Cara Memantau Integritas File Server dengan AIDE

Kalau suatu hari file /usr/bin/ls atau /etc/passwd di servermu diubah orang lain, apakah kamu akan tahu? Kebanyakan pemilik server tidak tahu, karena perubahan seperti itu tidak memunculkan pesan error apa pun. Server tetap jalan, website tetap bisa dibuka, padahal penyusup sudah menanam pintu belakang.

Di sinilah AIDE (Advanced Intrusion Detection Environment) berguna. AIDE memotret kondisi file penting di server, menyimpan hash dan atributnya ke sebuah database, lalu pada pemeriksaan berikutnya membandingkan kondisi sekarang dengan potret tadi. Setiap selisih dilaporkan: file baru, file hilang, isi berubah, izin berubah, atau pemiliknya berganti.

Apa sebenarnya yang dicek AIDE?

AIDE termasuk kategori host-based intrusion detection berbasis integritas file. Ia tidak memblokir serangan dan tidak memindai virus. Tugasnya satu: memberi tahu apa yang berubah sejak database terakhir dibuat.

Atribut yang bisa dipantau antara lain izin file, inode, jumlah link, pemilik dan grup, ukuran, waktu modifikasi, serta hash isi file (misalnya SHA-256 atau SHA-512). Kombinasi atribut ini diatur lewat aturan di file konfigurasi, jadi kamu bisa memantau /etc dengan ketat dan mengabaikan folder log yang memang berubah setiap detik.

Langkah memasang dan memakai AIDE

Contoh di bawah memakai Ubuntu 24.04 dan AlmaLinux 9. Jalankan sebagai root atau dengan sudo.

1. Pasang paketnya

Di Ubuntu atau Debian:

sudo apt update
sudo apt install aide

Di AlmaLinux, Rocky Linux, atau RHEL:

sudo dnf install aide

Di Ubuntu, konfigurasi utama ada di /etc/aide/aide.conf dengan potongan aturan tambahan di folder /etc/aide/aide.conf.d. Di keluarga RHEL, konfigurasinya ada di /etc/aide.conf.

2. Buat database awal

Lakukan ini saat server dalam kondisi yang kamu yakini bersih, idealnya tepat setelah instalasi dan update selesai.

Di Ubuntu, gunakan skrip bawaan aideinit:

sudo aideinit

Skrip ini membuat database baru di /var/lib/aide/aide.db.new, lalu menawarkan untuk menyalinnya menjadi database aktif /var/lib/aide/aide.db.

Di AlmaLinux:

sudo aide --init
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Proses pertama bisa memakan waktu beberapa menit, tergantung jumlah file dan kecepatan disk.

3. Jalankan pemeriksaan

# Ubuntu
sudo aide --check --config /etc/aide/aide.conf

# AlmaLinux
sudo aide --check

Bila tidak ada perubahan, AIDE akan menyatakan tidak ada selisih dengan database. Bila ada, laporannya terbagi menjadi bagian file yang ditambahkan, dihapus, dan diubah, lengkap dengan atribut mana yang berbeda.

4. Perbarui database setelah perubahan yang sah

Setiap kali kamu menjalankan apt upgrade, memasang paket baru, atau mengubah konfigurasi, AIDE tentu akan melaporkan banyak perubahan. Itu normal. Setelah kamu memeriksa laporannya dan yakin semua perubahan itu memang ulahmu, perbarui database:

# AlmaLinux
sudo aide --update
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

Di Ubuntu, menjalankan sudo aideinit lagi juga akan membuat database baru lalu meminta konfirmasi sebelum menimpa yang lama.

5. Atur aturan agar laporan tidak berisik

Laporan yang terlalu panjang akan cepat diabaikan. Kecualikan folder yang memang selalu berubah dan tambahkan folder aplikasi yang penting. Contoh baris di file konfigurasi:

# pantau kode website, abaikan folder cache
/var/www R
!/var/www/html/wp-content/cache
!/var/log

Tanda ! berarti folder itu dikecualikan. Grup R adalah aturan bawaan AIDE untuk file yang isinya seharusnya tetap. Setelah mengubah aturan, buat ulang database agar potretnya sesuai.

6. Jadwalkan cek otomatis

Paket AIDE di beberapa distro sudah membawa jadwal harian. Cek dengan systemctl list-timers | grep -i aide atau lihat isi /etc/cron.daily. Kalau belum ada, tambahkan cron sendiri, misalnya setiap pukul 03.00. Sesuaikan lokasi biner dengan hasil command -v aide, karena letaknya bisa berbeda antardistro (contoh di bawah memakai lokasi di AlmaLinux):

0 3 * * * /usr/sbin/aide --check | mail -s "Laporan AIDE $(hostname)" admin@domainmu.com

Pastikan server bisa mengirim email, atau arahkan hasilnya ke file log yang dipantau sistem lain.

Bagaimana melindungi database AIDE itu sendiri?

Ini titik lemah yang sering dilupakan. Penyusup yang sudah mendapat akses root bisa saja menjalankan aide --update sendiri, sehingga perubahan yang ia buat dianggap normal.

Beberapa cara mengurangi risikonya:

• Simpan salinan database dan file konfigurasi di luar server, misalnya di penyimpanan backup terpisah atau media yang hanya bisa dibaca.
• Catat hash database setelah setiap pembaruan yang sah, misalnya dengan sha256sum /var/lib/aide/aide.db, lalu simpan catatannya di tempat lain.
• Untuk pemeriksaan yang benar-benar penting, jalankan AIDE dari media boot terpisah dengan database salinan, sehingga biner AIDE dan database tidak bisa dimanipulasi dari sistem yang mungkin sudah disusupi.

AIDE dibandingkan alat lain

AIDE bukan satu-satunya alat pemantau server. Masing-masing punya peran berbeda dan sering dipakai bersamaan.

Kalau kamu baru mulai, kombinasi AIDE untuk integritas file dan rkhunter atau chkrootkit untuk tanda rootkit sudah memberi gambaran yang cukup. Untuk audit konfigurasi, lanjutkan dengan Lynis. Bila server sudah banyak, Wazuh lebih praktis karena hasilnya terkumpul di satu tempat.

Apa yang harus dilakukan kalau AIDE menemukan perubahan aneh?

Jangan langsung panik, tapi juga jangan langsung memperbarui database. Cocokkan dulu dengan riwayat perubahan: apakah ada update paket (/var/log/apt/history.log di Ubuntu atau dnf history di AlmaLinux), deploy aplikasi, atau perubahan konfigurasi oleh rekan satu tim.

Bila perubahan tidak bisa dijelaskan, misalnya biner di /usr/bin berubah tanpa ada update, atau ada file PHP baru di folder upload website, anggap server berpotensi disusupi. Amankan bukti, putuskan akses yang mencurigakan, dan periksa lebih jauh. Panduan mencari backdoor PHP di hosting bisa membantu untuk kasus website.

Checklist singkat

• AIDE terpasang dan database awal dibuat saat server bersih.
• Aturan sudah mengecualikan folder log dan cache.
• Cek otomatis terjadwal dan hasilnya benar-benar dibaca.
• Database diperbarui hanya setelah perubahan yang sah diverifikasi.
• Salinan database dan hash-nya disimpan di luar server.