1. 项目概述

在运维安全领域，文件完整性监控(FIM)是防御系统入侵的最后一道防线。当黑客突破外围防护后，通常会修改系统关键文件来维持持久化访问。AIDE和Wazuh作为两款主流开源工具，都能实现文件完整性检查，但设计理念和实现方式截然不同。

我在金融、互联网行业做安全运维十年，处理过数十起服务器入侵事件。其中80%的案例中，攻击者都修改了/bin、/sbin等目录下的系统命令。本文将基于真实攻防对抗经验，带您深度对比这两款工具的部署过程、检测能力和运维成本。

2. 核心需求解析

2.1 文件完整性监控的本质需求

文件篡改通常表现为三种形式：

1. 内容篡改：如植入恶意代码的ls命令
2. 属性变更：如关键配置文件权限被改为777
3. 隐蔽后门：如/lib下植入恶意动态库

理想的监控方案需要具备：

• 基线扫描：建立可信文件指纹库
• 实时监控：秒级发现异常变更
• 智能告警：区分正常更新与恶意篡改

2.2 工具选型关键指标

3. AIDE深度部署实战

3.1 基础环境配置

# Ubuntu/Debian安装 sudo apt install aide aide-common -y # RHEL/CentOS安装 sudo yum install aide -y

配置文件路径：

• 主配置：/etc/aide/aide.conf
• 数据库：/var/lib/aide/aide.db

3.2 高级策略配置示例

# 监控目录定义 /etc p+i+n+u+g+s+b+m+c+sha256 /bin p+i+n+u+g+s+b+m+c+sha256 /usr/bin p+i+n+u+g+s+b+m+c+sha256 # 排除目录 !/proc !/sys !/tmp

参数说明：

• p：权限
• i：inode号
• n：链接数
• u：属主
• g：属组
• s：大小
• b：块数
• m：修改时间
• c：内容哈希

3.3 初始化与日常使用

# 初始化数据库（耗时操作，建议低峰期执行） sudo aideinit -y # 手动检查变更 sudo aide --check # 更新数据库（系统更新后必须执行） sudo aide --update sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

关键提示：AIDE数据库必须离线保存，建议备份到只读介质。曾发生过攻击者连aide.db一起篡改的案例。

4. Wazuh全方位部署指南

4.1 架构设计要点

Wazuh采用客户端-服务端架构：

• Agent：安装在受监控主机，负责数据采集
• Manager：集中处理告警和策略
• Elastic Stack：可视化分析界面

# 单机快速安装（含Elastic组件） curl -sO https://packages.wazuh.com/4.3/wazuh-install.sh sudo bash wazuh-install.sh --all-in-one

4.2 FIM策略精调

编辑/var/ossec/etc/ossec.conf：

<syscheck> <frequency>43200</frequency> <!-- 12小时全盘扫描 --> <directories check_all="yes" realtime="yes">/etc,/bin,/sbin</directories> <ignore>/etc/adjtime</ignore> <ignore type="sregex">.log$|.swp$</ignore> </syscheck>

实时监控原理：

1. 内核inotify监控文件事件
2. 事件触发后200ms内完成校验
3. 异常事件立即上传Manager

4.3 高级功能实战

白名单自动生成：

# 生成系统更新后的基准哈希 sudo /var/ossec/bin/manage_agents -e "syscheck -b /usr/bin/*"

联动响应示例（阻止可疑进程）：

<active-response> <command>firewall-drop</command> <location>local</location> <level>7</level> <timeout>600</timeout> </active-response>

5. 深度对比测试

5.1 测试环境设计

在AWS t3.medium实例上部署：

• 操作系统：Ubuntu 20.04 LTS
• 监控目录：/bin (包含158个可执行文件)
• 攻击模拟：
  • 案例1：替换/bin/ls为恶意版本
  • 案例2：chmod 777 /etc/shadow
  • 案例3：植入隐藏库文件

5.2 关键指标实测

5.3 典型场景适配建议

金融行业生产环境：

• 选用Wazuh集群部署
• 关键路径配置实时监控
• 非关键路径用AIDE辅助扫描
• 告警与SIEM系统集成

个人开发者服务器：

• 单机版AIDE足够
• 每日定时扫描+邮件报告
• 重点关注/etc和登录相关文件

6. 运维避坑指南

6.1 AIDE常见故障处理

问题1：数据库损坏报错"Couldn't open file"

• 原因：异常关机导致
• 解决：

  sudo aide -i # 重建数据库 sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

问题2：扫描耗时过长

• 优化方案：

  # 排除大文件目录 !/var/log !/home/*/.cache

6.2 Wazuh性能调优

高负载场景配置：

<syscheck> <process_priority>10</process_priority> <!-- 降低CPU优先级 --> <max_eps>100</max_eps> <!-- 限制事件速率 --> </syscheck>

磁盘IO优化：

# 调整Elasticsearch配置 vim /etc/elasticsearch/jvm.options -Xms1g # 根据内存调整 -Xmx1g

7. 安全加固进阶技巧

7.1 防绕过措施

对抗AIDE攻击：

# 将数据库设为只读 sudo chattr +i /var/lib/aide/aide.db

保护Wazuh进程：

# 禁止kill监控进程 sudo apt install libpam-cap -y sudo setcap cap_kill,cap_net_admin=ep /var/ossec/bin/ossec-agentd

7.2 多维度防御方案

1. 文件防删除：chattr +i /bin/*
2. 目录防篡改：mount -o remount,ro /usr
3. 系统调用监控：auditd规则+seccomp
4. 行为分析：Elastic Security集成

8. 终极方案：混合部署实践

在核心生产环境，我推荐组合方案：

graph TD A[Wazuh Agent] -->|实时事件| B[Wazuh Manager] C[AIDE] -->|每日全量扫描| D[独立报告服务器] B --> E[SIEM系统] D --> E

实施要点：

1. Wazuh负责实时监控关键路径
2. AIDE每日全盘扫描作为备份
3. 两份报告交叉验证
4. 关键变更需双重确认

配置示例（cron定时任务）：

0 3 * * * /usr/bin/aide --check | mail -s "AIDE日报" admin@example.com

这种架构在某次红蓝对抗中成功检测出攻击者精心策划的供应链攻击，当时攻击者已经渗透了实时监控系统，但被AIDE的基线扫描发现了异常。