Утилита aide#

Утилита aide (Advanced Intrusion Detection Environment) используется для обнаружения вторжений и аудита системы. Она позволяет отслеживать изменения в файловой системе, системных файлах, установленных пакетах и других параметрах системы. aide создает базу данных, в которой хранит информацию о состоянии системы, и затем сравнивает ее с текущим состоянием системы, выявляя любые изменения. Это позволяет обнаруживать несанкционированные изменения, которые могут указывать на проблемы безопасности.

Синтаксис утилиты:

aide <options> <command>

Где:

<options> - опции;
<command> - команды.

Часто используемые команды утилиты представлены в таблице ниже.

Команда	Описание
`-C` `--check`	Проверяет целостность базы данных. Требуется инициализированная база данных для выполнения этой проверки. Это команда по умолчанию. Если запустить `aide` без указания команды, то будет выполнена эта проверка
`-i` `--init`	Инициализирует базу данных
`-n` `--dry-init`	Сопоставляет каждый файл в файловой системе с деревом правил и выводит результаты на `stdout`. Никакие отчеты или записи в базе данных не создаются в этом режиме. Чтобы изменить уровень логирования в этом режиме, нужно использовать параметр команды `--log-level`
`-u` `--update`	Проверяет базу данных и обновляет ее в неинтерактивном режиме. Входная и выходная базы данных должны быть разными
`-E` `--compare`	Сравнивает две базы данных. Они должны быть указаны в конфигурационном файле с использованием параметра `database=\<url\>` и `database_new=\<url\>`

Часто используемые опции утилиты представлены в таблице ниже.

Опция	Описание
`-c` `--config`	Считывает конфигурацию из заданного конфигурационного файла
`-l` `--limit`	Ограничивает область просмотра файловой системы, используя регулярное выражение
`-L` `--log-level`	Устанавливает уровень вывода сообщений. Значение, заданное параметром, переопределяет значение из конфигурационного файла

Пример использования#

Чтобы проверить и произвести изменения в одном каталоге, используйте команду:

aide --update --limit /etc

В результате выполнения команды будут проверены и обновлены только записи в базе данных, соответствующие каталогу /etc.