Linux Malware Detect (LMD) zur Sicherung von Linux

Einführung
Eines der größten Probleme, denen Server, Mail- und Webdienste ausgesetzt sind, sind die Malware-Angriffe.

Eine der Methoden, um dieses Problem zu vermeiden, ist Linux-Malware-Erkennung (LMD), eine Anwendung, die auf jedem Linux-System installiert werden kann und diese Art von Angriff verhindert.

Installation
Wir gehen davon aus, dass wir über SSH-Zugriff auf den Server verfügen, den wir zur Durchführung der Installation verwenden, und dies kann von jedem Betriebssystem aus erfolgen, da wir die mit dem Server verbundene Aufgabe ausführen.

1. Wir geben unsere Kommandokonsole per SSH auf unseren Server ein:

 ssh [email protected] [email protected] Passwort: ****** 

2. Sobald wir uns mit dem Server verbunden haben, laden wir die kostenloses Linux Malware Detect-Paket auf unserem Server:

 [root @ server1 ~] # wget www.rfxn.com/downloads/maldetect-current.tar.gz

3. Entpacken Sie die Datei:

 [root @ server1 ~] # tar xfz maldetect-current.tar.gz

Mit Anleitung ls wir können überprüfen, in welches Verzeichnis Sie entpackt haben, es wird in diesem Fall in der Regel als die Version von maldetect bezeichnet maldetect-1.4.2

4. Wir geben das Verzeichnis ein und fahren mit der Installation von Maldetect fort. Hier ist eine Installation, die in einigen Befehlen angezeigt wird:

 [root @ server1 ~] # cd maldetect-1.4.2 [root @ server1 maldetect-1.4.2] # ./install.sh Linux Malware Detect v1.4.1 © 2002-2013, R-fx Networks © 2013, Ryan MacDonald inotifywait © 2007, Rohan McGovern Dieses Programm darf unter den Bedingungen der GNU GPL-Installation frei weiterverteilt werden. maldet exec link: / usr / local / sbin / maldet exec link: / usr / local / sbin / lmd cron.daily: /etc/cron.daily/maldet maldet (10805): {sigup} führt eine Signaturaktualisierung durch… maldet ( 10805): {sigup} lokaler Signatursatz ist Version 201205035915 maldet (10805): {sigup} neuer Signatursatz (2013041816820) verfügbar maldet (10805): {sigup} heruntergeladen http://www.rfxn.com/downloads/md5. dat maldet (10805): {sigup} heruntergeladen http://www.rfxn.com/downloads/hex.dat maldet (10805): {sigup} heruntergeladen http://www.rfxn.com/downloads/rfxn.ndb maldet (10805): {sigup} heruntergeladen http://www.rfxn.com/downloads/rfxn.hdb maldet (10805): {next p} heruntergeladen http://www.rfxn.com/… aldet-clean.tgz maldet (10805): {sigup} Signatursatz-Update abgeschlossen maldet (10805): {sigup} 11203 Signaturen (9335 MD5 / 1868 HEX) Dann wir Führen Sie ein Update der Maleare-Signaturdatenbank durch [root @ server1 ~] # maldet -update

Einstellung
Im Befehlsfenster schreiben wir unten mit unserem bevorzugten Editor älterer Bruder, vim oder die, die wir oft verwenden:

 nano /usr/local/maldetect/conf.maldet

Wir stellen fest, ob es uns per E-Mail benachrichtigt, wenn es Malware findet:

• 0 = deaktiviert
• 1 = aktiviert

Und wir definieren die Mail, wie im Screenshot zu sehen:

 # [0 = deaktiviert, 1 = aktiviert] email_alert = 1

Wir definieren auch, ob wir nur eine Warnung erhalten und verschieben die infizierte Datei in Quarantäne, damit sie nicht ausgeführt werden kann.

 # [0 = nur Benachrichtigung, 1 = in Quarantäne & Benachrichtigung verschieben] quar_hits = 0

So scannen Sie

Abhängig von der Struktur des Servers und dem Pfad der zu scannenden Domäne oder Datei.
Die Option -a gibt an Alle scannen Sie alle Dateien in diesem Verzeichnis.

 [root @ server1 maldetect-1.4.2] # maldet -a / home / user / public_html

Um den letzten von uns erstellten Bericht anzuzeigen, führen wir Folgendes aus:

 [root @ server1 maldetect-1.4.2] # maldet -report

Unten zeigen wir ein Beispiel für einen Malware-Bericht, der bei einem Scan aller Domänen eines Servers gefunden wurde. In der Liste wird er angezeigt Datei-Trefferliste den Namen der Malware, die Datei und die Nummer der Codezeile, in der sie gefunden wurde, in diesem Fall wurden 2 infizierte Dateien gefunden.

 [root @ server1 maldetect-1.4.2] # maldet --scan-all / home Malware erkennt Scanbericht für server.mydomain.com: SCAN ID: 02233-0315.9516 ZEIT: 6. JUN 07:02:44 +0300 PFAD: / home * / * / public_html REICHWEITE: 2 Tage TOTAL FILES: 8406 TOTAL HITS: 1 TOTAL CLEANED: 0 FILE HIT LIST: {HEX} php.cmdshell.unclassed.344: / home / user1 / public_html / images / upload / files / asphoto.php.pjpg.webp {HEX} php.nested.base64.513: /home/user2/public_html/formulario.php

Wenn eine falsch positive Erkennung gefunden wird, kann die Datei aus der Quarantäne wiederhergestellt werden mit:

 [root @ server1 maldetect-1.4.2] # maldet -restore /home/user2/public_html/form.php

Es gibt andere erweiterte Einstellungen für Fehlerkennung, auch damit es funktioniert mit dem Clamav-Antivirus auf vielen Servern vorhanden.

Hat dir dieses Tutorial gefallen und geholfen?Sie können den Autor belohnen, indem Sie diesen Knopf drücken, um ihm einen positiven Punkt zu geben