.db.new

初始化与检查

aide --init && mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
aide --check | head -40

基线库要保存在只读介质或离线位置，与主机隔离才有校验意义。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