Integrität und Änderungen

Wenn sich Dateien ändern – und wenn sich das System verschiebt.

Zwei verwandte, aber verschiedene Fragen: Hat sich eine wichtige Datei verändert? und Was ist am System insgesamt anders als beim letzten Mal?

Dateiintegrität #

NODE64 bildet Prüfsummen eines festen Satzes wichtiger Dateien – Konten, Rechte, SSH-Konfiguration, Cron, Dienste. Beim ersten Lauf wird der Stand als Ausgangswert gespeichert, ohne Befund. Weicht eine Datei später davon ab, entsteht ein Integritäts-Befund.

Die Einstufung hängt vom Pfad ab: Eine geänderte sshd_config wiegt schwerer als eine geänderte /etc/hosts.

Der Server kennt nur die Prüfsumme, nicht den Inhalt. Er weiss, dass sich etwas geändert hat – nicht was. Das ist Absicht: Für die Frage „hat jemand daran gedreht?" reicht die Prüfsumme, und alles darüber hinaus wäre eine Kopie deiner Konfiguration auf fremdem Blech.

Als gewollt bestätigen #

Die meisten Änderungen sind deine eigenen. Am Befund steht Als gewollt bestätigen – ein Klick, und der neue Stand wird zum Ausgangspunkt. Der Befund gilt als erledigt, und gemeldet wird erst wieder, wenn sich die Datei erneut ändert.

Zwei Feinheiten:

Bestätigt wird genau der Stand, der im Befund steht. Hat sich die Datei seit dem Öffnen der Seite erneut geändert, wird der Klick abgelehnt – sonst würdest du eine fremde Änderung mitbestätigen.
Der Ausgangswert zieht nicht automatisch nach, nur weil du den Befund gesehen hast. Eine Integritätsmeldung, die sich selbst erledigt, schweigt beim nächsten Mal – und das nächste Mal ist das, auf das es ankommt.

Änderungen am System #

Unabhängig von Dateien vergleicht NODE64 jeden Lauf mit dem vorigen und meldet, was sich verschoben hat:

neu installierte oder entfernte Pakete,
neue oder verschwundene lauschende Ports,
neue oder entfernte Konten,
Dienste, die dazugekommen oder verschwunden sind,
neue Container.

Das ist kein Sicherheitsurteil, sondern ein Protokoll. Der Wert liegt im Alltag: Wenn auf einem Server, an dem niemand gearbeitet hat, plötzlich ein Port auf ist, weisst du das, bevor es jemand anders merkt.

Typischer Fall: Ein automatisches Update installiert ein Paket nach, das einen Dienst mitbringt, der auf allen Schnittstellen lauscht. Kein Mensch hat etwas falsch gemacht – trotzdem ist der Server jetzt anders erreichbar als gestern.