ວິທີການຕິດຕັ້ງແລະໃຊ້ Linux Malware Detect (LMD) ກັບ ClamAV ເປັນ Antivirus Engine

Malware ຫຼືຊອບແວທີ່ເປັນອັນຕະລາຍແມ່ນການອອກແບບໃຫ້ກັບໂປແກຼມໃດ ໜຶ່ງ ທີ່ມີຈຸດປະສົງໃນການລົບກວນການເຮັດວຽກປົກກະຕິຂອງລະບົບຄອມພິວເຕີ້. ເຖິງແມ່ນວ່າຮູບແບບທີ່ມີຊື່ສຽງຫຼາຍທີ່ສຸດຂອງ malware ແມ່ນໄວຣັດ, spyware, ແລະ adware, ອັນຕະລາຍທີ່ພວກເຂົາຕັ້ງໃຈຈະກໍ່ໃຫ້ເກີດອາດຈະເກີດຂື້ນຈາກການລັກເອົາຂໍ້ມູນສ່ວນຕົວໄປຫາການລຶບຂໍ້ມູນສ່ວນຕົວແລະທຸກຢ່າງທີ່ຢູ່ໃນລະຫວ່າງການ ນຳ ໃຊ້ malware ທຳ ມະດາອີກອັນ ໜຶ່ງ ແມ່ນການຄວບຄຸມ ລະບົບເພື່ອທີ່ຈະໃຊ້ມັນເພື່ອເປີດໃຊ້ botnet ໃນການໂຈມຕີ (D) DoS.

ເວົ້າອີກຢ່າງ ໜຶ່ງ, ທ່ານບໍ່ສາມາດຄິດໄດ້ວ່າ, "ຂ້ອຍບໍ່ ຈຳ ເປັນຕ້ອງຮັບປະກັນລະບົບຂອງຂ້ອຍຕໍ່ກັບ malware ເພາະຂ້ອຍບໍ່ໄດ້ເກັບຂໍ້ມູນທີ່ ສຳ ຄັນຫຼືຂໍ້ມູນທີ່ ສຳ ຄັນ", ເພາະວ່າມັນບໍ່ແມ່ນພຽງແຕ່ເປົ້າ ໝາຍ ຂອງມັນແວເທົ່ານັ້ນ.

ດ້ວຍເຫດຜົນດັ່ງກ່າວ, ໃນບົດຄວາມນີ້, ພວກເຮົາຈະອະທິບາຍວິທີການຕິດຕັ້ງແລະ ກຳ ຫນົດຄ່າ Linux Malware Detect (aka MalDet ຫຼື LMD ສັ້ນ) ພ້ອມກັບ ClamAV (Antivirus Engine) ໃນ RHEL 8/7/6 (ບ່ອນ x ແມ່ນຕົວເລກລຸ້ນ), CentOS 8/7/6 ແລະ Fedora 30-32 (ຄຳ ແນະ ນຳ ດຽວກັນນີ້ຍັງເຮັດວຽກໃນລະບົບ Ubuntu ແລະ Debian) .

ເຄື່ອງສະແກນເນີທີ່ຖືກປ່ອຍອອກພາຍໃຕ້ໃບອະນຸຍາດ GPL v2, ຖືກອອກແບບເປັນພິເສດ ສຳ ລັບສະພາບແວດລ້ອມການເປັນເຈົ້າພາບ. ເຖິງຢ່າງໃດກໍ່ຕາມ, ທ່ານຈະໄດ້ຮັບຮູ້ໂດຍໄວວ່າທ່ານຈະໄດ້ຮັບຜົນປະໂຫຍດຈາກ MalDet ບໍ່ວ່າທ່ານຈະເຮັດວຽກສະພາບແວດລ້ອມແບບໃດ.

