Cấu hình File Integrity Monitoring trên Linux với AIDE: Phát hiện sớm can thiệp hệ thống

Table of Contents

Vấn đề xâm nhập âm thầm

Hãy hình dung tình huống này: bạn đăng nhập vào dashboard giám sát vào một sáng thứ Hai và nhận thấy lưu lượng outbound ổn định 15 Mbps từ một database server nội bộ. Log xác thực hiển thị không có lần đăng nhập SSH thất bại nào.

Tường lửa vòng ngoài (perimeter firewall) không ghi nhận bất kỳ dấu hiệu bất thường nào. Thế nhưng sau nửa ngày điều tra forensics, sự thật phũ phàng lộ diện: Một kẻ tấn công đã lợi dụng một phiên bản Redis chưa vá lỗi từ ba tuần trước, tráo đổi /usr/sbin/sshd bằng một file binary dính mã độc dung lượng 1.2 MB, đồng thời chèn thêm một dòng lén lút vào /etc/pam.d/common-auth để thu thập mật khẩu dạng cleartext lưu vào /var/tmp/.pam_cache.

Các lớp phòng thủ chu vi ngăn chặn tốt những mối đe dọa bên ngoài, nhưng một khi kẻ xâm nhập đã thiết lập được chỗ đứng, duy trì hiện diện (persistence) chính là bước đầu tiên. Kẻ tấn công sẽ chỉnh sửa các file binary của hệ thống, lén chèn cron job vào /etc/cron.d/, cài cắm kernel module, hoặc chỉnh sửa file cấu hình daemon. Các công cụ giám sát thông thường chỉ theo dõi CPU tăng vọt, dung lượng đĩa đầy hoặc các port đang lắng nghe sẽ bỏ sót hoàn toàn những chỉnh sửa tinh vi này trên filesystem. Bạn cần một “người gác cổng” chuyên trách để trả lời một câu hỏi thẳng thắn: liệu có bất kỳ file quan trọng nào bị thay đổi kể từ trạng thái tốt gần nhất không?

Khái niệm cốt lõi: Cách AIDE theo dõi tính toàn vẹn của file

File Integrity Monitoring (FIM) xác thực các file hệ thống và ứng dụng dựa trên một bản snapshot mã hóa chuẩn xác. Trong khi các EDR agent hiện đại sử dụng các cơ chế hook nặng nề ở userland, AIDE (Advanced Intrusion Detection Environment) vẫn là tiêu chuẩn gọn nhẹ, đã qua thử lửa thực tế để bảo vệ tính toàn vẹn của máy chủ Unix. Nó hoạt động trơn tru, chiếm dụng rất ít tài nguyên và không yêu cầu daemon nền chạy liên tục.

AIDE hoạt động dựa trên mô hình chụp snapshot và so sánh rất trực quan:

Tạo baseline: Trong quá trình thiết lập, AIDE đánh chỉ mục các thư mục được chỉ định trong file cấu hình. Nó ghi lại kích thước file, quyền POSIX, quyền sở hữu (UID/GID), số inode, mốc thời gian sửa đổi (mtime), mốc thời gian thay đổi thuộc tính (ctime), và các mã băm mã hóa (SHA-256 và SHA-512). Sau đó, nó ghi các bản ghi này vào một file baseline mới: aide.db.new (hoặc aide.db.new.gz).
Kích hoạt database: Bạn chuyển bản snapshot này thành database chính thức đang hoạt động (aide.db). File này trở thành nguồn chân lý duy nhất (single source of truth) của bạn.
Xác minh tính toàn vẹn: Ở chế độ kiểm tra (aide --check), AIDE quét lại filesystem, tính toán lại các thuộc tính theo thời gian thực và gắn cờ mọi sai lệch so với database tin cậy. Báo cáo kết quả sẽ chỉ rõ chính xác những gì đã thay đổi—dù kẻ tấn công chèn thêm một thư viện mới, xóa log kiểm toán (audit log), hay thay đổi mã hash của file.

Thực hành: Triển khai và cấu hình AIDE

Bước 1: Cài đặt AIDE

AIDE có sẵn trong repository chuẩn của mọi bản phân phối Linux phổ biến.

Trên Debian 12 và Ubuntu 22.04/24.04:

sudo apt update
sudo apt install -y aide aide-common

Trên RHEL 9, Rocky Linux, hoặc AlmaLinux:

sudo dnf install -y aide

Bước 2: Định nghĩa các quy tắc kiểm tra trong aide.conf

File cấu hình chính nằm tại /etc/aide/aide.conf trên các bản phân phối nền Debian, hoặc /etc/aide.conf trên RHEL. Các hệ thống Debian cũng có thể ghép các quy tắc từ các đoạn cấu hình trong /etc/aide/aide.conf.d/, nhưng cú pháp cốt lõi hoàn toàn giống nhau trên mọi nền tảng.

