Linux otkrivanje zlonamjernog softvera (LMD) za zaštitu Linuxa

Uvod
Jedan od najvećih problema kojima su izloženi poslužitelji, pošta i web usluge su napadi zlonamjernog softvera.

Jedan od načina sprječavanja ovog problema je Linux otkrivanje zlonamjernog softvera (LMD), aplikacija koja se može instalirati na bilo koji Linux sustav i spriječit će ovu vrstu napada.

Montaža
Pretpostavit ćemo da imamo SSH pristup poslužitelju koji koristimo za provedbu instalacije, a to se može učiniti iz bilo kojeg operativnog sustava budući da obavljamo zadatak povezan sa poslužiteljem.

1. Ulazimo u našu naredbenu konzolu putem SSH -a na naš poslužitelj:

 ssh [email protected] [email protected] lozinka: ******* 

2. Nakon što smo se povezali sa poslužiteljem, preuzimamo besplatni paket Linux Malware Detect na našem serveru:

 [root @ server1 ~] # wget www.rfxn.com/downloads/maldetect-current.tar.gz

3. Raspakirajte datoteku:

 [root @ server1 ~] # tar xfz maldetect-current.tar.gz

S uputom ls možemo provjeriti u kojem ste direktoriju otpakirali da će se općenito zvati kao verzija maldetect u ovom slučaju maldetect-1.4.2

4. Ulazimo u direktorij i nastavljamo instalirati Maldetect. Evo instalacije koja će se vidjeti u nekoliko naredbi:

 [root @ server1 ~] # cd maldetect-1.4.2 [root @ server1 maldetect-1.4.2] # ./install.sh Linux Malware Detect v1.4.1 © 2002-2013, R-fx mreže © 2013, Ryan MacDonald inotifywait © 2007, Rohan McGovern Ovaj se program može slobodno distribuirati pod uvjetima GNU GPL instalacije dovršene u / usr / local / maldetect konfiguracijsku datoteku: /usr/local/maldetect/conf.maldet exec datoteka: / usr / local / maldetect / maldet exec veza: / usr / local / sbin / maldet exec veza: / usr / local / sbin / lmd cron.daily: /etc/cron.daily/maldet maldet (10805): {sigup} izvršavanje provjere ažuriranja potpisa … maldet ( 10805): {sigup} Lokalni skup potpisa je verzija 201205035915 maldet (10805): {sigup} novi skup potpisa (2013041816820) dostupan maldet (10805): {sigup} preuzet http://www.rfxn.com/downloads/md5. dat maldet (10805): {sigup} preuzeto http://www.rfxn.com/downloads/hex.dat maldet (10805): {sigup} preuzeto http://www.rfxn.com/downloads/rfxn.ndb maldet (10805): {sigup} preuzeto http://www.rfxn.com/downloads/rfxn.hdb maldet (10805): {sljedeće p} preuzeto http://www.rfxn.com/… aldet-clean.tgz maldet (10805): {sigup} ažuriranje skupa potpisa dovršeno maldet (10805): {sigup} 11203 potpisa (9335 MD5/1868 HEX) Zatim smo izvršite ažuriranje baze podataka maleare potpisa [root @ server1 ~] # maldet -update

Postavljanje
U naredbenom prozoru dolje pišemo pomoću željenog uređivača stariji brat, vim ili onaj koji često koristimo:

 nano /usr/local/maldetect/conf.maldet

Utvrđujemo hoće li nas upozoriti putem e -pošte kada pronađe zlonamjerni softver:

• 0 = onemogućeno
• 1 = omogućeno

Definiramo poštu, kao što se vidi na snimci zaslona:

 # [0 = onemogućeno, 1 = omogućeno] email_alert = 1

Također definiramo primamo li samo upozorenje i premještamo zaraženu datoteku u karantenu kako se ne bi mogla izvršiti.

 # [0 = samo upozorenje, 1 = premjesti u karantenu i upozorenje] quar_hits = 0

Kako skenirati

Ovisno o strukturi poslužitelja i putu domene ili datoteke za skeniranje.
Opcija -a označava svi skenirajte sve datoteke u tom direktoriju.

 [root @ server1 maldetect -1.4.2] # maldet -a / home / user / public_html

Da bismo vidjeli posljednje izvješće koje smo generirali, izvršit ćemo:

 [root @ server1 maldetect -1.4.2] # maldet -izvještaj

U nastavku prikazujemo primjer izvješća o zlonamjernom softveru pronađenom u skeniranju svih domena poslužitelja, a na popisu će se vidjeti u Popis pogodaka datoteke naziv zlonamjernog softvera, datoteku i broj linije koda u kojoj se nalazi, u ovom slučaju su pronađene 2 zaražene datoteke.

 [root @ server1 maldetect-1.4.2] # maldet --scan-all / home malware report report report for server.mydomain.com: SCAN ID: 02233-0315.9516 VRIJEME: 6. JUNA 07:02:44 +0300 PUT: / home * / * / public_html Raspon: 2 dana UKUPNO DATOTEKA: 8406 UKUPNO HITOVANJA: 1 UKUPNO OČIŠĆENO: 0 POPIS HITOVANJA DATOTEKA: {HEX} php.cmdshell.unclassed.344: / home / user1 / public_html / images / upload / files / asphoto.php.pjpg.webp {HEX} php.nested.base64.513: /home/user2/public_html/formulario.php

Ako se pronađe lažno pozitivno otkrivanje, datoteka se može oporaviti iz karantene pomoću:

 [root @ server1 maldetect -1.4.2] # maldet -restore /home/user2/public_html/form.php

Postoje i druge naprednije postavke za Maldetect, čak i da radi pomoću Clamav antivirus prisutni na mnogim poslužiteljima.

Je li vam se svidio i pomogao ovaj vodič?Autor možete nagraditi pritiskom na ovaj gumb kako biste mu dali pozitivan bod