Linux读写文件系统下如何检查文件完整性？

针对读写文件系统的文件完整性需求，以下是几种实用的方法：

1. 基础哈希校验 #

这是最通用的单文件/小批量文件检查方式，通过计算文件的哈希值（如SHA-256、MD5）并对比基准值来验证完整性：

• 生成基准哈希：

  sha256sum /path/to/target_file > /safe/location/target_file.sha256
  

  注意：把哈希文件存到与目标文件不同的存储介质（如U盘、远程服务器），避免被一同篡改。
• 校验完整性：

  sha256sum -c /safe/location/target_file.sha256
  

• 适用场景：单个重要文件、临时文件的完整性验证，可通过脚本自动化定期检查。

2. AIDE（系统级批量监控） #

AIDE是开源的入侵检测工具，专门用于监控文件系统的完整性，支持读写文件系统：

• 安装（以Debian/Ubuntu为例）：

  sudo apt update && sudo apt install aide
  

• 初始化基准数据库：

  sudo aide --init
  

  生成的数据库位于/var/lib/aide/aide.db.new.gz，将其重命名为正式数据库：

  sudo cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
  

• 执行完整性检查：

  sudo aide --check
  

• 配置说明：编辑/etc/aide/aide.conf可以自定义监控的目录、文件属性（如权限、大小、哈希），排除日志、临时目录等频繁变化的路径，减少误报。当系统有合法变更（如软件更新）后，需更新数据库：

  sudo aide --update
  

3. Tripwire（企业级完整性监控） #

Tripwire是老牌的文件完整性工具，提供更细致的规则配置和告警功能，支持读写文件系统：

• 安装后需初始化策略文件和基准数据库，核心流程为：
  1. 生成初始策略并签名
  2. 创建基准数据库
  3. 定期运行tripwire --check对比系统状态
• 特点：支持邮件告警、细粒度权限监控，部分版本为商业授权，适合企业级服务器环境。

4. 加密文件系统配合校验 #

如果使用fscrypt等加密文件系统，需先确保文件处于解密状态，再结合哈希或AIDE进行完整性检查。fscrypt本身会验证加密元数据的完整性，但文件内容的完整性仍需依赖哈希或工具校验。

注意事项 #

• 对于数据库、日志等频繁修改的动态文件，不适合用静态哈希或AIDE监控，应使用应用层自带的完整性机制（如数据库的校验和、事务日志）。
• 所有基准数据（哈希文件、AIDE数据库）必须妥善保管，优先存放在离线或只读介质，防止被篡改导致检查失效。
• 定期更新基准数据：当文件有合法修改时，及时重新生成哈希或更新AIDE数据库，避免误报。

内容的提问来源于stack exchange，提问作者user22357447