ຕິດຕັ້ງ LMD ໃນ RHEL/CentOS ແລະ Fedora

LMD ບໍ່ມີຢູ່ໃນຫ້ອງເກັບຂໍ້ມູນ online ແຕ່ມັນຖືກແຈກຢາຍເປັນ tarball ຈາກເວບໄຊທ໌ຂອງໂຄງການ. ຕາຕະລາງທີ່ບັນຈຸລະຫັດແຫຼ່ງຂອງເວີຊັນລ້າສຸດແມ່ນມີຢູ່ທີ່ລິ້ງຕໍ່ໄປນີ້, ບ່ອນທີ່ມັນສາມາດດາວໂຫລດໄດ້ດ້ວຍ ຄຳ ສັ່ງ wget:

# wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

ຫຼັງຈາກນັ້ນ, ພວກເຮົາ ຈຳ ເປັນຕ້ອງຖີ້ມບານແລະໃສ່ໃນບ່ອນທີ່ເນື້ອຫາຂອງມັນຖືກສະກັດ. ເນື່ອງຈາກວ່າຮຸ່ນປັດຈຸບັນແມ່ນ 1.6.4 , ລາຍຊື່ໄດເລກະທໍລີແມ່ນ maldetect-1.6.4 . ຢູ່ທີ່ນັ້ນພວກເຮົາຈະເຫັນສະຄິບຕິດຕັ້ງ, install.sh .

# tar -xvf maldetect-current.tar.gz
# ls -l | grep maldetect
# cd maldetect-1.6.4/
# ls

ຖ້າພວກເຮົາກວດເບິ່ງສະຄິບຕິດຕັ້ງ, ເຊິ່ງມີຄວາມຍາວພຽງແຕ່ 75 ເສັ້ນ (ລວມທັງ ຄຳ ເຫັນ), ພວກເຮົາຈະເຫັນວ່າມັນບໍ່ພຽງແຕ່ຕິດຕັ້ງເຄື່ອງມືເທົ່ານັ້ນແຕ່ຍັງ ດຳ ເນີນການກວດສອບລ່ວງ ໜ້າ ເພື່ອເບິ່ງວ່າໄດເລກະທໍລີຕິດຕັ້ງແບບເລີ່ມຕົ້ນ ( ມີຢູ່ແລ້ວ /usr/local/maldetect ). ຖ້າບໍ່, ສະຄິບຈະສ້າງໄດເລກະທໍລີຕິດຕັ້ງກ່ອນທີ່ຈະ ດຳ ເນີນການຕໍ່ໄປ.

ສຸດທ້າຍ, ຫລັງຈາກການຕິດຕັ້ງ ສຳ ເລັດແລ້ວ, ການ ດຳ ເນີນການປະ ຈຳ ວັນຜ່ານ cron ແມ່ນ ກຳ ນົດໂດຍການຂຽນອັກສອນ cron.daily (ອ້າງອີງໃສ່ຮູບຂ້າງເທິງ) ໃສ່ /etc/cron.daily . ຕົວຊ່ວຍຂຽນນີ້ຈະ, ໃນບັນດາສິ່ງອື່ນໆ, ຈະອະນາໄມຂໍ້ມູນຊົ່ວຄາວເກົ່າ, ກວດເບິ່ງການປ່ອຍ LMD ໃໝ່, ແລະສະແກນແຜງຄວບຄຸມ Apache ແລະເວັບຄວບຄຸມເວັບ (i. e.

ທີ່ຖືກກ່າວເຖິງ, ດຳ ເນີນການຕິດຕັ້ງສະຄຣິບຕາມປົກກະຕິ:

# ./install.sh

ການຕັ້ງຄ່າ Linux Malware Detect

ການຕັ້ງຄ່າຂອງ LMD ແມ່ນຖືກຈັດການໂດຍຜ່ານ /usr/local/maldetect/conf.maldet ແລະທາງເລືອກທັງ ໝົດ ແມ່ນມີ ຄຳ ເຫັນດີທີ່ຈະເຮັດໃຫ້ການຕັ້ງຄ່າເປັນວຽກທີ່ງ່າຍກວ່າ. ໃນກໍລະນີທີ່ທ່ານຕິດຢູ່, ທ່ານຍັງສາມາດອ້າງອີງໃສ່ /maldetect-1.6.4/README ສຳ ລັບ ຄຳ ແນະ ນຳ ເພີ່ມເຕີມ.

