系统完整性检查工具--Tripwire和AIDE

         当一个入侵者进入了你的系统并且种植了木马，通常会想办法来隐蔽这 个木马（除了木马自身的一些隐蔽特性外，他会尽量给你检查系统的过 程设置障碍），通常入侵者会修改一些文件，比如管理员通常用ps -aux 来查看系统进程，那么入侵者很可能用自己经过修改的ps程序来替换掉 你系统上的ps程序，以使用ps命令查不到正在运行的木马程序。如果入 侵者发现管理员正在运行crontab作业，也有可能替换掉crontab程序等 等。所以由此可以看出对于系统文件或是关键文件的检查是很必要的。 接下来我们就来认识一下系统完整性检查的两种工具之aide和tripwrie。

一、AIDE(Adevanced Intrusion Detection Environment)

          AIDE是一个入侵检测工具，主要用途是检查文件的完整性，审计计算机上的那些文件被修改过了，也可以构造一个指定文件的数据库。aide数据库能够保存文件的各种属性，包括权限、索引节点序号、所属用户、所属用户组、文件大小、以及最后修改时间、创建时间、增加的文件大小等。而且aide还可以通过使用shal、md5等算法，以密文件的形式建立每个文件的校验码或散列号，正是由于aide的这些特性，所以aide数据库不应该保存那些经常变动的信息，如日志文件、邮件、/proc文件系统和临时目录等。

由于系统默认没有安装aide，所以使用时就需要安装aide包，避免依赖关系导致的包无法安装，用yum来进行包的安装。接下来一起来实践操作一下aide相关命令。

• aide的安装

[root@localhost ~]#yum -y install aide

• aide的配置文件

aide相关配置文件在 /etc/aide.conf,修改aide.conf文件，指定对那些文件进行检测。

/etc             R=p+i+n+u+g+s+m+c+md5 权限+索引节点+链接数+用户+组+大小+最后一 次修改时间+创建时间+md5校验值

!/etc/mtab        #“!”表示忽略这个文件的检查

NORMAL = R+rmd60+sha256

总的来说，想检测的值可以自己进行编辑写入aide.conf文件即可。

• 生成数据库

[root@localhost ~]#aide -i

AIDE, version 0.15.1

### AIDE database at /var/lib/aide/aide.db.new.gz initialized.

• 将生成的数据库文件名改名去掉new

[root@localhost aide]#mv aide.db.new.gz aide.db.gz