Hardening Server Debian dengan AIDE: Panduan Konfigurasi & Audit

Implementasi AIDE untuk Integritas Sistem Debian

AIDE (Advanced Intrusion Detection Environment) adalah alat deteksi intrusi berbasis host yang berfungsi memantau integritas file sistem dengan membandingkan snapshot database file saat ini terhadap kondisi awal yang diketahui (baseline). Pada sistem Debian, AIDE sangat krusial untuk mendeteksi perubahan ilegal pada file konfigurasi, binari sistem, atau skrip yang mungkin dimodifikasi oleh pihak tidak berwenang.

Langkah Instalasi dan Inisialisasi

Instalasi AIDE pada Debian dilakukan melalui repositori resmi. Pastikan sistem telah diperbarui sebelum memulai proses.

sudo apt update
sudo apt install aide aide-common
sudo aideinit
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Konfigurasi Aturan Pemantauan

File konfigurasi utama terletak di /etc/aide/aide.conf. Anda harus mendefinisikan direktori mana yang dipantau dan atribut apa yang diperiksa (seperti izin, pemilik, hash SHA256, dll). Berikut adalah contoh aturan dasar:

# Contoh aturan pemantauan direktori kritis
/etc/  NORMAL
/bin/  NORMAL
/sbin/ NORMAL
/usr/bin/ NORMAL
!/var/log/.*

Menjalankan Audit dan Update Database

Setelah konfigurasi selesai, jalankan perintah audit untuk membandingkan sistem dengan database. Jika terjadi perubahan yang sah (misalnya setelah update sistem), Anda wajib memperbarui database agar tidak terjadi false positive.

# Menjalankan audit
sudo aide --check

# Memperbarui database setelah perubahan sah
sudo aide --update
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

Tips Troubleshooting Lapangan

• False Positives: Sering terjadi pada file log atau file sementara. Gunakan tanda seru (!) di depan path untuk mengecualikan direktori tersebut dari pemantauan.
• Keamanan Database: Simpan file aide.db di media eksternal atau partisi read-only jika memungkinkan, agar penyerang tidak dapat memodifikasi database AIDE setelah berhasil masuk ke sistem.
• Otomatisasi: Gunakan cron job untuk menjalankan aide --check secara berkala dan kirimkan hasilnya ke server log terpusat atau email administrator.