Linux如何配置文件完整性检查_Linux文件完整性检查配置攻略

Linux文件完整性检查：从基础命令到专业工具，如何避开那些“坑”？

在系统安全和运维领域，文件完整性检查是基石。但工具选错了，或者配置没到位，这道防线可能形同虚设。

直接说结论：不要用 md5sum 做系统级完整性检查，优先选 aide；若只查单个文件或做传输校验，sha256sum 比 md5sum 更可靠。

为什么 md5sum 不适合监控系统文件

MD5算法早已被证明存在碰撞漏洞，这意味着攻击者有能力精心构造出两个内容不同但MD5值完全相同的文件。想象一下，如果像 /bin/ls 或 /usr/bin/sudo 这样的关键系统文件被恶意替换，仅仅依赖 md5sum 进行比对，很可能发现不了异常——它的设计初衷是防范意外损坏，而非抵御恶意篡改。

从技术指标看，md5sum 生成的是128位哈希值，而 sha256sum 则是256位，后者的抗碰撞能力高出不止一个数量级。另外，像 rpm -Va 这类命令，其覆盖范围仅限于RPM包管理器安装的文件，对于那些手动安装的软件、配置文件或用户自定义脚本，它就无能为力了。至于纯靠Shell脚本搭配 md5sum 的方案，更是无法有效处理文件增删、权限变更或硬链接数变化等元数据层面的异常。

aide 初始化和规则配置的关键点

aide 是专为Linux文件完整性监控而生的工具，它的强大之处在于能同时监控文件内容、权限、所有者、ACL、扩展属性乃至SELinux上下文。不过，它的默认配置通常过于宽泛，直接使用会产生大量噪音，因此手动精简配置是必经之路。

这里有几个新手常踩的“坑”：首次运行前，务必执行 aide -i 来初始化数据库。生成的那个 /var/lib/aide/aide.db.new.gz 文件，必须手动重命名为 /var/lib/aide/aide.db.gz，否则后续执行 --check 命令时会直接报错“database not found”。

在编辑核心配置文件 /etc/aide.conf 时，切忌无脑写 /etc p+i+n+u+g+s+sha512 这样的规则。像 /etc/resolv.conf、/etc/mtab 这类动态文件，内容会频繁变动，必须将它们显式地排除在监控规则之外，否则每次检查都会报告“changed”，导致告警疲劳。

规则末尾的 ! 符号表示排除，但它的路径匹配规则需要特别注意。例如，!/etc/.*\.log 并不会匹配到 /etc/nginx/access.log，要达到排除所有日志文件的目的，通常需要写成 !/etc/**.log（前提是启用了glob通配支持），或者干脆逐条列出。最后，数据库路径的配置必须与 database=file:/var/lib/aide/aide.db.gz 这一行严格一致，大小写、.gz后缀、路径中的斜杠，一个都不能错。

日常检查命令和日志处理陷阱

定期执行 aide --check 是基础操作，但如果只是让输出结果在屏幕上滚动，很容易忽略掉关键变更。在实际生产运维中，必须将检查过程与日志记录、退出码判断绑定起来。

执行命令时，记得重定向所有输出：aide --check > /var/log/aide/$(date +\%Y\%m\%d).log 2>&1。如果不这么做，标准错误输出（比如权限拒绝、文件不存在等错误信息）就不会被记录到日志里。

aide --check 的退出码有明确含义：成功返回0，检测到变更返回1，执行出错（如数据库损坏）则返回2。在编写cron定时任务时，必须判断 $? 这个变量，不能只看日志里有没有“OK”字样。

在分析日志时，出现 changed 或许常见，但如果出现 added（新增）或 removed（删除）的记录，就需要高度警惕了。这往往意味着系统可能被植入了后门二进制文件，或者关键的审计日志被人为删除，必须立即响应。

还有一个存储上的细节：不要把 aide.db.gz 基准数据库和检查日志放在同一个磁盘分区。万一根分区被写满，不仅 aide -i 更新数据库会失败，连检查日志都无法写入，导致监控彻底失灵。

什么时候该用 cksum 或 sha256sum

cksum 和 sha256sum 属于轻量级校验工具，它们的适用场景非常明确：文件传输前后的校验、单次性的快速比对、或者嵌入到自动化脚本中。它们不维护状态，也无法感知文件是否被删除。

cksum 基于CRC32算法，速度极快，但安全性不足。它只适合在内网环境中对大文件（比如ISO镜像）做快速完整性筛查，绝不能用于任何安全敏感的场景。

使用 sha256sum 时，典型的流程是：先运行 sha256sum /bin/* /sbin/* > system-bin.sha256 生成校验文件，之后需要校验时，再用 sha256sum -c system-bin.sha256。注意，在 -c（check）模式下，如果列表中的某个文件已经缺失，命令会输出“No such file”并返回非零退出码。

这里有个关键原则：如果担心被校验的文件可能被篡改，那么存储校验结果（.sha256文件）的位置必须独立且安全。把它和原始文件放在同一个本地硬盘上，等于没有做校验。理想的做法是将校验文件存放到只读介质或远程安全的服务器上。

说到底，选择哪个命令或工具，往往不是最困难的部分。真正的挑战在于：决定监控哪些文件、如何解读和响应告警、以及把握更新基准数据库的最佳时机。举个例子，系统内核升级后，/boot/vmlinuz* 文件必然发生变化。正确的流程是，先执行 aide -i 更新基准库，然后再进行常规检查。如果顺序搞反了，就会产生大量误报，让真正的威胁淹没在噪音之中。