5 Tools zum Scannen eines Linux-Servers auf Malware und Rootkits

Es gibt ständig ein konstantes Maß an Angriffen und Port-Scans auf Linux-Servern, während eine ordnungsgemäß konfigurierte Firewall und regelmäßige Sicherheitsupdates eine zusätzliche Schicht hinzufügen, um das System sicher zu halten, aber Sie sollten auch regelmäßig beobachten, ob jemand eindringt. Dies trägt auch dazu bei, dass Ihr Server frei von Programmen bleibt, die darauf abzielen, den normalen Betrieb zu stören.

Die in diesem Artikel vorgestellten Tools wurden für diese Sicherheitsscans erstellt und sind in der Lage, Viren, Malware, Rootkits und bösartige Verhaltensweisen zu identifizieren. Sie können diese Tools verwenden, um regelmäßige Systemscans durchzuführen, z. B. jede Nacht, und Berichte an Ihre E-Mail-Adresse zu senden.

1. Lynis – Sicherheitsüberprüfung und Rootkit-Scanner

Lynis ist ein kostenloses, leistungsstarkes und beliebtes Open-Source-Tool zur Sicherheitsüberprüfung und -prüfung für Unix/Linux-ähnliche Betriebssysteme. Es handelt sich um ein Tool zum Scannen und Erkennen von Schwachstellen, das Systeme auf Sicherheitsinformationen und -probleme, Dateiintegrität und Konfigurationsfehler scannt. Führt Firewall-Audits durch, überprüft installierte Software, Datei-/Verzeichnisberechtigungen und vieles mehr.

Wichtig ist, dass es nicht automatisch eine Systemhärtung durchführt, sondern lediglich Vorschläge anbietet, die es Ihnen ermöglichen, Ihren Server zu härten.

Wir werden die neueste Version von Lynis (d.h. 3.0.9) aus den Quellen installieren, indem wir die folgenden Befehle verwenden.

cd /opt/
sudo wget https://downloads.cisofy.com/lynis/lynis-3.0.9.tar.gz
sudo tar xvzf lynis-3.0.9.tar.gz
sudo mv lynis /usr/local/
sudo ln -s /usr/local/lynis/lynis /usr/local/bin/lynis

Jetzt können Sie Ihren Systemscan mit dem folgenden Befehl durchführen.

sudo lynis audit system

Um lynis automatisch jede Nacht ausführen zu lassen, fügen Sie den folgenden Cron-Eintrag hinzu, der nachts um 3 Uhr morgens ausgeführt wird und Berichte an Ihre E-Mail-Adresse sendet.

0 3 * * * /usr/local/bin/lynis --quick 2>&1 | mail -s "Lynis Reports of My Server" [email

2. Chkrootkit – Ein Linux-Rootkit-Scanner

Chkrootkit ist auch ein weiterer kostenloser Open-Source-Rootkit-Detektor, der lokal nach Anzeichen eines Rootkits auf Unix-ähnlichen Systemen sucht. Es hilft, versteckte Sicherheitslücken zu erkennen.

Das chkrootkit-Paket besteht aus einem Shell-Skript, das die Binärdateien des Systems auf Rootkit-Änderungen überprüft, und einer Reihe von Programmen, die verschiedene Sicherheitsprobleme überprüfen.

Das Tool chkrootkit kann mit dem folgenden Befehl auf Debian-basierten Systemen installiert werden.

sudo apt install chkrootkit

Auf RHEL-basierten Systemen müssen Sie es mit den folgenden Befehlen aus den Quellen installieren.

sudo yum update
sudo yum install wget gcc-c++ glibc-static
sudo wget -c ftp://ftp.chkrootkit.org/pub/seg/pac/chkrootkit.tar.gz
sudo tar –xzf chkrootkit.tar.gz
sudo mkdir /usr/local/chkrootkit
sudo mv chkrootkit-0.58b/* /usr/local/chkrootkit
cd /usr/local/chkrootkit
sudo make sense

Um Ihren Server mit Chkrootkit zu überprüfen, führen Sie den folgenden Befehl aus.

sudo chkrootkit 
OR
sudo /usr/local/chkrootkit/chkrootkit

Sobald es ausgeführt wird, beginnt es, Ihr System auf bekannte Malware und Rootkits zu überprüfen, und nachdem der Vorgang abgeschlossen ist, können Sie die Zusammenfassung des Berichts sehen.