ໃນເອກະສານການຕັ້ງຄ່າທ່ານຈະພົບເຫັນພາກສ່ວນຕໍ່ໄປນີ້, ທີ່ຢູ່ໃນວົງເລັບມົນທົນ:

<

  • ອີເມວຕ່າງໆ
  • ທາງເລືອກ QUARANTINE
  • ທາງເລືອກ SCAN
  • ການວິເຄາະທາງສະຖິຕິ
  • ທາງເລືອກໃນການຕິດຕາມກວດກາ

    • ແຕ່ລະພາກສ່ວນເຫຼົ່ານີ້ມີຫລາຍຕົວແປທີ່ສະແດງເຖິງວິທີ LMD ຈະປະຕິບັດຕົວແລະມີຄຸນລັກສະນະຫຍັງແດ່.

    <

  • ກຳ ນົດ email_alert = 1 ຖ້າທ່ານຕ້ອງການຮັບແຈ້ງການອີເມວກ່ຽວກັບຜົນການກວດກາ malware. ເພື່ອຈຸດປະສົງຂອງ brevity, ພວກເຮົາຈະສົ່ງຕໍ່ຈົດ ໝາຍ ໃຫ້ຜູ້ໃຊ້ລະບົບທ້ອງຖິ່ນເທົ່ານັ້ນ, ແຕ່ທ່ານສາມາດຄົ້ນຫາທາງເລືອກອື່ນເຊັ່ນການສົ່ງການແຈ້ງເຕືອນທາງອີເມວໄປທາງນອກເຊັ່ນດຽວກັນ.
  • ກຳ ນົດ email_subj = "ຫົວຂໍ້ຂອງທ່ານທີ່ນີ້" ແລະ [ອີເມວປ້ອງກັນ] ຖ້າທ່ານເຄີຍຕັ້ງ email_alert = 1.
  • ດ້ວຍ quar_hits , ການ ດຳ ເນີນການກັກກັນໃນຕອນຕົ້ນ ສຳ ລັບການເຂົ້າຊົມຂອງ malware (0 = ແຈ້ງເຕືອນເທົ່ານັ້ນ, 1 = ຍ້າຍໄປກັກກັນແລະແຈ້ງເຕືອນ) ທ່ານຈະບອກ LMD ວ່າຈະເຮັດຫຍັງເມື່ອຖືກກວດພົບ malware.
  • quar_clean ຈະຊ່ວຍໃຫ້ທ່ານຕັດສິນໃຈວ່າທ່ານຕ້ອງການ ທຳ ຄວາມສະອາດການສັກຢາ malware ທີ່ໃຊ້ສາຍຫລືບໍ່. ຈົ່ງຈື່ໄວ້ວ່າລາຍເຊັນຂອງສາຍສະຕິງແມ່ນ, ໂດຍ ຄຳ ນິຍາມ, "ລຳ ດັບໄບຕ໌ທີ່ຕິດຕໍ່ກັນເຊິ່ງອາດຈະສາມາດກົງກັບຫຼາຍລຸ້ນຂອງຄອບຄົວມັນແວ".
  • quar_susp , ການກະ ທຳ ຊົ່ວຄາວ ສຳ ລັບຜູ້ໃຊ້ທີ່ມີການເຂົ້າຊົມ, ຈະຊ່ວຍໃຫ້ທ່ານສາມາດປິດບັນຊີທີ່ເອກະສານທີ່ເປັນເຈົ້າຂອງໄດ້ຖືກລະບຸວ່າເປັນການເຂົ້າຊົມ.
  • clamav_scan = 1 ຈະບອກ LMD ໃຫ້ພະຍາຍາມທີ່ຈະກວດພົບການມີຢູ່ຂອງຖານຂໍ້ມູນ ClamAV ແລະໃຊ້ເປັນເຄື່ອງຈັກສະແກນສະແກນແບບເລີ່ມຕົ້ນ. ນີ້ຈະໃຫ້ຜົນໄດ້ຮັບໄວກວ່າ ໄວເຖິງ 4 ເທົ່າແລະມີການວິເຄາະ hex ດີກວ່າ. ທາງເລືອກນີ້ໃຊ້ ClamAV ເປັນເຄື່ອງຈັກສະແກນ, ແລະລາຍເຊັນ LMD ຍັງເປັນພື້ນຖານໃນການກວດສອບໄພຄຸກຄາມ.

