So installieren und verwenden Sie Linux Malware Detect (LMD) mit ClamAV als Antiviren-Engine

Malware oder bösartige Software ist die Bezeichnung für jedes Programm, das darauf abzielt, den normalen Betrieb eines Computersystems zu stören. Obwohl die bekanntesten Formen von Malware Viren, Spyware und Adware sind, kann der Schaden, den sie anrichten wollen, vom Diebstahl privater Informationen bis hin zum Löschen persönlicher Daten und allem dazwischen reichen, während eine weitere klassische Verwendung von Malware darin besteht, das System zu kontrollieren, um es zum Starten von Botnets in einem (D)DoS-Angriff zu verwenden.

Mit anderen Worten, Sie können es sich nicht leisten, zu denken: "Ich muss mein(e) System(e) nicht gegen Malware sichern, da ich keine sensiblen oder wichtigen Daten speichere", denn das sind nicht die einzigen Ziele von Malware.

Aus diesem Grund erklären wir in diesem Artikel, wie Sie Linux Malware Detect (auch bekannt als MalDet oder kurz LMD) zusammen mit ClamAV (Antivirus Engine) in RHEL 8/7/6 (wobei x die Versionsnummer ist), CentOS 8/7/6 und Fedora 30-32 installieren und konfigurieren (die gleichen Anweisungen funktionieren auch unter Ubuntu und Debian Systeme).

Ein Malware-Scanner, der unter der GPL v2-Lizenz veröffentlicht wurde und speziell für Hosting-Umgebungen entwickelt wurde. Sie werden jedoch schnell feststellen, dass Sie von MalDet profitieren werden, unabhängig davon, in welcher Art von Umgebung Sie arbeiten.

Installation von LMD auf RHEL/CentOS und Fedora

LMD ist nicht in Online-Repositories verfügbar, sondern wird als Tarball von der Website des Projekts verteilt. Der Tarball, der den Quellcode der neuesten Version enthält, ist immer unter folgendem Link verfügbar, wo er mit dem Befehl wget heruntergeladen werden kann:

# wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

Dann müssen wir den Tarball entpacken und das Verzeichnis eingeben, in das der Inhalt extrahiert wurde. Da die aktuelle Version 1.6.4 ist, lautet das Verzeichnis maldetect-1.6.4. Dort finden wir das Installationsskript install.sh.

# tar -xvf maldetect-current.tar.gz
ls -l | grep maldetect
cd maldetect-1.6.4/
ls

Wenn wir das Installationsskript überprüfen, das nur 75 Zeilen lang ist (einschließlich Kommentare), werden wir feststellen, dass es nicht nur das Tool installiert, sondern auch eine Vorabprüfung durchführt, um festzustellen, ob das Standardinstallationsverzeichnis (/usr/local/maldetect) existiert. Ist dies nicht der Fall, erstellt das Skript das Installationsverzeichnis, bevor es fortfährt.

Nachdem die Installation abgeschlossen ist, wird schließlich eine tägliche Ausführung über cron geplant, indem das Skript cron.daily (siehe Abbildung oben) in /etc/cron.daily abgelegt wird. Dieses Hilfsskript löscht unter anderem alte temporäre Daten, sucht nach neuen LMD-Versionen und scannt die Standard-Datenverzeichnisse von Apache und Web Control Panels (z.B. CPanel, DirectAdmin, um nur einige zu nennen).

Führen Sie das Installationsskript jedoch wie gewohnt aus:

# ./install.sh

Konfigurieren von Linux Malware Detect

Die Konfiguration von LMD wird über /usr/local/maldetect/conf.maldet abgewickelt und alle Optionen sind gut kommentiert, um die Konfiguration zu einer recht einfachen Aufgabe zu machen. Falls Sie nicht weiterkommen, können Sie auch in /maldetect-1.6.4/README nachsehen, um weitere Anweisungen zu erhalten.

In der Konfigurationsdatei finden Sie die folgenden Abschnitte, die in eckige Klammern eingeschlossen sind:

E-MAIL-BENACHRICHTIGUNGEN
QUARANTÄNE-OPTIONEN
SCAN-OPTIONEN
STATISTISCHE ANALYSE
ÜBERWACHUNGSMÖGLICHKEITEN

Jeder dieser Abschnitte enthält mehrere Variablen, die angeben, wie sich LMD verhält und welche Funktionen verfügbar sind.

