aide需手动安装，核心步骤为：系统干净时执行aide --init生成基线数据库，配置排除干扰路径并启用sha256校验，通过aide --check定期检测，依据退出码和added/removed/changed日志判断异常。
AIDE不是Linux“自带”的工具，它需要手动安装，但操作不复杂。新手只要在系统刚部署完、确认干净时完成初始化，后续定期检查就能有效发现文件被篡改、植入或误删的情况。
安装与确认环境
先确保系统处于可信状态：刚重装完毕、未开放外网、没运行未知服务。再执行安装：
- Debian/Ubuntu：sudo apt install aide
- RHEL/CentOS 8+：sudo dnf install aide；CentOS 7：sudo yum install aide
安装后配置文件默认生成在/etc/aide.conf，不用额外创建。别跳过环境确认——如果系统已被入侵，后面所有校验都失去意义。
生成初始指纹库（关键一步）
这一步是整个监控的起点，必须由root执行，且只做一次（或重大变更后重建）：
- 运行sudo aide --init，成功后会在/var/lib/aide/下生成aide.db.new.gz
- 把它设为正式数据库：sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
- 立即验证是否可用：sudo aide --check 应该输出AIDE found NO differences，退出码为0
如果报错“Database not found”，说明文件名没改对；如果报权限错误，检查aide.db.gz是否只有root可读写（chmod 600）。
简单定制规则，避免天天告警
打开/etc/aide.conf，新手只需改两处：
- 在开头找类似NORMAL = p+i+n+u+g+s+m+c+md5的行，在末尾加上+sha256，变成NORMAL = p+i+n+u+g+s+m+c+md5+sha256（增强内容防篡改能力）
- 在规则下方添加排除行，防止日志、临时文件干扰：
!/var/log/
!/tmp/
!/proc/
!/sys/
改完保存，不用重启服务，但下次校验前要重新运行sudo aide --init并替换数据库，否则新规则不生效。
日常检查与看懂结果
平时就用一条命令检测：sudo aide --check
- 如果屏幕没输出或只显示“AIDE found NO differences”，说明一切正常
- 看到Added:——有新文件出现，比如/tmp/.shell.php，高度可疑
- 看到Removed:——如/bin/ls消失，可能被恶意替换或删除
- 看到Changed:——重点看sha256字段是否变化，变了就是内容被改（比如/etc/passwd被加了后门账号）
别只扫一眼就关终端，真正要看的是命令的退出码：echo $? 返回0才代表无异常；返回1说明有变动，需人工确认是否为运维操作所致。
