RHEL 10 文件完整性：AIDE 基线与检查

AIDE 不阻止变更，它只回答一个问题：和基线相比，哪些文件变了。在 RHEL 10 上，初始化、移动数据库、跑检查这三步都有坑，尤其是“.new.gz 不移动就等于没基线”。

验证范围

在 PVE 390 rhel10-lab（RHEL 10.2 x86_64）上实际执行：

sudo dnf -y install aide
aide --version
sudo aide --init --config /etc/aide.conf
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
sudo aide --check --config /etc/aide.conf

E3 记录：plans/content-expansion/evidence/rhel/rhel-aide-baseline/run.json（7 步，含 init/check 的输出 sha256 与退出码）。

先给结论：AIDE = 基线 + 比对

aide --init 扫描文件系统，把哈希/权限/时间戳写进数据库；
新数据库默认叫 aide.db.new.gz，必须移动成 aide.db.gz，--check 才认；
--check 只报告差异，不自动修复；
基线库本身要防篡改（只读介质/离线保存），否则攻击者改库即可“消警”。

实测初始化输出：

AIDE successfully initialized database.
New AIDE database written to /var/lib/aide/aide.db.new.gz
Number of entries: 49557

检查与退出码

sudo aide --check --config /etc/aide.conf
echo $?

退出码是位掩码，不是普通成功/失败：

位	含义
1	新增文件
2	删除文件
4	内容/属性变更

所以 4 表示“有变更”，不是“命令坏了”。自动化里要按位判断，并把报告留存；不要把任何非 0 都当脚本失败。

变更检测实测

# 基线检查
sudo aide --check --config /etc/aide.conf   # rc=0

# 制造一次变更
echo '# aide-test' | sudo tee -a /etc/hosts

# 再检查
sudo aide --check --config /etc/aide.conf   # rc=4

输出节选：

AIDE found differences between database and filesystem!!
f > ...   ..H.... : /etc/hosts

File: /etc/hosts
 Size   : 690      | 702
 SHA512 : k8DzTLkA… | 1ILEmMi2…