檔案系統偵查工具AIDE

標籤：檢測

  AIDE(Advanced Intrusion Detection Environment)是一款針對檔案和目錄進行完整性對比檢查的程式，它被開發成Tripwire的一個替代品。

AIDE如何工作

  這款工具年紀也不小了，相對來同類工具Tripwire說，它的操作也更加簡單。它需要對系統做快照，記錄下HASH值，修改時間，以及管理員對檔案做的預先處理。這個快照可以讓管理員建立一個資料庫，然後儲存到外部裝置進行保管。
  當管理員想要對系統進行一個完整性檢測時，管理員會將之前構建的資料庫放置一個當前系統可訪問的地區，然後用AIDE將當前系統的狀態和資料庫進行對比，最後將檢測到的當前系統的變更情況報告給管理員。另外，AIDE可以配置為定時運行，利用cron等議程調度技術，每日對系統進行檢測報告。
這個系統主要用於營運安全檢測，AIDE會向管理員報告系統裡所有的惡意更迭情況。

AIDE的特性

支援訊息摘要演算法：md5, sha1, rmd160, tiger, crc32, sha256, sha512, whirlpool

支援檔案屬性：檔案類型，檔案許可權，索引節點，UID，GID，連結名稱，檔案大小，塊大小，連結數量，Mtime，Ctime，Atime 

支援Posix ACL，SELinux，XAttrs，擴充檔案系統屬性

純文字的設定檔，精簡型的資料庫

強大的Regex，輕鬆篩選要監視的檔案和目錄

支援Gzip資料庫壓縮

獨立二進位靜態編譯的用戶端/伺服器監控配置

本文出自 “Sanr” 部落格，請務必保留此出處http://0x007.blog.51cto.com/6330498/1699033

檔案系統偵查工具AIDE