Apresentamos um tutorial de instalação e configuração do IDS AIDE no Linux Ubuntu. O AIDE também é conhecido como um HIDS que atua muito bem para verificar a segurança de seus arquivos críticos.
O que é o AIDE?
AIDE (Advanced Intrusion Detection Environment) é um sistema de detecção de intrusões baseado em host (HIDS) que atua como um “vigia digital” para seus arquivos críticos.
O AIDE cria uma impressão digital única do seu sistema e alerta sobre qualquer modificação não autorizada, desde alterações de permissões até adulterações em binários do sistema.
Instalando o AIDE no Ubuntu
Para instalar o AIDE no Ubuntu, vamos usar o comando abaixo.
sudo apt install aide -y
Em seguida, vai aparecer a opção de instalar o Postfix. O Postfix pode ser usado pelo AIDE para o envio de emails de notificação de alertas. Abaixo está uma sugestão de passos no Postfix.
Nesse caso, não vamos configurar o Postfix pois nesse tutorial não vamos enviar emails de alertas. Caso queira configurar corretamente o Postifix pode usar esse tutorial: Tutorial Postfix.
Configuração Inicial do AIDE
Agora que já instalamos, podemos começar a configurar o AIDE. Para isso, vamos editar o arquivo de configuração do AIDE que se encontra no caminho “/etc/aide/aide.conf“.
Vamos usar o comando abaixo para editar o arquivo de configuração do AIDE.
sudo nano /etc/aide/aide.conf
Nesse arquivo, podemos adicionar pastas que queremos monitorar ou excluir pastas de um monitoramento pelo AIDE.
Como exemplo, vamos imaginar que eu não queira que o AIDE não monitore o diretório “/snap/firefox/common” de cada usuário de minha máquina. Para isso, eu acrescentaria a linha abaixo no final do arquivo “aide.conf“.
!/home/[^/]+/snap/firefox/common
Essa linha começa com o símbolo “!” que indica que vamos negar o monitoramento para o diretório especificado.
A linha “/home/[^/]+/snap/firefox/common” indica todo diretório “/snap/firefox/common/” que esteja dentro de todos os usuários “/[^/]+” que estão dentro do diretório “/home“.
Poderíamos ter usado outro exemplo como “!/var/log” e negaríamos o monitoramento do diretório “log” que fica dentro do diretório “var“.
Inicializando o banco de dados do AIDE
Para inicializar o banco de dados do AIDE e começar a gerar hash dos arquivos, vamos usar o comando abaixo.
sudo aideinit --force --config /etc/aide/aide.conf
Dependendo da sua máquina isso pode demorar muito. Vá comer um lanche.
Nesse caso, estamos garantindo que o aide use o arquivo de configuração que está em ” /etc/aide/aide.conf“.
Se quiser você pode verificar os arquivos de banco de dados que foram criados com o comando abaixo.
sudo ls -alh /var/lib/aide/
Testando o AIDE com um arquivo suspeito
Agora, vamos criar um arquivo suspeito dentro de “/usr/bin/”.
Nesse caso, estamos simulando que alguém tenha tido acesso a máquina e inseriu um arquivo suspeito chamado “bad_file” dentro do diretório “/usr/bin/”.
Para criar um arquivo suspeito dentro de “/usr/bin/” vamos usar o comando abaixo.
sudo touch /usr/bin/bad_file
Fazer a verificação com o AIDE
Agora, vamos executar a verificação do AIDE e vamos ver se ele detecta que inserimos um arquivo suspeito em “/usr/bin/”.
Para realizar a executar a verificação do AIDE vamos usar o comando abaixo.
sudo aide --check --config /etc/aide/aide.conf
Abaixo podemos ver na figura que o arquivo suspeito foi detectado e gerou um alerta mostrando o caminho e o nome do arquivo.
Atualizando o banco de dados do AIDE
Depois de uma alteração legitima em seus arquivos é interessante realizar a atualização do banco de dados do AIDE. Para isso, vamos usar o comando abaixo.
sudo aide --update --config /etc/aide/aide.conf
Por que você precisa do AIDE?
- Segurança Proativa
Detecta backdoors, rootkits e alterações maliciosas em tempo hábil – antes que invasores causem danos maiores. - Monitoramento de Integridade
Alerta sobre:
Mudanças em permissões de arquivos sensíveis (/etc/sudoers, /bin)
Modificações em binários do sistema (/usr/bin, /sbin)
Adição/remoção suspeita de arquivos - Conformidade e Auditoria
Gera relatórios forenses essenciais para:
Atender normas de segurança
Auditorias de infraestrutura
Investigação pós-incidente
Veja mais:
Por que usar o Kali Linux dentro do VirtualBox?
Instalando Kali Linux no VirtualBox: Guia Passo a Passo para Iniciantes
Tutorial: Como usar o WHOIS ou RDAP
Tutorial Instalar VNC em Linux Ubuntu
Python: como obter metadados de imagens e PDFs
https://askubuntu.com/questions/1507027/how-install-aide-on-ubuntu
Juliana Mascarenhas
Data Scientist and Master in Computer Modeling by LNCC.
Computer Engineer
