Problem mit AIDE: ctime

W

wakko

Member
Hallo zusammen.
Auf meinem vServer läuft unter anderem AIDE um unerlaubte/unerwartete Änderungen an Dateien und Ordern zu bemerken.
In letzter Zeit häufen sich merkwürdige Änderungserkennungen, obwohl die AIDE Datenbank eigentlich taufrisch sein sollte.
Nach dem Installieren von Updates oder Ändern von Config-Files (also Änderungen von denen ich weiss, dass sie legitim sind) lasse ich manuell AIDE durchlaufen und kopiere dann die neue AIDE DB über die alte.
Damit sollten eigentlich alle Änderungen für AIDE bekannt sein. Wenn ich jedoch AIDE direkt nochmal laufen lasse, kann ich beinah sicher sein, dass irgendwelche Dateien wieder als geändert erkannt werden, und zwar mit geändertem ctime.
Auszug aus dem ersten AIDE Durchlauf (nicht verwirren lassen, dass es sich hier zufällig um ein AIDE config File handelt, die AIDE config wurde zuvor mit "update-aide.conf" erneuert):
Code: 
File: /etc/aide/aide.conf.d/88_custom_excludes
  Size     : 745                              | 765
  Mtime    : 2016-05-18 11:39:34 +0200        | 2016-05-20 10:08:32 +0200
  Ctime    : 2016-05-18 11:39:34 +0200        | 2016-05-20 10:08:32 +0200
  RMD160   : qx/N88aKLIy9DaMchovI+DWUDoA=     | 7ccbPDHA0ztVNrp7W54Mfhk4vdQ=
  TIGER    : ee/k3U9OXXCEkHhPkkINsGChj1Sbq21C | hNQtp7lLz9RJXX8KDiz5GGC/FZHt4Ljx
  SHA256   : OLt+Fcs6u2RqeUk2b8N0c7PcUpyVQOwW | ZO85OXSahN9RbHckeJmjAmNjwvcOIQZ7
             15x5Mn+GAFg=                     | YAf8wI/EgHM=
  SHA512   : OFW8x7m+x3YKYj+2an5U+UMHDIDQ7ImC | w7OHRSfltBulmin8aMIvv6IEHeZuiu4S
             q/EzNnZRE/td3sR9PIpjeNfCehXsRjor | 9odsA8k1g4onRJHYCq3qzGgXKu9IHsOU
             UZp9QiZszqpf5cljrWI7gQ==         | PcHdxhDrQR+o9eGgtxc6pw==
  CRC32    : axvbpw==                         | jjWEXA==
  HAVAL    : KjjoZ/1I0txkIadT5HaJacO0jtGAiKxY | yYMcEp55nZv/Zu8oI7xyEqfLeFtKuJ9/
             UogIwxinZ50=                     | QUC+2aiBG9A=
  GOST     : TEzlAAFEcl9O7qHetJXdq5wrPJIRcLLv | +bUy8jo0vl2iyQ6pAH4s1FmP4z7s1KxX
             z3DJpAHSpuQ=                     | B6oqQrfMxe4=

File: /etc/aide/aide.conf.d/88_custom_excludes~
  Size     : 762                              | 745
  Mtime    : 2016-05-17 21:14:34 +0200        | 2016-05-18 11:39:34 +0200
  Ctime    : 2016-05-18 11:45:08 +0200        | 2016-05-20 10:08:32 +0200
  RMD160   : pa931Uzyw7fIRLB0bJJxgNjgwos=     | qx/N88aKLIy9DaMchovI+DWUDoA=
  TIGER    : lMLBqvmu9hWXJdwZpVN1qdiODQTL/2n5 | ee/k3U9OXXCEkHhPkkINsGChj1Sbq21C
  SHA256   : uU4LT87Uvi6R+yEO3tS4FKZn///JrAnE | OLt+Fcs6u2RqeUk2b8N0c7PcUpyVQOwW
             b1Zq0nQt3pc=                     | 15x5Mn+GAFg=
  SHA512   : e2VeTlHeLx9+ZlZcU/pXroEYw4DJHIGb | OFW8x7m+x3YKYj+2an5U+UMHDIDQ7ImC
             3KObM0gVVN9Ji1FNXSl0paqXuDI2uMyR | q/EzNnZRE/td3sR9PIpjeNfCehXsRjor
             4ISGu6QRqcngeHc02qCjbQ==         | UZp9QiZszqpf5cljrWI7gQ==
  CRC32    : VQyAgw==                         | axvbpw==
  HAVAL    : omHD5AcIJHiMki5+9T9Dz3btTBI163Ae | KjjoZ/1I0txkIadT5HaJacO0jtGAiKxY
             lr6PXExPruY=                     | UogIwxinZ50=
  GOST     : Sxt/YnM6tt6jRt6yFNI8rweSHaM/DnhD | TEzlAAFEcl9O7qHetJXdq5wrPJIRcLLv
             S38I/RIUY08=                     | z3DJpAHSpuQ=
Jetzt wird die AIDE DB über die alte kopiert, und beim nächsten Durchlauf von AIDE passiert das hier (nur ein Auszug):
---------------------------------------------------
Detailed information about changes:
---------------------------------------------------

File: /etc/aide/aide.conf.d/88_custom_excludes~
Ctime : 2016-05-20 10:08:32 +0200 | 2016-05-20 10:36:46 +0200
Click to expand...
Es sieht aus, als wenn der vorherige Durchlauf von AIDE bei manchen Dateien die ctime vermuselt... Umso merkwürdiger ist, dass das irgendwie zufällig passiert.
Hat jemand eine Idee, woran das liegen könnte? Kann das am vServer liegen? Also daran, wie der (virtuelle) Massenspeicher gemountet ist? Bediene ich AIDE einfach falsch? Oder soll ich einfach den ctime check in AIDE deaktivieren?
 
Last edited by a moderator:
Nein. Das Beispiel war vielleicht ungünstig gewählt, aber da war der Output mal übersichtlich genug um ein einzelnes Beispiel zu finden. Das passiert z.B. auch nach einem apt-get update && apt-get upgrade wo keine Sicherungskopien einzelner Dateien angelegt werden.
Auch da findet AIDE regelmässig im zweiten Durchlauf wieder zuvor schon registrierte Dateien mit geändertem ctime. Und die ctime Änderung passiert während der Laufzeit des ersten AIDE Durchlaufs. Aber eben nur bei manchen Dateien...
Ich hatte zuerst gehofft, dass sich das mit dem Upgrade von Debian Wheezy auf Jessie ändert (ca. vor einer Woche), aber das Phänomen bleibt.
 
Guter Hinweis mit den Backup/~ Dateien. Mit denen lässt sich das Phänomen zu 100% reproduzieren. Die Änderung der ctime passiert dabei immer beim ersten Durchlauf von AIDE...
Trotz allem bemängelt AIDE auch zum Teil bei anderen Dateien, die nicht explizit editiert wurden eine geänderte ctime.

Vielleicht noch ein paar mehr Infos:
Es handelt sich um einen Host Europe vServer mit Debian Jessie. Update von Wheezy war vor ca. anderthalb Wochen. Das Problem bestand schon vorher.

Ich habe bei der Google Suche noch ein paar ähnliche Probleme mit AIDE und ctime im Zusammenhang mit "prelink" gefunden, aber soweit ich das überblicke sollte das hier nicht das Problem sein.
 
You must log in or register to reply here.
Back
Top