¿Para qué sirve?

Su función es crear una base de datosque permita comparar los checksum dedistintos momentos de un sistema,para encontrar alteraciones en el

código de fuente.

¿Cómo funciona?

Construye una base de datos dearchivos especificados en AIDE.conf

La base de datos de AIDE almacenavarios atributos dearchivo, incluyendo:

Permisos, usuario, grupo, tamaño, mtime, ctime, atime, aumento detamaño, número de enlaces y nombredel enlace.

Crea un checksum criptográfico o hashpara cada archivo usando uno o unacombinación de varios de lossiguientes algoritmos:

• sha1

• sha256

• sha512

• md5

• rmd160

• tiger

¿En qué momento se utiliza?

Normalmente, el administrador debecrear una base de datos de AIDEcuando su sistema es nuevo, antesde ser colgado en internet.

AIDE funciona como una capturafotográfica del estado normal(incorrupto) del sistema.

Después de una sospecha, un administradorutiliza herramientas del sistema comols, ps, netstat y who; son lasherramientas más frecuentementemodificadas por los intrusos.

Es posible que no detecten una intrusiónpor una modificación en su código fuente.

Esto es muy fácil de hacer para losexpertos en la intrusión.

Sin embargo, es sencillo encontraruna modificación a las herramientasdel sistema al contrastar diferenteshash.

Para saber más, consulte las siguientes fuentes:

Manual de AIDE [inglés]

http://aide.sourceforge.net/stable/manual.html

AIDE en Debian 6.0 Squeeze [español]

http://www.redes-seguridad.com.ar/2011/05/aide-ids-en-debian-60-squeeze.html

Linux: Detección de Intrusos con AIDE [inglés]

http://www.youtube.com/watch?v=iy0AsbtTv2k