ماذا تفعل هذه الوحدة #
تجيب مراقبة سلامة الملفات (FIM، اختصارًا بالإنجليزية) عن سؤال محدّد جدًّا: هل تغيّر شيء في خادمي دون علمي؟ إن المتسلل الذي ينجح في الدخول، أو خطأً غير مقصود عند تعديل ملف من ملفات النظام، أو تحديثًا غير متوقّع، تترك جميعها الأثر نفسه دائمًا: ملفات تظهر أو تختفي أو تتغيّر.
تعتمد وحدة aide على AIDE (Advanced Intrusion Detection Environment) لاكتشاف ذلك بالضبط. وطريقة عملها ثلاث قطع: أولًا تحفظ أساسًا مرجعيًّا، وهو لقطة مرجعية تتضمّن التجزئة (hash) وسمات كل ملف مُراقَب؛ ثم تتحقق من الحالة الراهنة مقابل تلك اللقطة وتلخّص لك ما أُضيف أو حُذف أو عُدِّل؛ وعندما تكون هذه التغييرات مشروعة (مثلًا بعد تحديث)، فإنك تقبل الحالة الراهنة أساسًا مرجعيًّا جديدًا لكي تتوقّف عن الظهور كتنبيهات.
لا معنى للتحقق إلا إذا كان الأساس المرجعي يعكس حالة موثوقة. أنشئ الأساس المرجعي أو اقبله فور تثبيت الخادم وإعداده، حين تكون واثقًا من أنه نظيف. ومن تلك اللحظة، يقارن كل check مقابل نقطة الانطلاق تلك.
المهام الشائعة #
اختر ما تريد فعله. تأتي كل وصفة بالأمر مكتوبًا بالفعل — ما عليك إلا الضغط على نسخ ولصقه في طرفيتك.
1
التحقق مما إذا كان شيء قد تغيّر
يقارن النظام الراهن مقابل الأساس المرجعي ويلخّص التغييرات.
اتصل عبر SSH بخادمك بالمستخدم ubuntu.
أطلق التحقق. سترى عدّادًا للملفات المُضافة والمحذوفة والمُغيَّرة:
$ sudo imaxe aide checkهل تحتاجه لسكربت أو لوحة؟ اطلب المخرجات بصيغة JSON:
$ sudo imaxe aide check --json2
عرض تفاصيل آخر تحقّق
يعرض أيّ الملفات بالضبط أُضيفت أو حُذفت أو تغيّرت.
بعد check، راجِع النتيجة بصيغة مقروءة، مع قائمة الملفات المتأثّرة:
$ sudo imaxe aide report3
عرض الحالة العامة
بنظرة واحدة: هل يوجد أساس مرجعي، ومتى كان آخر تحقّق، وهل بقيت تغييرات معلّقة.
استعلم عن ملخّص حالة الوحدة:
$ sudo imaxe aide statusمتاح أيضًا بصيغة JSON لدمجه في مراقبتك:
$ sudo imaxe aide status --jsoncheck، وهل توجد تغييرات معلّقة، وهل الفحص المُجدوَل مُفعَّل.4
قبول التغييرات باعتبارها طبيعية
يثبّت الحالة الراهنة لقطةً مرجعيةً جديدة.
عندما تكون قد راجعت التقرير وكانت التغييرات مشروعة، اقبل الحالة الراهنة أساسًا مرجعيًّا جديدًا:
$ sudo imaxe aide update-baselinecheck التالي مقابل هذه المرجعية الجديدة.إن تنفيذ update-baseline يجعل التغييرات المكتشفة تُعدّ سليمة إلى الأبد. فإن كان بينها شيء خبيث، فسيُغسَل. راجِع دائمًا report قبل التحديث، ولا تفعله إلا حين تثق بحالة النظام.
صيغة الاستخدام #
imaxe aide <subcomando> [flags]تتطلّب جميع الأوامر الفرعية صلاحيات root (استخدم sudo) لأن AIDE يقرأ ملفات محميّة من النظام وتقيم قاعدة بياناته في مسارات مقيَّدة. أضِف --json إلى check أو status للحصول على مخرجات مقروءة آليًّا، صالحة لكتابة السكربتات والمراقبة.
الأوامر الفرعية #
| الأمر الفرعي | ماذا يفعل | الرايات المعنية |
|---|---|---|
| check | يتحقق من السلامة مقابل الأساس المرجعي ويلخّص التغييرات حسب النوع (مُضافة، محذوفة، مُغيَّرة). | --json |
| report | يعرض آخر تحقّق بصيغة مقروءة، مع قائمة الملفات المتأثّرة. | — |
| status | الحالة: أساس مرجعي موجود، آخر تحقّق، تغييرات معلّقة وفحص مُجدوَل. | --json |
| update-baseline | يقبل الحالة الراهنة أساسًا مرجعيًّا جديدًا (ينفّذ aide --update ويُفعّل قاعدة البيانات الجديدة). | — |
الوسائط والرايات #
| الراية | النوع | الافتراضي | الوصف |
|---|---|---|---|
| --json | bool | false | في check وstatus، يُصدر النتيجة بصيغة JSON مُهيكَل في stdout، صالح لكتابة السكربتات والمراقبة. |
لا يقبل الأمران الفرعيان report وupdate-baseline أي راية: يعملان دائمًا على آخر تحقّق وعلى الأساس المرجعي الساري، على الترتيب.
الملفات والمسارات #
| المسار | المحتوى |
|---|---|
| /etc/imaxe/aide.yml | إعداد الوحدة: خيارات check، مثل سرد الملفات المتأثّرة إضافةً إلى العدّادات. |
مثال على aide.yml:
check:
# Listar los ficheros afectados en `check` (además de los contadores).
list_files: trueرموز الخروج والسجلّات #
يعيد كل تنفيذ رمزًا يمكنك فحصه بـ echo $? — مفيد للتسلسل في السكربتات أو لإطلاق التنبيهات:
تابِع سجلّ الوحدة أثناء تصحيح الأخطاء:
$ sudo journalctl -u imaxe-aide -fحل المشكلات #
| العَرَض | السبب المحتمل | الحل |
|---|---|---|
| يظهر NOBASE (الرمز 4) | لا يوجد بعدُ أساس مرجعي في النظام. | أنشئ لقطة مرجعية بـ update-baseline عندما يكون الخادم نظيفًا. |
| يظهر CHANGES (الرمز 3) | توجد ملفات مُضافة أو محذوفة أو مُعدَّلة منذ الأساس المرجعي. | راجِع التفاصيل بـ report؛ فإن كانت مشروعة، فاقبلها بـ update-baseline. |
check يستغرق وقتًا طويلًا | يعيد AIDE حساب تجزئة عدد كبير من الملفات؛ وهذا طبيعي في التشغيل الأول. | اترُكه ينتهي. عمليات check اللاحقة أسرع. |
| كل تحديث يُطلق تغييرات | أصبح الأساس المرجعي قديمًا بعد تطبيق ترقيعات النظام. | بعد مراجعة report، نفّذ update-baseline لتثبيت الحالة الموثوقة الجديدة. |
هل واجهتك مشكلة مع وحدة السلامة؟
راسلنا مرفقًا مخرجات «imaxe <module> status --json» وسنرد عليك بسرعة.