RPM を使用すれば、不用意な変更が加わっているのかを簡易的に調べることができます。パッケージマネージャには、システム内に存在し、管理下にあるファイルに対して、チェックを行う機能が用意されています。全てのファイルをチェックしたい場合は、 rpm -Va コマンドを実行してください。ただし、このコマンドは設定ファイルなどに対しても変更を検知してしまうため、想定通りに変更されているファイルについては、一覧から取り除いていく作業が必要となってしまいます。

また、 RPM コマンドを使用して調べる方法には、根本的な問題も存在しています。それは、攻撃者が rpm コマンドそのものを書き換えることで、本来は変更されているものとして表示しなければならないものを隠蔽することができてしまう、という問題です。これにより、ルートキットなどの不正なソフトウエアを潜り込ませることができてしまい、不正に root 権限を得ることができてしまいます。この問題を解決するには、インストール済みのシステムからは完全に独立した、もう 1 つのチェックシステムが必要となります。

重要: インストール後の AIDE データベースの準備について

システムをインストールする前に、まずはお使いのメディアのチェックサムを検証し、不正なソフトウエアを使用していないことをご確認ください (詳しくは 4.1項 「メディアの確認」 をお読みください) 。システムをインストールしたあとは、 AIDE のデータベースの準備を行います。なお、インストール中やインストール後に問題なく動作するよう、インストールはコンソールから直接実施するものとし、ネットワークには接続しないでください。また、 AIDE でデータベースの作成が完了するまで、コンソールを誰にでもアクセスできる状態で放置したり、ネットワークに接続したりしないでください。

AIDE は openSUSE Leap の既定ではインストールされません。インストールを行うには、 Computer › Install Software を使用するか、 root で zypper install aide を実行してインストールしてください。

AIDE がファイルをチェックする際、どのような属性をチェック対象にしたいのかを設定したい場合は、 /etc/aide.conf 設定ファイルを変更してください。最初のセクションでは、 AIDE のデータベースファイルの場所など、一般的なパラメータを設定します。それに続く Custom Rules と Directories and Files の各セクションが重要な設定となります。既定のルールでは、下記のような値が設定されています:

Binlib     = p+i+n+u+g+s+b+m+c+md5+sha1

変数 Binlib の定義が終わったら、同じセクション内に存在する他の設定も、必要に応じて変更してください。主なオプションには下記のようなものがあります:

下記は /sbin ディレクトリ内にある全てのファイルをチェックするための設定で、 Binlib オプション内で指定したチェックを実施するものの、 /sbin/conf.d/ ディレクトリについてはチェックを省略する指定です:

/sbin  Binlib
!/sbin/conf.d

AIDE データベースを作成するには、下記の手順を実施します:

ファイルシステムのチェックを行うには、下記のようにして行います:

何も出力が表示されない場合は、全く何も問題が見つからなかったことを表しています。 AIDE が何らかの変更を検知すると、下記のように概要を表示します:

# aide --check
AIDE found differences between database and file system!!

Summary:
  Total number of files:        1992
  Added files:                  0
  Removed files:                0
  Changed files:                1

実際に変更されたファイル名の一覧を表示したい場合は、 -V オプションをつけて冗長に出力するように指定してください。上記の出力例の場合、冗長に出力すると下記のようになります:

# aide --check -V
AIDE found differences between database and file system!!
Start timestamp: 2009-02-18 15:14:10

Summary:
  Total number of files:        1992
  Added files:                  0
  Removed files:                0
  Changed files:                1


---------------------------------------------------
Changed files:
---------------------------------------------------

changed: /etc/passwd

--------------------------------------------------
Detailed information about changes:
---------------------------------------------------


File: /etc/passwd
  Mtime    : 2009-02-18 15:11:02              , 2009-02-18 15:11:47
  Ctime    : 2009-02-18 15:11:02              , 2009-02-18 15:11:47

この例では、 /etc/passwd ファイルのタイムスタンプが変わっていることが分かります。

AIDE 自身が不正に書き換えられたりする問題を避けるため、 AIDE のプログラムを信頼できるソースから取得して、実行しておくこともできます。これにより、攻撃者が AIDE 自身を書き換えて、警告を出さないようにしてしまう問題を回避することができます。

AIDE 自身を信頼できるソースから実行するには、 AIDE をインストール済みのシステム内で実行するのではなく、レスキューシステム内から実行しなければなりません。 openSUSE Leap では、容易に拡張可能なレスキューシステムを提供していますので、ここから簡単に AIDE を実行することができます。

レスキューシステムを起動する前に、 2 種類のパッケージを用意する必要があります。これらはシステムに対するドライバ更新ディスクと同じ書式で設定することができます。 linuxrc の設定方法に関する詳細は、 https://ja.opensuse.org/SDB:Linuxrc をお読みください。下記の手順では、実現可能な方法のうちの 1 つを説明しています。

レスキューシステムが起動したあとは、通常どおり AIDE プログラムを使用することができます。 なお、レスキューシステムは日本語に対応していないため、表示は全て英語になりますので、あらかじめご了承ください。

AIDE に関する情報は、それぞれ下記の場所にあります: