introduction
L'un des plus gros problèmes auxquels sont exposés les serveurs, la messagerie et les services Web est la attaques de logiciels malveillants.
Une des méthodes pour éviter ce problème est Détection des logiciels malveillants Linux (LMD), une application qui peut être installée sur n'importe quel système Linux et empêchera ce type d'attaque.
Installation
Nous supposerons que nous avons un accès SSH au serveur que nous utilisons pour effectuer l'installation et cela peut être fait à partir de n'importe quel système d'exploitation puisque nous effectuons la tâche connectée au serveur.
1. Nous entrons dans notre console de commande par SSH sur notre serveur :
ssh [email protected] [email protected] mot de passe : *******2. Une fois connecté au serveur, nous téléchargeons le package Linux Malware Detect gratuit sur notre serveur :
[root @ server1 ~] # wget www.rfxn.com/downloads/maldetect-current.tar.gz3. Décompressez le fichier :
[root @ server1 ~] # tar xfz maldetect-current.tar.gzAvec instructions ls nous pouvons vérifier dans quel répertoire vous avez décompressé il sera généralement appelé comme la version de maldetect dans ce cas maldetect-1.4.2
4. Nous entrons dans le répertoire et procédons à l'installation de Maldetect. Voici une installation que l'on verra en quelques commandes :
[root @ server1 ~] # cd maldetect-1.4.2 [root @ server1 maldetect-1.4.2] # ./install.sh Linux Malware Detect v1.4.1 © 2002-2013, R-fx Networks © 2013, Ryan MacDonald inotifywait © 2007, Rohan McGovern Ce programme peut être librement redistribué selon les termes de l'installation GNU GPL terminée dans /usr/local/maldetect fichier de configuration : /usr/local/maldetect/conf.maldet fichier exec : /usr/local/maldetect/ lien exec maldet : / usr / local / sbin / lien exec maldet : / usr / local / sbin / lmd cron.daily : /etc/cron.daily/maldet maldet (10805) : {sigup} effectuant la vérification de la mise à jour de la signature… maldet ( 10805) : {sigup} jeu de signatures local est la version 201205035915 maldet (10805) : {sigup} nouveau jeu de signatures (2013041816820) disponible maldet (10805) : {sigup} téléchargé http://www.rfxn.com/downloads/md5. dat maldet (10805) : {sigup} téléchargé http://www.rfxn.com/downloads/hex.dat maldet (10805) : {sigup} téléchargé http://www.rfxn.com/downloads/rfxn.ndb maldet (10805) : {sigup} téléchargé http://www.rfxn.com/downloads/rfxn.hdb maldet (10805) : {suivant p} téléchargé http://www.rfxn.com/… aldet-clean.tgz maldet (10805) : {sigup} mise à jour du jeu de signatures terminée maldet (10805) : {sigup} 11203 signatures (9335 MD5 / 1868 HEX) faire une mise à jour de la base de données de signature maleare [root @ server1 ~] # maldet -update
Réglage
Dans la fenêtre de commande, nous écrivons ci-dessous en utilisant notre éditeur préféré grand frère, vigueur ou celui que nous utilisons souvent :
nano /usr/local/maldetect/conf.maldet
Nous déterminons si, lorsqu'il détecte un malware, il nous alertera par e-mail :
- 0 = désactivé
- 1 = activé
# [0 = désactivé, 1 = activé] email_alert = 1Nous définissons également si nous ne recevons qu'une alerte et déplaçons le fichier infecté en quarantaine afin qu'il ne puisse pas être exécuté.
# [0 = alerte uniquement, 1 = passer en quarantaine et alerte] quar_hits = 0
Comment numériser
Selon la structure du serveur et le chemin du domaine ou du fichier à analyser.
L'option -a indique Tous analyser tous les fichiers de ce répertoire.
[root @ server1 maldetect-1.4.2] # maldet -a / home / user / public_htmlPour voir le dernier rapport que nous avons généré, nous exécuterons :
[root @ server1 maldetect-1.4.2] # maldet -reportCi-dessous, nous montrons un exemple de rapport de malware trouvé dans une analyse de tous les domaines d'un serveur, dans la liste dans laquelle il sera vu Liste d'occurrences de fichiers le nom du malware, le fichier et le numéro de la ligne de code où il se trouve, dans ce cas 2 fichiers infectés ont été trouvés.
[root @ server1 maldetect-1.4.2] # maldet --scan-all / home malware detect scan report for server.mydomain.com: SCAN ID: 02233-0315.9516 HEURE: JUIN 6 07:02:44 +0300 CHEMIN: / home * / * / public_html PLAGE : 2 jours TOTAL DES FICHIERS : 8406 TOTAL DES ACCÈS : 1 TOTAL NETTOYÉ : 0 LISTE DES ACCUSÉS DE FICHIER : {HEX} php.cmdshell.unclassed.344 : / home / user1 / public_html / images / upload / files / asphoto.php.pjpg.webp {HEX} php.nested.base64.513 : /home/user2/public_html/formulario.phpSi une détection faussement positive est détectée, le fichier peut être récupéré de la quarantaine avec :
[root @ server1 maldetect-1.4.2] # maldet -restore /home/user2/public_html/form.phpIl existe d'autres paramètres plus avancés pour Mauvaise détection, même pour qu'il fonctionne en utilisant le Antivirus Clamav présent sur de nombreux serveurs. Avez-vous aimé et aidé ce tutoriel ?Vous pouvez récompenser l'auteur en appuyant sur ce bouton pour lui donner un point positif
