TechLog | 検証ブログポータル

使用している技術をアウトプットがてらまとめます。まずは改ざん検知ツールのAIDEについてです。 Tripwireが有名な改ざん検知ツールなのですが、現在は更新されていないようです。AlmaLinuxでも標準インストールできるので、今回はAIDEを使用しました。

AIDEとは？正式名称は「 Advanced Intrusion Detection Environment 」でAIDEというようですね。

dnf install aide

私の環境では下記のような形でした。

Name         : aide
Version      : 0.19.2
Release      : 4.el10_2.1
Architecture : x86_64
Size         : 405 k
Source       : aide-0.19.2-4.el10_2.1.src.rpm
Rep
ository   : @System
From repo    : appstream
Summary      : Intrusion detection environment
URL          : https://github.com/aide/aide
License      : GPL-2.0-or-later
Description  : AIDE (Advanced Intrusion Detection Environment) is a file
             : integrity checker and intrusion detection program.

現在のファイルやフォルダの構成、パーミッションをハッシュ化し、比較することで改ざんを検知する動作となっています。なので、まずは比較用に現在のデータのハッシュ値を計算します。

aide --init

上記のコマンドで初期データを作成します。ただ、このままでは比較用に使用することはできません。デフォルトの動作で、"/var/lib/aide/aide.db.gz"のファイルを基準とします。初期データを作成した際は「aide.db.new.gz」というファイルが作成されるので、

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

で基準となるデータを作成する必要があります。なお、これらの設定は"aide.conf"によって変更することも可能です。

aide  --check

上記コマンドで基準のデータと、現在のファイル構成を比較します。問題なければ、

AIDE found NO differences between database and filesystem. Looks okay!!
.
.
(省略)

として、変更がない旨のメッセージが表示されます。変更が確認されると

AIDE found differences between database and filesystem!!

Summary:
  Total number of entries:      39621
  Added entries:                3913
  Removed entries:              1
  Changed entries:              26

のように変更があった内容を表示してくれます。 ※動作確認中の内容なので、変更された内容が多いです。上記の内容は、標準出力にも出力されますが、"/var/log/aide/aide.log"に書き込まれるので、どちらかで確認します。基準データを更新する場合は、

aide --update

で初期データを作成した際のように基準データが作成されるので、mvで名称を変更すれば、以降のchekでは検知されなくなります。どのふぉるだを参照するかは「aide.conf」で設定することが可能です。使用する機能に応じて、改ざんを確認したい内容は変わってくると思うので、想定する構成ごとに検討が必要になると思います。一点注意なのが、自動で起動するツールではないので、定期的に実行するような場合は、cronやsystem-timerで自動実行されるように設定しないといけないです。