Um Chkrootkit automatisch jede Nacht auszuführen, fügen Sie den folgenden Cron-Eintrag hinzu, der nachts um 3 Uhr morgens ausgeführt wird und Berichte an Ihre E-Mail-Adresse sendet.

0 3 * * * /usr/sbin/chkrootkit 2>&1 | mail -s "chkrootkit Reports of My Server" [email

3. Rkhunter – Ein Linux-Rootkit-Scanner

RootKit Hunter ist ein kostenloses, quelloffenes, leistungsstarkes, einfach zu bedienendes und bekanntes Tool zum Scannen von Hintertüren, Rootkits und lokalen Exploits auf POSIX-kompatiblen Systemen wie Linux.

Wie der Name schon sagt, handelt es sich um einen Rootkit-Hunter, ein Sicherheitsüberwachungs- und Analysetool, das ein System gründlich inspiziert, um versteckte Sicherheitslücken zu erkennen.

Das rkhunter-Tool kann mit dem folgenden Befehl auf Ubuntu- und RHEL-basierten Systemen installiert werden.

sudo apt install rkhunter   [On Debian systems]
sudo yum install rkhunter   [On RHEL systems]

Um Ihren Server mit rkhunter zu überprüfen, führen Sie den folgenden Befehl aus.

sudo rkhunter -c

Um rkhunter automatisch jede Nacht auszuführen, fügen Sie den folgenden Cron-Eintrag hinzu, der nachts um 3 Uhr morgens ausgeführt wird und Berichte an Ihre E-Mail-Adresse sendet.

0 3 * * * /usr/sbin/rkhunter -c 2>&1 | mail -s "rkhunter Reports of My Server" [email

4. ClamAV – Antivirus-Software-Toolkit

ClamAV ist eine vielseitige, beliebte und plattformübergreifende Open-Source-Antiviren-Engine zur Erkennung von Viren, Malware, Trojanern und anderen Schadprogrammen auf einem Computer.

Es ist eines der besten kostenlosen Antivirenprogramme für Linux und der Open-Source-Standard für Mail-Gateway-Scan-Software, der fast alle Mail-Dateiformate unterstützt.

Es unterstützt Updates von Virendatenbanken auf allen Systemen und On-Access-Scans nur unter Linux. Darüber hinaus kann es in Archiven und komprimierten Dateien scannen und unterstützt unter anderem Formate wie Zip, Tar, 7Zip und Rar.

Das ClamAV kann mit dem folgenden Befehl auf Debian-basierten Systemen installiert werden.

sudo apt install clamav

Das ClamAV kann mit dem folgenden Befehl auf RHEL-basierten Systemen installiert werden.

sudo yum -y update
sudo -y install clamav

Nach der Installation können Sie die Signaturen aktualisieren und ein Verzeichnis mit den folgenden Befehlen scannen.

# freshclam
sudo clamscan -r -i DIRECTORY

Dabei ist VERZEICHNIS der Speicherort für die Überprüfung. Die Optionen -r bedeuten rekursives Scannen und -i bedeutet, dass nur infizierte Dateien angezeigt werden.

5. LMD – Linux-Malware-Erkennung

LMD (Linux Malware Detect) ist ein leistungsstarker Open-Source-Malware-Scanner mit vollem Funktionsumfang für Linux, der speziell für gemeinsam genutzte gehostete Umgebungen entwickelt wurde und aber zur Erkennung von Bedrohungen auf jedem Linux-System verwendet werden kann. Es kann für eine bessere Leistung in die ClamAV-Scanner-Engine integriert werden.

Es bietet ein vollständiges Berichtssystem zur Anzeige aktueller und früherer Scan-Ergebnisse, unterstützt die E-Mail-Alarmberichterstattung nach jeder Scan-Ausführung und viele andere nützliche Funktionen.

Für die Installation und Verwendung von LMD lesen Sie unseren Artikel Wie man LMD mit ClamAV als Antiviren-Engine unter Linux installiert.