Автоматизация проверки целостности конфигураций с помощью AIDE

Введение

В современных ИТ-инфраструктурах целостность критически важных конфигурационных файлов является основой безопасности. Любое несанкционированное изменение может привести к нарушению работы сервисов или компрометации системы. AIDE (Advanced Intrusion Detection Environment) — это инструмент хостовой системы обнаружения вторжений (HIDS), который решает эту задачу, создавая криптографические хеши файлов и отслеживая их изменения.

Принцип работы AIDE

AIDE работает по принципу сравнения текущего состояния файловой системы с эталонным. Процесс состоит из двух фаз:

Инициализация (инициализация базы данных): AIDE сканирует указанные каталоги, вычисляет хеши (например, SHA-256) для каждого файла и сохраняет их в защищённую базу данных.
Проверка (верификация): При запуске проверки AIDE заново вычисляет хеши и сравнивает их с эталонными значениями из базы. Любое расхождение фиксируется как инцидент.

Установка и базовая настройка

Для большинства дистрибутивов Linux (Debian/Ubuntu, RHEL/CentOS) установка тривиальна:

# Debian/Ubuntu
sudo apt update && sudo apt install aide

# RHEL/CentOS/Fedora
sudo dnf install aide

После установки необходимо инициализировать базу данных:

sudo aideinit
# Это создаст /var/lib/aide/aide.db.new
sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Автоматизация через systemd и cron

Для поддержания актуальности базы и регулярной проверки рекомендуется использовать systemd timer или cron.

Вариант 1: systemd timer (рекомендуемый)

Создайте файл службы /etc/systemd/system/aide-check.service:

[Unit]
Description=AIDE Check
[Service]
Type=oneshot
ExecStart=/usr/bin/aide --check

И файл таймера /etc/systemd/system/aide-check.timer:

[Unit]
Description=Run AIDE check daily
[Timer]
OnCalendar=*-*-* 03:00:00
Persistent=true
[Install]
WantedBy=timers.target

Активируйте таймер:

sudo systemctl daemon-reload
sudo systemctl enable --now aide-check.timer

Вариант 2: cron

Добавьте в crontab суперпользователя:

0 3 * * * /usr/bin/aide --check

Интеграция с SIEM

Для проактивного мониторинга результаты проверки AIDE следует направлять в систему управления событиями информационной безопасности (SIEM). Стандартный вывод AIDE можно направить в syslog:

sudo aide --check 2>&1 | logger -t aide-check -p local0.err

Настройте rsyslog для пересылки событий с тегом aide-check на ваш коллектор SIEM.

Заключение

Внедрение AIDE — это базовый, но эффективный шаг к построению DevSecOps-процессов. Автоматизация проверки и интеграция с системами мониторинга позволяют перейти от реактивного реагирования к проактивному обнаружению аномалий в конфигурациях.