Trước khi khóa chặt các đường dẫn file, hãy đảm bảo thông tin đăng nhập quản trị của bạn được an toàn tuyệt đối. Khi khởi tạo cloud instance hoặc đặt mật khẩu root, việc sử dụng tiện ích phía client như công cụ tạo mật khẩu tại toolcraft.app/vi/tools/security/password-generator giúp ngăn chặn thông tin xác thực bị truyền qua mạng. Một khi thông tin đăng nhập root và SSH key đã được thiết lập vững chắc, FIM sẽ là lớp bảo mật nền tảng tiếp theo của bạn.

Mở file cấu hình:

sudo nano /etc/aide/aide.conf

Định nghĩa các macro quy tắc tùy chỉnh ở gần đầu file. Thay thế các quy tắc MD5 cũ kỹ, dễ bị đụng độ bằng các phép kiểm tra SHA-256 và SHA-512 hiện đại:

# Macro quy tắc tùy chỉnh
# Theo dõi quyền, inode, link, user, group, kích thước, số block, mtime, ctime và mã băm SHA kép
STRICT_SYSTEM = p+i+n+u+g+s+b+m+c+sha256+sha512
CONFIG_FILES  = p+i+n+u+g+s+m+c+sha256
STATIC_DIR    = p+i+u+g

# Các file binary và thư viện chia sẻ quan trọng
/bin            STRICT_SYSTEM
/sbin           STRICT_SYSTEM
/usr/bin        STRICT_SYSTEM
/usr/sbin       STRICT_SYSTEM
/lib            STRICT_SYSTEM
/lib64          STRICT_SYSTEM

# Cấu hình hệ thống
/etc            CONFIG_FILES

# Kernel image và cấu hình khởi động (boot)
/boot           STRICT_SYSTEM

# Loại trừ các file động và điểm mount (Tránh báo động giả)
!/etc/mtab
!/etc/resolv.conf
!/var/log
!/var/spool
!/var/cache
!/tmp
!/proc
!/sys
!/dev

Dấu chấm than (!) dùng để đánh dấu các ngoại lệ loại trừ. Việc bỏ qua các virtual filesystem động như /proc và /sys là bắt buộc. Nếu quên loại bỏ chúng, những thay đổi trạng thái định kỳ của kernel và log hệ thống sẽ làm tràn ngập báo cáo hàng ngày của bạn với hàng ngàn cảnh báo giả (false positives).

Bước 3: Tạo và kích hoạt database baseline

Sau khi đã thiết lập xong các quy tắc, hãy khởi tạo danh mục tham chiếu. Debian và Ubuntu cung cấp sẵn script hỗ trợ tiện lợi mang tên aideinit:

sudo aideinit

Trên RHEL và các bản phân phối tương thích, hãy gọi trực tiếp lệnh AIDE gốc:

sudo aide --init

Trên một instance dùng ổ SSD với khoảng 50.000 file, quá trình khởi tạo sẽ hoàn tất trong khoảng 20 đến 45 giây. Trên ổ cứng cơ học (HDD) chậm hơn hoặc các hệ thống chứa hàng triệu file, thời gian có thể mất từ 3 đến 5 phút. AIDE sẽ ghi kết quả ra /var/lib/aide/aide.db.new.gz (hoặc file không nén aide.db.new trên các cấu hình RHEL cũ hơn).

Kích hoạt baseline bằng cách đổi tên file về đường dẫn đích dùng cho môi trường production:

sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
# Nếu môi trường của bạn dùng database không nén:
# sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Bước 4: Kiểm thử tính năng phát hiện can thiệp

Đừng bao giờ tin tưởng một cơ chế kiểm soát bảo mật mà bạn chưa từng tận mắt thấy nó phản ứng khi có sự cố. Hãy tạo một thay đổi có kiểm soát để xác nhận AIDE bắt được các chỉnh sửa bất thường.

Thêm một bản ghi host giả vào /etc/hosts:

echo "# Mô phỏng bản ghi độc hại" | sudo tee -a /etc/hosts

Thực hiện kiểm tra ngay lập tức:

sudo aide --check

Chỉ trong vài giây, AIDE sẽ gắn cờ điểm bất thường:

AIDE 0.17.4 phát hiện sự khác biệt giữa database và filesystem!!