Legen Sie email_alert=1 fest, wenn Sie E-Mail-Benachrichtigungen über die Ergebnisse der Malware-Inspektion erhalten möchten. Der Kürze halber leiten wir E-Mails nur an lokale Systembenutzer weiter, aber Sie können auch andere Optionen in Betracht ziehen, z. B. das Senden von E-Mail-Benachrichtigungen nach draußen.
Legen Sie email_subj="Ihr Thema hier" und email_addr=username@localhost fest, wenn Sie zuvor email_alert=1 gesetzt haben.
Mit quar_hits, der Standard-Quarantäneaktion für Malware-Treffer (0=nur Alarm, 1=in Quarantäne verschieben & Alarm), teilen Sie LMD mit, was zu tun ist, wenn Malware erkannt wird.
quar_clean können Sie entscheiden, ob Sie zeichenfolgenbasierte Malware-Injektionen bereinigen möchten. Denken Sie daran, dass eine Zeichenfolgensignatur per Definition "eine zusammenhängende Bytesequenz ist, die potenziell mit vielen Varianten einer Malware-Familie übereinstimmen kann".
quar_susp können Sie mit der standardmäßigen Sperraktion für Benutzer mit Treffern ein Konto deaktivieren, dessen Dateien als Treffer identifiziert wurden.
clamav_scan=1 weist LMD an, zu versuchen, das Vorhandensein der ClamAV-Binärdatei zu erkennen und als Standard-Scanner-Engine zu verwenden. Dies führt zu einer bis zu viermal schnelleren Scanleistung und einer überlegenen Hex-Analyse. Diese Option verwendet nur ClamAV als Scanner-Engine, und LMD-Signaturen sind nach wie vor die Grundlage für die Erkennung von Bedrohungen.

Zusammenfassend sollten die Zeilen mit diesen Variablen in /usr/local/maldetect/conf.maldet wie folgt aussehen:

email_alert=1
email_addr=gacanepa@localhost
email_subj="Malware alerts for $HOSTNAME - $(date +%Y-%m-%d)"
quar_hits=1
quar_clean=1
quar_susp=1
clam_av=1

Installation von ClamAV auf RHEL/CentOS und Fedora

Um ClamAV zu installieren und die clamav_scan Einstellung zu nutzen, gehen Sie folgendermaßen vor:

Aktivieren Sie das EPEL-Repository.

# yum install epel-release

Dann gehen Sie wie folgt vor:


yum update && yum install clamd
apt update && apt-get install clamav clamav-daemon  [Ubuntu/Debian]

Hinweis: Dies sind nur die grundlegenden Anweisungen zur Installation von ClamAV, um es mit LMD zu integrieren. Wir werden nicht ins Detail gehen, was die ClamAV-Einstellungen betrifft, da LMD-Signaturen, wie bereits erwähnt, immer noch die Grundlage für die Erkennung und Bereinigung von Bedrohungen sind.

Testen von Linux Malware Detect

Jetzt ist es an der Zeit, unsere aktuelle LMD/ClamAV-Installation zu testen. Anstatt echte Malware zu verwenden, werden wir die EICAR-Testdateien verwenden, die auf der EICAR-Website zum Download zur Verfügung stehen.

# cd /var/www/html
wget http://www.eicar.org/download/eicar.com 
wget http://www.eicar.org/download/eicar.com.txt 
wget http://www.eicar.org/download/eicar_com.zip 
wget http://www.eicar.org/download/eicarcom2.zip

An dieser Stelle können Sie entweder warten, bis der nächste Cronjob ausgeführt wird, oder maldet manuell selbst ausführen. Wir entscheiden uns für die zweite Option:

# maldet --scan-all /var/www/

LMD akzeptiert auch Platzhalter, wenn Sie also nur einen bestimmten Dateityp scannen möchten (z. B. i.e. zip Dateien), können Sie dies tun:

# maldet --scan-all /var/www/*.zip

Wenn der Scanvorgang abgeschlossen ist, können Sie entweder die von LMD gesendete E-Mail überprüfen oder den Bericht wie folgt anzeigen:

# maldet --report 021015-1051.3559

Dabei ist 021015-1051.3559 die SCANID (die SCANID unterscheidet sich in Ihrem Fall geringfügig).

Wichtig: Bitte beachten Sie, dass LMD 5 Treffer gefunden hat, da die eicar.com Datei zweimal heruntergeladen wurde (was zu eicar.com und eicar.com.1 führte).

Wenn Sie den Quarantäneordner überprüfen (ich habe gerade eine der Dateien gelassen und den Rest gelöscht), sehen wir Folgendes:

# ls -l

Sie können dann alle Dateien in der Quarantäne wie folgt entfernen:

# rm -rf /usr/local/maldetect/quarantine/*

Für den Fall, dass

# maldet --clean SCANID

Erledigt die Arbeit aus irgendeinem Grund nicht. Im folgenden Screencast finden Sie eine Schritt-für-Schritt-Erläuterung des obigen Prozesses:

Abschließende Überlegungen

Da maldet in cron integriert werden muss, müssen Sie die folgenden Variablen in der crontab von root setzen (geben Sie crontab -e als root ein und drücken Sie die Eingabetaste), falls Sie feststellen, dass LMD täglich nicht korrekt läuft:

PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/
SHELL=/bin/bash

Auf diese Weise können Sie die erforderlichen Debuginformationen bereitstellen.

Schlussfolgerung

In diesem Artikel haben wir besprochen, wie Sie Linux Malware Detect zusammen mit ClamAV, einem leistungsstarken Verbündeten, installieren und konfigurieren. Mit Hilfe dieser 2 Tools sollte das Erkennen von Malware eine recht einfache Aufgabe sein.

Tun Sie sich jedoch selbst einen Gefallen und machen Sie sich mit der README-Datei vertraut, wie bereits erläutert, und Sie können sicher sein, dass Ihr System gut verwaltet und verwaltet wird.

Zögern Sie nicht, Ihre Kommentare oder Fragen über das untenstehende Formular zu hinterlassen.

Verweise

LMD-Homepage