以前ファイルの改ざん検知用にTripwireを導入しましたが、AIDE (Advanced Intrusion Detection Environment)というパッケージもソフトウェアのインテグリティチェックを行う事が出来るようなので試しに導入してみました。
下記資料を参考に行いました。
NSA（National Security Agency）の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』
ソフトウェアのインテグリティチェックを行うことによって、侵入を防ぐことはできませんが、侵入があった事を検知することはできます。
１）インストール
yumコマンドで簡単にインストール出来ます。
# yum install aide Installed: aide.x86_64 0:0.14-3.el6_2.2 Complete!
２）設定ファイル /etc/aide.conf
設定方法は未確認ですが、デフォルト設定でも多くの環境でそのまま使用できるようです。必要に応じてカスタマイズします。
３）ファイル情報を保持するデータベースを作成
①新しいデータベースを初期化
下記コマンドでデータベースを初期化します。
aide –init
・デフォルトでは、データベースは/var/lib/aide/aide.db.new.gzファイルに作成されます。
・データベースと設定ファイル（aide.conf）とバイナリ（/usr/sbin/aide）はコピーしてセキュアな場所に保存しておくようにします。
（実行例）
# aide --init AIDE, version 0.14 ### AIDE database at /var/lib/aide/aide.db.new.gz initialized.
②新しく作成されたデータベースをインストールする
# cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
※設定ファイル（aide.conf）にデータベースの保存場所が下記のように設定されているのでデータベースファイルの名前を設定ファイルに合わせます。
@@define DBDIR /var/lib/aide
# The location of the database to be read.
database=file:@@{DBDIR}/aide.db.gz
４）aideでインテグリティチェック
①手動で事前に保存したデータベースと相違がないかチェックする場合
（実行例）
# /usr/sbin/aide --check AIDE found differences between database and filesystem!! Start timestamp: 2013-10-04 21:49:17 Summary: Total number of files: 139184 Added files: 1 Removed files: 1 Changed files: 1 --------------------------------------------------- Added files: --------------------------------------------------- added: /var/log/smtpd/@40000000524eb80d3171e7d4.s --------------------------------------------------- Removed files: --------------------------------------------------- removed: /var/log/smtpd/@40000000524e8c96137bccf4.s --------------------------------------------------- Changed files: --------------------------------------------------- changed: /var/log/smtpd/current -------------------------------------------------- Detailed information about changes: --------------------------------------------------- File: /var/log/smtpd/current Size : 78894 , 26163 Inode : 792562 , 783729
②インテグリティチェックを自動で定期的に実行する場合
（設定例）
Cronに毎日4時5分に実行するように登録する例を示します。
# vi /etc/crontab
05 4 * * * root /usr/sbin/aide –check