# Aide 使用教程

AIDE（Advanced Intrusion Detection Environment）即高级入侵检测环境，是一款基于 UNIX/Linux 系统的文件完整性检测工具。它通过对比文件当前状态和之前记录的特征信息，来发现文件是否被非法修改，在系统安全防护领域发挥着重要作用。

一、安装 Aide

在系统中通过包管理器安装 Aide，使用如下命令：

apt install aide

二、修改配置文件

使用文本编辑器 vi 打开 Aide 的配置文件 /etc/aide/aide.conf：

vi /etc/aide/aide.conf

将配置文件内容替换为：

# 检测 /webdata 文件夹内的任何变化
database=file:/var/lib/aide/aide.db
database_out=file:/var/lib/aide/aide.db.new
database_new=file:/var/lib/aide/aide.db.new
gzip_dbout=yes
Change =p+i+n+u+g+s+m+c+md5+sha256
/webdata Change

其中，各个参数含义如下：

• P：权限
• i：inode
• n：链接数量
• u：uid
• g：gid
• s：大小
• m：mtime
• c：ctime
• md5：md5 检测
• sha256：sha256 检测

三、初始化数据库

执行以下命令初始化 Aide 数据库：

aide -c /etc/aide/aide.conf --init

执行后会显示如下类似信息：

初始化完成后，将新生成的数据库文件重命名为正式的数据库文件：

mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

四、对文件夹内容做修改

在 /webdata 文件夹下创建一个新文件 hhhhh，执行命令：

touch /webdata/hhhhh

五、检测变化

执行以下命令检测 /webdata 文件夹的变化，并将结果输出到文件 qwe 中：

aide -c /etc/aide/aide.conf --check >qwe

查看检测结果，会显示类似如下信息：

从结果中可以看出，/webdata 文件夹有变化，新增了文件 /webdata/hhhhh，并且 /webdata 文件夹的 Mtime 和 Ctime 也发生了改变。