„Linux“ kenkėjiškų programų aptikimas (LMD), skirtas apsaugoti „Linux“

Įvadas
Viena didžiausių serverių, pašto ir žiniatinklio paslaugų problemų yra kenkėjiškų programų atakos.

Vienas iš būdų išvengti šios problemos yra „Linux“ kenkėjiškų programų aptikimas (LMD), programa, kurią galima įdiegti bet kurioje „Linux“ sistemoje ir kuri užkirs kelią tokio tipo atakoms.

Montavimas
Manysime, kad turime SSH prieigą prie serverio, kurį naudojame diegimui atlikti, ir tai galima padaryti iš bet kurios operacinės sistemos, nes atliekame su serveriu susijusią užduotį.

1. Mes įvedame komandų konsolę SSH į savo serverį:

 ssh [email protected] [email protected] slaptažodis: ******* 

2. Prisijungę prie serverio, atsisiunčiame nemokamą „Linux“ kenkėjiškų programų aptikimo paketą mūsų serveryje:

 [root @ server1 ~] # wget www.rfxn.com/downloads/maldetect-current.tar.gz

3. Išpakuokite failą:

 [root @ server1 ~] # tar xfz maldetect-current.tar.gz

Su instrukcija ls mes galime patikrinti, kuriame kataloge jūs išpakavote failą, jis paprastai bus vadinamas „maldetect“ versija, šiuo atveju „maldetect-1.4.2“

4. Įeiname į katalogą ir pradedame diegti „Maldetect“. Čia yra diegimas, kuris bus matomas keliose komandose:

 [root @ server1 ~] # cd maldetect-1.4.2 [root @ server1 maldetect-1.4.2] # ./install.sh Linux kenkėjiškų programų aptikimas v1.4.1 © 2002-2013, R-fx Networks © 2013, Ryan MacDonald inotifywait © 2007, Rohan McGovern Ši programa gali būti laisvai platinama pagal GNU GPL diegimo sąlygas, užbaigtas į / usr / local / maldetect config file: /usr/local/maldetect/conf.maldet exec file: / usr / local / maldetect / maldet exec nuoroda: / usr / local / sbin / maldet exec link: / usr / local / sbin / lmd cron.daily: /etc/cron.daily/maldet maldet (10805): {sigup} atlieka parašo atnaujinimo tikrinimą… maldet ( 10805): {sigup} vietinis parašų rinkinys yra 201205035915 versija maldet (10805): {sigup} naujas parašų rinkinys (2013041816820) galimas maldet (10805): {sigup} atsisiųstas http://www.rfxn.com/downloads/md5. dat maldet (10805): {sigup} atsisiųsta http://www.rfxn.com/downloads/hex.dat maldet (10805): {sigup} atsisiųsta http://www.rfxn.com/downloads/rfxn.ndb maldet (10805): {sigup} atsisiųsta http://www.rfxn.com/downloads/rfxn.hdb maldet (10805): {kitas p} atsisiųsta http://www.rfxn.com/… aldet-clean.tgz maldet (10805): {sigup} parašų rinkinio atnaujinimas baigtas maldet (10805): {sigup} 11203 parašai (9335 MD5/1868 HEX) Tada mes atnaujinkite „maleare“ parašų duomenų bazę [root @ server1 ~] # maldet -update

Nustatymas
Komandų lange mes rašome žemiau naudodami pageidaujamą redaktorių vyresnysis brolis, vim arba tą, kurį dažnai naudojame:

 nano /usr/local/maldetect/conf.maldet

Nustatome, ar radusi kenkėjiškų programų ji apie tai įspės mus el. Paštu:

• 0 = išjungtas
• 1 = įjungta

Mes apibrėžiame paštą, kaip parodyta ekrano kopijoje:

 # [0 = išjungta, 1 = įgalinta] email_alert = 1

Mes taip pat nustatome, ar gauname tik įspėjimą ir perkeliame užkrėstą failą į karantiną, kad jo nebūtų galima vykdyti.

 # [0 = tik įspėjimas, 1 = perėjimas prie karantino ir įspėjimas] quar_hits = 0

Kaip nuskaityti

Priklausomai nuo serverio struktūros ir nuskaitymo domeno ar failo kelio.
Pasirinkimas -a rodo Visi nuskaitykite visus to katalogo failus.

 [root @ server1 maldetect -1.4.2] # maldet -a / home / user / public_html

Norėdami pamatyti paskutinę mūsų sukurtą ataskaitą, vykdysime:

 [root @ server1 maldetect -1.4.2] # maldet ataskaita

Žemiau pateikiamas kenkėjiškų programų ataskaitos pavyzdys, rastas nuskaitant visas serverio domenus, sąraše jis bus matomas Failų įvykių sąrašas kenkėjiškos programos pavadinimas, failas ir kodo eilutės, kurioje ji rasta, numeris, šiuo atveju buvo rasti 2 užkrėsti failai.

 [root @ server1 maldetect-1.4.2] # maldet --scan-all / home kenkėjiškų programų aptinkama serverio.mydomain.com nuskaitymo ataskaita: Nuskaitymo ID: 02233-0315.9516 LAIKAS: birželio 6 d. 07:02:44 +0300 PATH: / home * / * / public_html RANGE: 2 dienos IŠ VISO Bylų: 8406 IŠ VISO PASKYRIMŲ: 1 VISIŠKAI VALYTŲ: 0 FILE HIT SISTEMA: {HEX} php.cmdshell.unclassed.344: / home / user1 / public_html / images / upload / files / asphoto.php.pjpg.webp {HEX} php.nested.base64.513: /home/user2/public_html/formulario.php

Jei aptinkamas klaidingai teigiamas aptikimas, failą galima atkurti iš karantino:

 [root @ server1 maldetect -1.4.2] # maldet -restore /home/user2/public_html/form.php

Yra ir kitų sudėtingesnių nustatymų Netinkamai aptikti, net kad jis veiktų naudojant Antivirusinė programa Clamav yra daugelyje serverių.

Ar jums patiko ir padėjo ši pamoka?Galite apdovanoti autorių paspausdami šį mygtuką, kad suteiktumėte jam teigiamą tašką