Debian 配置 AIDE 文件完整性检测：基线初始化、变更检查与数据库更新
Debian 配置 AIDE 文件完整性检测：基线初始化、变更检查与数据库更新
1. 服务介绍
AIDE（Advanced Intrusion Detection Environment）是主机文件完整性检测工具。它会为指定文件和目录建立基线数据库，记录权限、属主、大小、时间戳、inode 和哈希值；后续扫描时把当前文件系统与基线比较，报告新增、删除和修改内容。
AIDE 适合监控 Web 目录、系统配置、程序文件和安全关键目录。它不能阻止文件被修改，也不能替代杀毒软件或实时入侵防御；主要用途是发现未经授权的变化，并为排查和审计提供证据。
2. 准备运行环境
• 操作系统：Debian 10/11 或同类 Debian 系统。
• 操作账号：root或具备sudo权限的管理员。
• 软件源：APT 仓库可用。
• 演示目录：/webdata。
• AIDE 数据目录：/var/lib/aide。
开始前确认环境：
cat /etc/os-release id df -hT / apt-cache policy aide生产环境应在系统确认可信、补丁和业务软件安装完成后建立首次基线。
3. 相关知识与注意事项
3.1 AIDE 工作流程
1. 配置监控路径和属性规则。
2. 扫描可信文件系统，生成初始数据库。
3. 把新数据库启用为正式基线。
4. 文件发生变化后执行检查。
5. 管理员确认变化是否合法，再决定是否更新基线。
3.2 常用属性
| 属性 | 含义 |
|---|---|
|p| 权限模式 |
|i| inode |
|n| 硬链接数量 |
|u| UID |
|g| GID |
|s| 文件大小 |
|m| mtime，内容修改时间 |
|c| ctime，元数据修改时间 |
|md5、sha256| 文件内容哈希 |
哈希适合普通文件；目录主要检查权限、属主、时间戳和条目变化。规则越多，扫描越慢，动态目录也越容易产生噪声。
3.3 安全注意事项
• AIDE 数据库代表可信基线，必须限制为root可读写。
• 首次基线若在系统已被入侵后生成，会把恶意文件当成正常状态。
• 更新基线前必须人工审查报告，不能发现变化后直接覆盖数据库。
• 建议把基线副本和检查报告保存到只读介质或其他主机，避免攻击者同时篡改文件和数据库。
• 缓存、日志、会话、临时文件等高频变化目录应按需求排除或降低检查属性。
4. 实验步骤
4.1 安装 AIDE 并准备目录
apt update apt install -y aide mkdir -p /webdata install -d -m 0700 -o root -g root /var/lib/aide cp -a /etc/aide/aide.conf /etc/aide/aide.conf.bak查看版本和实际配置位置：
aide --version dpkg -L aide | grep -E 'aide.conf|systemd|cron'4.2 配置数据库和监控规则
编辑/etc/aide/aide.conf。不同 Debian 版本可能通过/etc/aide/aide.conf.d/生成最终配置；应以本机软件包结构为准。
vi /etc/aide/aide.conf最小实验配置示例：
database=file:/var/lib/aide/aide.db database_out=file:/var/lib/aide/aide.db.new database_new=file:/var/lib/aide/aide.db.new gzip_dbout=yes WebData = p+i+n+u+g+s+m+c+sha256 /webdata WebData截图中的规则使用Change名称并组合权限、属主、大小、时间和哈希属性。配置文件中的规则名可以自定义，但引用名称必须一致。
检查配置能否解析：
aide --config-check --config=/etc/aide/aide.conf若当前版本不支持--config-check，可用初始化命令验证配置，失败时根据报错行修正。
4.3 初始化基线数据库
aide --config=/etc/aide/aide.conf --init初始化完成后确认新数据库存在，再启用为正式基线：
ls -lh /var/lib/aide/aide.db* mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db chown root:root /var/lib/aide/aide.db chmod 0600 /var/lib/aide/aide.db> 部分 Debian 软件包默认生成压缩数据库aide.db.new.gz。遇到该文件时，应按配置中的gzip_dbout和软件包脚本使用对应.gz文件，不要盲目改名为未压缩数据库。
4.4 制造文件变化
先确认基线检查无异常，再创建文件并修改目录属性：
aide --config=/etc/aide/aide.conf --check touch /webdata/hhhhh echo 'aide test' > /webdata/demo.txt chmod 0750 /webdata4.5 执行完整性检查
aide --config=/etc/aide/aide.conf --check | tee /root/aide-check.txt旧实验把输出重定向到que文件后再查看：
less /root/aide-check.txt报告应显示新增文件、目录属性变化和属性明细。
4.6 审核后更新基线
只有确认本次变化合法时才更新：
aide --config=/etc/aide/aide.conf --update ls -lh /var/lib/aide/aide.db* mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db chmod 0600 /var/lib/aide/aide.db aide --config=/etc/aide/aide.conf --check最后一次检查应不再报告已接受的变化。若生成的是.gz数据库，使用对应.db.new.gz和.db.gz文件名。
5. 验证结果
5.1 配置与数据库检查
grep -Ev '^\s*(#|$)' /etc/aide/aide.conf ls -l /var/lib/aide/aide.db* stat /var/lib/aide/aide.db aide --version5.2 变更检测检查
aide --config=/etc/aide/aide.conf --check grep -E 'Added entries|Removed entries|Changed entries|/webdata' /root/aide-check.txt配置成功应满足：数据库文件存在且仅root可写；未修改时检查无差异；创建、删除或修改/webdata内容后，报告能准确显示对应路径和变化属性。
5.3 定时任务检查
systemctl list-timers --all | grep -i aide systemctl status dailyaidecheck.timer --no-pager grep -R "aide" /etc/cron.daily /etc/cron.d 2>/dev/nullDebian 版本不同，可能使用 systemd timer 或 cron。以软件包实际安装文件为准，不要重复配置两个每日任务。
6. 常见问题与排错
6.1 提示数据库不存在
grep '^database' /etc/aide/aide.conf ls -lah /var/lib/aide确认初始化已完成，并检查配置期待.db还是.db.gz。
6.2 检查结果噪声过多
动态目录不适合使用完整哈希规则。先确认业务特征，再在规则中排除缓存、临时文件或频繁变化的日志；不要为了消除告警直接排除整个关键目录。
6.3 初始化或检查速度慢
du -sh /webdata find /webdata -xdev -type f | wc -l time aide --config=/etc/aide/aide.conf --check减少不必要的监控路径，避免跨入大型挂载点；哈希计算量与文件数量和总容量直接相关。
6.4 回退实验
rm -f /webdata/hhhhh /webdata/demo.txt chmod 0755 /webdata cp -a /etc/aide/aide.conf.bak /etc/aide/aide.conf保留旧基线和报告用于审计。不要在未确认变化来源时删除数据库或覆盖基线。