4.11. AIDEで整合性の確認
AIDE(Advanced Intrusion Detection Environment)は、システム上でファイルのデータベースを作成し、そのデータベースを使用してファイルの整合性を確保し、システムの侵入を検出するユーティリティーです。
4.11.1. AIDEのインストール
aide パッケージをインストールするには、
root で以下のコマンドを入力します。
~]# yum install aide
初期データベースを生成するには、
root で以下のコマンドを入力します。
~]# aide --init
AIDE, version 0.15.1
### AIDE database at /var/lib/aide/aide.db.new.gz initialized.注記
デフォルト設定では、aide --init コマンドは、
/etc/aide.conf ファイルで定義されているディレクトリーとファイルのセットのみをチェックします。AIDE データベースに追加のディレクトリーまたはファイルを含め、監視パラメーターを変更するには、それに応じて /etc/aide.conf を編集します。
データベースの使用を開始するには、初期データベースファイル名から
.new 部分文字列を削除します。
~]# mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
AIDE データベースの場所を変更するには、
/etc/aide.conf ファイルを編集し、DBDIR 値を変更します。セキュリティーを強化するために、データベース、設定、および /usr/sbin/aide バイナリーファイルを読み取り専用メディアなどの安全な場所に保存します。
重要
AIDE データベースの場所を変更した後に SELinux が拒否されるのを防ぐため、SELinux ポリシーを適宜更新してください。詳細は、SELinux User's and Administrator's Guide を参照してください。
4.11.2. 整合性確認の実行
手動チェックを開始するには、
root で以下のコマンドを入力します。
~]# aide --check
AIDE 0.15.1 found differences between database and filesystem!!
Start timestamp: 2017-03-30 14:12:56
Summary:
Total number of files: 147173
Added files: 1
Removed files: 0
Changed files: 2
...
少なくとも、AIDE は週次スキャンを実行するように設定する必要があります。AIDE は毎日実行する必要があります。たとえば、cron を使用して 4:05 am に AIDE の毎日の実行をスケジュールするには（システム管理者のガイドの Automating System Tasks の章を参照）、以下の行を
/etc/crontab に追加します。
05 4 * * * root /usr/sbin/aide --check
4.11.3. AIDE データベースの更新
パッケージの更新や設定ファイルの調整など、システムの変更を確認したら、ベースライン AIDE データベースを更新します。
~]# aide --update
aide --update コマンドは、
/var/lib/aide/aide.db.new.gz データベースファイルを作成します。整合性チェックに使用を開始するには、ファイル名から .new サブストリングを削除します。
4.11.4. 関連情報
AIDE の詳細については、以下のドキュメントを参照してください。
aide (1)の man ページaide.conf (5)の man ページ
