使用AIDE做Linux高级入侵检测文件监控

yum install aide -y  //epel

cp /etc/aide.conf{,.bk}

/etc/aide.conf  //配置文件

#初始化监控数据库(这需要一些时间)

/usr/sbin/aide -c /etc/aide.conf -i

#把当前初始化的数据库作为开始的基础数据库

cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

#如果是正常的改动 更新改动到基础数据库

aide -u

cd /var/lib/aide/

#覆盖替换旧的数据库

mv aide.db.new.gz aide.db.gz

#在终端中查看检测结果

aide -C

#检查文件改动 保存到文件

aide -C --report=file:/tmp/aide-report-`date +%Y%m%d`.txt

#定时任务执行aide检测报告和自动邮件发送aide检测报告

crontab -e

00 02 * * * /usr/sbin/aide -C | /bin/mail -s "AIDE REPORT $(date +%Y%m%d)"  root@localhost

常见错误

aide error on starting prelink undo

prelink -a //或者修改配置文件，不去监控系统那些复杂的七七八八的文件/目录

============================

刚好看见前同事有在写这个，我也测一下。

GLQ = md5

/home/wwwroot/showshowbaby.com/ GLQ