مقدمه

AIDE (Advanced Intrusion Detection Environment) یکی از قدرتمندترین ابزارهای File Integrity Monitoring (FIM) در لینوکس است. این ابزار از فایل‌های مهم سیستم یک پایگاه داده ایجاد می‌کند و در اسکن‌های بعدی هرگونه تغییر در فایل‌ها، Permission، مالکیت، اندازه یا Hash را شناسایی و گزارش می‌دهد.

AIDE برای پیدا کردن مواردی مانند:

• تغییر فایل‌های سیستمی
• تغییر فایل‌های وب‌سایت
• ایجاد فایل‌های مخرب
• حذف فایل‌های مهم
• تغییر Permission یا Owner
• تشخیص تغییرات پس از نفوذ

استفاده می‌شود.

نصب AIDE

Ubuntu و Debian

sudo apt update
sudo apt install aide -y

AlmaLinux / Rocky Linux / RHEL

sudo dnf install aide -y

بررسی نصب

aide --version

فایل تنظیمات

تنظیمات اصلی در فایل زیر قرار دارد:

/etc/aide/aide.conf

در این فایل مشخص می‌شود که چه مسیرهایی بررسی شوند و چه ویژگی‌هایی از فایل‌ها کنترل شوند.

ایجاد پایگاه داده اولیه

اولین مرحله پس از نصب، ایجاد پایگاه داده است.

sudo aide --init

این دستور وضعیت فعلی فایل‌های سیستم را به‌عنوان نسخه مرجع ذخیره می‌کند.

نکته مهم: این دستور را فقط روی یک سیستم سالم اجرا کنید، زیرا وضعیت فعلی به‌عنوان مبنای مقایسه در اسکن‌های بعدی ذخیره می‌شود.

فعال کردن پایگاه داده

پس از پایان عملیات، معمولاً فایل جدیدی با نام aide.db.new.gz ایجاد می‌شود.

برای جایگزینی آن:

sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

در برخی توزیع‌ها ممکن است مسیر فایل کمی متفاوت باشد.

اجرای اسکن

برای بررسی تغییرات فایل‌ها:

sudo aide --check

اگر هیچ تغییری وجود نداشته باشد، خروجی مشابه زیر خواهد بود:

AIDE found NO differences between database and filesystem.

نمونه خروجی

اگر تغییری وجود داشته باشد، خروجی مشابه زیر مشاهده می‌کنید:

Added files:
Removed files:
Changed files:

و در ادامه مسیر فایل‌های تغییر یافته نمایش داده می‌شود.

بروزرسانی پایگاه داده

اگر تغییرات ایجادشده کاملاً قانونی و مورد تأیید شما هستند (مثلاً پس از بروزرسانی سیستم یا نصب نرم‌افزار)، باید پایگاه داده را بروزرسانی کنید.

sudo aide --update

سپس فایل جدید را جایگزین کنید:

sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

هرگز قبل از بررسی دقیق تغییرات، پایگاه داده را بروزرسانی نکنید؛ زیرا در این صورت تغییرات مشکوک نیز به‌عنوان وضعیت عادی ثبت خواهند شد.

بررسی فایل‌های تغییر یافته

اگر AIDE فایل مشکوکی گزارش کرد، اطلاعات آن را بررسی کنید:

stat /path/file

محاسبه Hash:

sha256sum /path/file

بررسی مالک فایل:

ls -l /path/file

اسکن دوره‌ای

برای اجرای روزانه AIDE می‌توانید از Cron استفاده کنید:

0 2 * * * /usr/bin/aide --check

این دستور هر روز ساعت ۲ بامداد وضعیت فایل‌های سیستم را بررسی می‌کند.

هشدارهای رایج

وجود هشدار همیشه به معنی آلودگی نیست.

تغییرات زیر کاملاً طبیعی هستند:

• بروزرسانی سیستم‌عامل
• بروزرسانی کرنل
• نصب نرم‌افزار جدید
• بروزرسانی وب‌سایت
• تغییر فایل‌های تنظیمات

بنابراین همیشه علت تغییر فایل را بررسی کنید.

بهترین روش‌ها

• پایگاه داده اولیه را فقط روی سیستم سالم ایجاد کنید.
• پس از هر بروزرسانی معتبر، پایگاه داده را بروزرسانی کنید.
• اسکن AIDE را به‌صورت دوره‌ای اجرا کنید.
• هشدارها را با لاگ‌های سیستم و سایر ابزارهای امنیتی تطبیق دهید.
• از AIDE در کنار RKHunter، Chkrootkit، Fail2Ban و Auditd استفاده کنید.

جمع‌بندی

AIDE یکی از بهترین ابزارهای لینوکس برای پایش یکپارچگی فایل‌ها (File Integrity Monitoring) است. این ابزار با مقایسه وضعیت فعلی فایل‌ها با یک پایگاه داده مرجع، تغییرات غیرمجاز را شناسایی می‌کند و می‌تواند در کشف نفوذ، تغییر فایل‌های سیستمی، دستکاری وب‌سایت و بسیاری از حملات امنیتی نقش مهمی داشته باشد.

برای دستیابی به بهترین نتیجه، AIDE را به‌صورت دوره‌ای اجرا کنید و نتایج آن را در کنار سایر ابزارهای امنیتی مانند RKHunter، Chkrootkit، Auditd و بررسی لاگ‌های سیستم تحلیل کنید.

کیان پور