AIDE es un verificador de integridad a nivel archivos y carpetas, este reporta creación y modificación de archivos y carpetas, es una herramienta útil para detectar la creación de archivos no deseados.

Instalación

yum install aide
aide -v
aide --init (se crea la base de datos)

Una vez creada hay que mover la original renombradola para que la nueva base creada funcione

mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

cd /var/lib/aide

ll
-rw------- 1 root root 3903892 abr 24 21:05 aide.db.gz

aide --check 

AIDE, version 0.15.1
### All files match AIDE database. Looks okay!

Después de validar se hace una prueba de su funcionalidad y se crea un update de la base de datos

touch /usr/sbin/testbinary
aide --check

AIDE 0.15.1 found differences between database and filesystem!!
Start timestamp: 2021-04-24 21:12:25

Summary:
  Total number of files:	105929
  Added files:			2
  Removed files:		0
  Changed files:		0


---------------------------------------------------
Added files:
---------------------------------------------------

added: /sbin/testbinary
added: /usr/sbin/testbinary

Se puede validar incluso cambio de atributos.Una vez que se validaron los cambios hay que actualizar la base de datos para evitar que estos cambios se reporten nuevamente en la siguiente validación

aide --update

AIDE 0.15.1 found differences between database and filesystem!!
Start timestamp: 2021-04-24 21:15:24

Summary:
  Total number of files:	105929
  Added files:			2
  Removed files:		0
  Changed files:		0


---------------------------------------------------
Added files:
---------------------------------------------------

added: /sbin/testbinary
added: /usr/sbin/testbinary

Se recomienda mantener siempre una copia de la base original sin cambios y mantener la base actualizada al menos una vez al día.

cd /var/lib/aide/
ll
[root@mxserver3 aide]# ll
total 7632
-rw------- 1 root root 3903892 abr 24 21:05 aide.db.gz
-rw------- 1 root root 3904039 abr 24 21:16 aide.db.new.gz

mv aide.db.gz aide.db.gz-Apr242021
mv aide.db.new.gz aide.db.gz

Se agrega al cron el job para AIDE

crontab -e
00 01 * * 0-6 /var/log/aide/aidechk.sh

nano /var/log/aide/aidechk.sh
#!/bin/sh
#aide check - SShameer
DATE=`date +%Y-%m-%d`
echo $DATE
REPORT="Aide-"$DATE.txt
echo $REPORT
echo "System check !! `date`" > /tmp/$REPORT
aide --check > /tmp/aidecheck.txt
cat /tmp/aidecheck.txt|/bin/grep -v failed >> /tmp/$REPORT
echo "**************************************" >> /tmp/$REPORT
tail -20 /tmp/aidecheck.txt >> /tmp/$REPORT
echo "****************DONE******************" >> /tmp/$REPORT
mail -s "$REPORT `date`" cesar.vazquez@kpt.com.mx < /tmp/$REPORT