如何使用文件完整性检查在CentOS系统上检测文件修改

来源：3D模型作者：重启一下头衔：草根站长

导读：本期聚焦于小伙伴创作的《如何使用文件完整性检查在CentOS系统上检测文件修改》，敬请观看详情，探索知识的价值。以下视频、文章将为您系统阐述其核心内容与价值。如果您觉得《如何使用文件完整性检查在CentOS系统上检测文件修改》有用，将其分享出去将是对创作者最好的鼓励。

在CentOS系统的日常运维和安全防护中，核心系统文件、配置文件被未授权修改是常见的安全隐患，文件完整性检查通过对比文件的哈希值、权限、属主等属性，能够快速发现文件的异常变动。CentOS系统自带部分基础工具，也可以安装专业的完整性检查工具实现更全面的检测。

常用文件完整性检查工具介绍

CentOS系统下可以选择多种文件完整性检查工具，不同工具的适用场景有所区别：

如果只是需要检测少量关键文件是否被修改，可以直接使用系统自带的sha256sum工具，首先生成文件的基准哈希值，后续比对哈希值是否变化即可判断文件是否被修改。

首先生成关键文件的基准哈希值并保存到文件：

# 计算/etc/passwd的sha256哈希值并保存到基准文件
sha256sum /etc/passwd > /root/passwd_base.txt
# 查看基准文件内容
cat /root/passwd_base.txt

当需要检测文件是否被修改时，重新计算哈希值并与基准比对：

# 重新计算/etc/passwd的哈希值并比对
sha256sum -c /root/passwd_base.txt

如果输出etc/passwd: OK说明文件未被修改，如果输出etc/passwd: FAILED则说明文件已经被修改。

aide是CentOS下更常用的系统级完整性检查工具，支持监控文件的哈希值、权限、属主、修改时间等多个属性，适合批量监控关键系统文件。

CentOS系统默认仓库包含aide，直接使用yum安装即可：

# 安装aide
yum install aide -y

aide的配置文件为/etc/aide.conf，默认已经包含常见系统目录的监控规则，也可以根据需求自定义配置。以下是常见的配置项说明：

配置项	说明
database	指定aide存储基准数据的数据库路径
database_out	指定新生成的基准数据库输出路径
/etc p+i+u+g	监控/etc目录的权限(p)、inode(i)、属主(u)、属组(g)变化
/bin FULL	对/bin目录进行全属性监控，包括哈希值、大小、时间等所有属性

如果需要添加自定义监控目录，比如在配置文件中添加/opt/app DATAONLY，表示只监控/opt/app目录的数据内容变化，不监控权限等属性。

首次使用aide需要先初始化基准数据库，该数据库会记录当前所有被监控文件的属性信息：

# 初始化aide基准数据库
aide --init
# 将生成的数据库移动到配置中指定的默认数据库路径
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

初始化完成后，执行检查命令即可对比当前文件状态和基准数据库的差异：

# 执行完整性检查
aide --check

如果所有被监控文件都没有修改，不会有额外输出；如果有文件被修改，会输出具体的文件改动信息，例如：

AIDE found differences between database and filesystem!!
Changed files:
changed: /etc/passwd

可以通过crontab配置aide定期自动执行检查，比如每天凌晨2点执行检查并将结果发送到管理员邮箱：

# 编辑crontab任务
crontab -e
# 添加以下内容，每天2点执行检查
0 2 * * * /usr/sbin/aide --check | mail -s "CentOS文件完整性检查报告" admin@ipipp.com

当文件完整性检查报告文件被修改时，需要先确认修改是否为合法操作：

重新初始化基准数据库的命令和首次初始化一致，执行后新的基准会覆盖旧基准：

# 重新初始化基准数据库
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

免责声明：已尽一切努力确保本网站所含信息的准确性。网站内容多为原创整理与精心编撰，观点力求客观中立。本站旨在免费分享，内容仅供个人学习、研究或参考使用。若引用了第三方作品，版权归原作者所有。如内容涉及您的权益，请联系我们处理。