AIDE sous Linux : détecter les fichiers modifiés après une intrusion

Après une intrusion, le premier problème n’est pas seulement de savoir si un compte a été utilisé. Il faut aussi vérifier ce qui a changé sur le disque. AIDE compare l’état actuel de fichiers avec une base d’intégrité créée auparavant. Vous pouvez ainsi repérer des fichiers ajoutés, supprimés ou modifiés, à condition de ne pas construire cette base après l’incident.

Ce guide montre comment installer AIDE, créer une référence propre, lancer un contrôle ciblé et lire les résultats sans confondre alerte d’intégrité et preuve d’une compromission.

Installer AIDE et vérifier sa configuration

Sur Debian ou Ubuntu, installez le paquet avec APT :

sudo apt update
sudo apt install aide aide-common

Le paquet fournit la commande aide et sa configuration principale. Avant de créer la base, regardez les fichiers présents dans /etc/aide et lisez les options de la machine concernée. La documentation Debian explique notamment la commande et la structure de la configuration dans les pages de manuel d’AIDE et d’aide.conf.

Ne modifiez pas les règles au hasard. Une configuration trop large produit beaucoup de bruit, tandis qu’une configuration trop restrictive peut ignorer un emplacement important. Sur un serveur, commencez par les fichiers de configuration, les binaires et les répertoires qui portent des données sensibles.

Créer la base de référence hors incident

La base d’AIDE représente l’état considéré comme sain. Elle doit donc être créée après une installation vérifiée, pas juste après avoir découvert une intrusion. Si vous l’établissez sur un système déjà compromis, AIDE risque de considérer les fichiers modifiés comme normaux.

Sur Debian, la génération initiale se fait avec :

sudo aideinit

Selon la version du paquet, cette commande écrit une base temporaire puis la place dans le chemin attendu par AIDE. Vérifiez les fichiers créés avant de supprimer l’ancienne base ou d’en déplacer une autre :

sudo ls -lh /var/lib/aide
sudo ls -lh /var/lib/aide/aide.db*

Conservez une copie de cette référence sur un support ou un serveur différent. Une personne qui contrôle complètement la machine peut aussi modifier ou remplacer la base locale. La copie externe ne remplace pas une sauvegarde, mais elle évite de faire confiance au seul disque analysé.

Lancer un contrôle et lire les changements

Une vérification complète s’exécute avec :

sudo aide --check

Le rapport distingue généralement les fichiers ajoutés, supprimés ou modifiés. AIDE peut contrôler plusieurs propriétés : contenu, permissions, propriétaire, groupe, taille, horodatage et empreinte. Une modification d’horodatage n’a pas la même portée qu’un binaire remplacé, mais elle mérite une explication si elle concerne un fichier sensible.

Pour limiter le bruit, lancez d’abord une vérification sur les chemins réellement concernés avec les options prévues par votre configuration. Vous pouvez aussi enregistrer la sortie dans un fichier protégé :

sudo aide --check 2>&1 | sudo tee /root/aide-check-$(date +%F).log

Ne remplacez pas la base de référence après chaque alerte. Commencez par identifier l’auteur du changement, le paquet concerné, le journal du service et la fenêtre de maintenance. Une mise à jour légitime peut modifier des fichiers, alors qu’un remplacement inattendu d’un binaire ou d’une configuration sensible doit être traité comme un incident à analyser.

Que faire après une intrusion ?

Si vous découvrez l’intrusion avant d’avoir créé une base saine, AIDE ne pourra pas reconstruire l’historique. Vous pouvez tout de même l’installer pour établir un état après réinstallation ou après une remise en conformité, mais ne présentez pas cette première base comme la preuve que l’ancien système était propre.

Conservez les rapports, isolez la machine si nécessaire et comparez les fichiers suspects avec une source fiable ou le paquet qui les fournit. L’audit des fichiers SUID et SGID complète cette vérification, mais il ne répond pas au même besoin : il cherche des droits spéciaux, alors qu’AIDE surveille les changements d’intégrité.

Une fois la machine assainie, recréez une base propre, protégez sa copie hors hôte et planifiez des contrôles réguliers. AIDE devient alors un signal de détection : il vous indique qu’un état attendu a changé, mais l’enquête dans les journaux et le contexte de la modification restent indispensables.