Tóm tắt:
  Tổng số mục:                  48215
  Số mục thêm mới:              0
  Số mục bị xóa:                0
  Số mục bị thay đổi:           1

---------------------------------------------------
Mục bị thay đổi:
---------------------------------------------------

changed: /etc/hosts

---------------------------------------------------
Thông tin chi tiết về các thay đổi:
---------------------------------------------------

File: /etc/hosts
  Size     : 221                              , 252
  Mtime    : 2026-11-04 09:12:04              , 2026-11-04 10:25:31
  Ctime    : 2026-11-04 09:12:04              , 2026-11-04 10:25:31
  SHA256   : a1b2c3d4e5f6...                  , e5f6a7b8c9d0...

Hãy để ý cách AIDE phát hiện sự gia tăng kích thước file, thay đổi timestamp và sai lệch mã hash. Hãy dọn dẹp bản ghi kiểm thử trước khi tiếp tục:

sudo sed -i '/# Mô phỏng bản ghi độc hại/d' /etc/hosts

Bước 5: Tự động hóa kiểm tra và gửi cảnh báo

Việc kiểm toán bảo mật thủ công sẽ thất bại ngay khi khối lượng công việc vận hành trở nên bận rộn. Hãy tự động hóa việc quét và chuyển hướng các sai khác bất thường trực tiếp về hòm thư vận hành của bạn.

AIDE sử dụng các mã thoát (exit code) cụ thể: 0 biểu thị không có thay đổi nào, trong khi các giá trị khác 0 báo hiệu sự sai lệch file hoặc lỗi trong quá trình xử lý. Chúng ta có thể tận dụng điều này trong một script wrapper giám sát đơn giản.

Tạo một script tại /usr/local/bin/aide-check.sh:

sudo nano /usr/local/bin/aide-check.sh

Dán đoạn logic sau vào file:

#!/usr/bin/env bash
set -uo pipefail

REPORT_FILE="/tmp/aide-report.txt"
RECIPIENT="[email protected]"
HOSTNAME=$(hostname -f)

# Chạy kiểm tra AIDE và thu thập output
/usr/bin/aide --check > "$REPORT_FILE" 2>&1
EXIT_CODE=$?

if [ "$EXIT_CODE" -eq 0 ]; then
    # Filesystem khớp với baseline
    rm -f "$REPORT_FILE"
    exit 0
else
    # Phát hiện sai lệch hoặc có sự can thiệp
    mail -s "CẢNH BÁO: Bất thường về tính toàn vẹn file trên ${HOSTNAME} (Mã: ${EXIT_CODE})" "$RECIPIENT" < "$REPORT_FILE"
    rm -f "$REPORT_FILE"
    exit "$EXIT_CODE"
fi

Cấp quyền thực thi cho script:

sudo chmod 750 /usr/local/bin/aide-check.sh

Lập lịch chạy script vào mỗi 03:00 UTC hàng ngày thông qua cron:

echo "0 3 * * * root /usr/local/bin/aide-check.sh" | sudo tee /etc/cron.d/aide-daily

Bước 6: Cập nhật baseline sau khi bảo trì hệ thống

Việc vá lỗi phần mềm qua apt upgrade hoặc dnf update sẽ ghi đè hàng trăm file binary và thư viện. Chạy kiểm toán ngay sau khi cập nhật hệ điều hành sẽ gửi hàng loạt thay đổi khổng lồ vào hòm thư của bạn.

Hãy biến việc tái đánh chỉ mục baseline thành một bước bắt buộc cuối cùng trong quy trình triển khai của bạn:

# 1. Áp dụng các bản cập nhật hệ thống
sudo apt upgrade -y

# 2. Xây dựng lại baseline theo các file mới
sudo aide --update

# 3. Chuyển catalog đã cập nhật vào môi trường production
sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Luôn chạy aide --check trước khi cập nhật baseline. Bỏ qua bước xác minh này có thể dẫn đến rủi ro vô tình xác nhận một vụ xâm nhập chưa bị phát hiện thành cấu trúc hợp lệ của hệ thống.

Tổng kết

File Integrity Monitoring trên máy chủ biến những thay đổi khó nắm bắt trên filesystem thành dữ liệu forensics xác thực. AIDE mang lại khả năng giám sát chặt chẽ mà không làm tốn nhiều bộ nhớ RAM hay tiêu hao CPU ngầm. Hãy lưu trữ một bản sao offline hoặc ở chế độ read-only của aide.db.gz—chẳng hạn như trên S3 bucket đã bật Object Lock—để kẻ tấn công dù có quyền root cũng không thể ghi đè baseline mà không bị phát hiện. Kết hợp điều đó với quy trình cập nhật kỷ luật sau mỗi lần vá lỗi hệ thống, bạn sẽ biết ngay khoảnh khắc một byte dữ liệu trái phép xuất hiện trên ổ đĩa của mình.