    • ການສະຫຼຸບ, ບັນດາສາຍທີ່ມີຕົວປ່ຽນແປງເຫຼົ່ານີ້ຄວນຈະມີລັກສະນະດັ່ງຕໍ່ໄປນີ້ໃນ /usr/local/maldetect/conf.maldet :

    email_alert=1
[email 
email_subj="Malware alerts for $HOSTNAME - $(date +%Y-%m-%d)"
quar_hits=1
quar_clean=1
quar_susp=1
clam_av=1

    ຕິດຕັ້ງ ClamAV ໃນ RHEL/CentOS ແລະ Fedora

    ການຕິດຕັ້ງ ClamAV ເພື່ອ ນຳ ໃຊ້ປະໂຫຍດຈາກການຕັ້ງຄ່າ clamav_scan , ໃຫ້ເຮັດຕາມຂັ້ນຕອນເຫຼົ່ານີ້:

    ເປີດໃຊ້ຫ້ອງເກັບ EPEL.

    # yum install epel-release

    ຫຼັງຈາກນັ້ນ, ເຮັດ:

    # yum update && yum install clamd
# apt update && apt-get install clamav clamav-daemon  [Ubuntu/Debian]

    ໝາຍ ເຫດ: ສິ່ງເຫຼົ່ານີ້ແມ່ນພຽງແຕ່ ຄຳ ແນະ ນຳ ພື້ນຖານໃນການຕິດຕັ້ງ ClamAV ເພື່ອເຊື່ອມໂຍງກັບ LMD. ພວກເຮົາຈະບໍ່ເຂົ້າໄປໃນລາຍລະອຽດເທົ່າທີ່ການຕັ້ງຄ່າ ClamAV ມີຄວາມເປັນຫ່ວງນັບຕັ້ງແຕ່ດັ່ງທີ່ພວກເຮົາເວົ້າກ່ອນ ໜ້າ ນີ້, ລາຍເຊັນ LMD ຍັງເປັນພື້ນຖານ ສຳ ລັບການກວດສອບແລະ ທຳ ຄວາມສະອາດໄພຂົ່ມຂູ່.

    ກວດສອບ Linux Malware ກວດພົບ

    ດຽວນີ້ເຖິງເວລາແລ້ວທີ່ຈະທົດສອບການຕິດຕັ້ງ LMD / ClamAV ທີ່ຜ່ານມາຂອງພວກເຮົາ. ແທນທີ່ຈະໃຊ້ Malware ທີ່ແທ້ຈິງ, ພວກເຮົາຈະໃຊ້ເອກະສານທົດສອບ EICAR, ເຊິ່ງສາມາດດາວໂຫລດໄດ້ຈາກເວບໄຊທ໌ EICAR.

    # cd /var/www/html
# wget http://www.eicar.org/download/eicar.com 
# wget http://www.eicar.org/download/eicar.com.txt 
# wget http://www.eicar.org/download/eicar_com.zip 
# wget http://www.eicar.org/download/eicarcom2.zip

    ໃນຈຸດນີ້, ທ່ານສາມາດລໍຖ້າວຽກ cron ຕໍ່ໄປເພື່ອ ດຳ ເນີນການຫຼືປະຕິບັດ maldet ດ້ວຍຕົນເອງ. ພວກເຮົາຈະໄປກັບທາງເລືອກທີສອງ:

    # maldet --scan-all /var/www/

    LMD ຍັງຍອມຮັບບັດຕົວແທນ, ສະນັ້ນຖ້າທ່ານຕ້ອງການສະແກນເອກະສານປະເພດໃດ ໜຶ່ງ ເທົ່ານັ້ນ, (ຕົວຢ່າງເຊັ່ນໄຟລ໌ຫັດໄປສະນີ, ທ່ານສາມາດເຮັດໄດ້:

    # maldet --scan-all /var/www/*.zip

    ເມື່ອການສະແກນ ສຳ ເລັດແລ້ວ, ທ່ານສາມາດກວດເບິ່ງອີເມວທີ່ LMD ສົ່ງຫຼືເບິ່ງບົດລາຍງານດ້ວຍ:

    # maldet --report 021015-1051.3559

    ບ່ອນທີ່ 021015-1051.3559 ແມ່ນ SCANID (SCANID ຈະແຕກຕ່າງກັນເລັກນ້ອຍໃນກໍລະນີຂອງທ່ານ).

    ສິ່ງ ສຳ ຄັນ: ກະລຸນາຮັບຊາບວ່າ LMD ພົບວ່າມີ 5 ກົດນັບຕັ້ງແຕ່ເອກະສານ eicar.com ໄດ້ຖືກດາວໂຫຼດສອງຄັ້ງ (ດັ່ງນັ້ນຜົນອອກມາໃນ eicar.com ແລະ eicar.com.1).

    ຖ້າທ່ານກວດເບິ່ງໂຟເດີທີ່ກັກກັນ (ຂ້າພະເຈົ້າພຽງແຕ່ເອົາ ໜຶ່ງ ເອກະສານແລະລຶບສ່ວນທີ່ເຫຼືອ), ພວກເຮົາຈະເຫັນດັ່ງຕໍ່ໄປນີ້:

    # ls -l

    ຈາກນັ້ນທ່ານສາມາດຖອດໄຟລ໌ທີ່ກັກກັນທັງ ໝົດ ອອກດ້ວຍ:

    # rm -rf /usr/local/maldetect/quarantine/*

    ໃນກໍລະນີດັ່ງກ່າວ,

    # maldet --clean SCANID

    ບໍ່ໄດ້ເຮັດວຽກ ສຳ ເລັດຍ້ອນເຫດຜົນໃດ ໜຶ່ງ. ທ່ານອາດຈະອ້າງເຖິງ ໜ້າ ຈໍດັ່ງຕໍ່ໄປນີ້ ສຳ ລັບການອະທິບາຍເປັນແຕ່ລະບາດກ້າວຂອງຂະບວນການຂ້າງເທິງ:

    ເນື່ອງຈາກ maldet ຈຳ ເປັນຕ້ອງໄດ້ປະສົມປະສານກັບ cron , ທ່ານ ຈຳ ເປັນຕ້ອງ ກຳ ນົດຕົວແປດັ່ງຕໍ່ໄປນີ້ໃນ crontab ຂອງ root (ພິມ crontab -e ເປັນຮາກແລະກົດປຸ່ມ ປ້ອນ ທີ່ຢູ່) ໃນກໍລະນີທີ່ທ່ານສັງເກດເຫັນວ່າ LMD ບໍ່ໄດ້ເຮັດວຽກຢ່າງຖືກຕ້ອງໃນແຕ່ລະມື້:

    PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/
SHELL=/bin/bash

    ນີ້ຈະຊ່ວຍໃຫ້ຂໍ້ມູນການແກ້ໄຂທີ່ ຈຳ ເປັນ.

    ສະຫຼຸບ

    ໃນບົດຂຽນນີ້, ພວກເຮົາໄດ້ປຶກສາຫາລືກ່ຽວກັບວິທີຕິດຕັ້ງແລະ ກຳ ຫນົດ Linux Malware Detect ພ້ອມກັບ ClamAV , ເຊິ່ງເປັນພັນທະມິດທີ່ມີປະສິດທິພາບ. ດ້ວຍການຊ່ວຍເຫຼືອຂອງ 2 ເຄື່ອງມືດັ່ງກ່າວ, ການກວດພົບ malware ຄວນເປັນວຽກທີ່ງ່າຍກວ່າ.

    ເຖິງຢ່າງໃດກໍ່ຕາມ, ທ່ານຄວນເອົາໃຈໃສ່ແລະຄຸ້ນເຄີຍກັບເອກະສານ README ດັ່ງທີ່ໄດ້ອະທິບາຍໄວ້ກ່ອນ ໜ້າ ນີ້, ແລະທ່ານຈະສາມາດ ໝັ້ນ ໃຈໄດ້ວ່າລະບົບຂອງທ່ານໄດ້ຖືກບັນຊີແລະຄຸ້ມຄອງເປັນຢ່າງດີ.

    ຢ່າລັງເລທີ່ຈະອອກ ຄຳ ເຫັນຫລື ຄຳ ຖາມຂອງທ່ານ, ຖ້າມີ, ນຳ ໃຊ້ແບບຟອມລຸ່ມນີ້.

    ລິ້ງອ້າງອີງ

    ໜ້າ ທຳ ອິດຂອງ LMD