Giới thiệu
Linux Malware Detect là công cụ phát hiện và quét mã độc cho GNU/Linux, được thiết kế đặc biệt cho môi trường shared hosting. Công cụ phát hành theo giấy phép GNU GPLv2, hỗ trợ cài trên cPanel WHM và GNU/Linux, chạy song song với các phần mềm phát hiện khác như ClamAV.
ClamAV là giải pháp diệt virus mã nguồn mở để phát hiện trojan, mã độc, virus và các phần mềm độc hại khác, hỗ trợ nhiều nền tảng gồm Windows, MacOS và GNU/Linux.
Hướng dẫn này giải thích cách cài LMD và Clam AntiVirus trên máy chủ CentOS 7.
Bắt đầu – Repository EPEL và Mailx
Trước hết, cài repository EPEL và mailx. Mailx là hệ thống xử lý thư dựa trên Berkeley Mail 8.1, có các tính năng nâng cao khi dùng tương tác, như lưu đệm và làm việc ngắt kết nối với IMAP, phân luồng thư, chấm điểm và lọc thư. Nó cũng dùng được như ngôn ngữ xử lý thư hàng loạt, cả gửi lẫn nhận.
Trước tiên, cài EPEL:
root@techshare.vn [~]# yum install epel-release
sau đó cài Mailx:
root@techshare.vn [~]# yum install mailx
Trong kịch bản này, LMD sẽ dùng Mailx để gửi báo cáo quét tới địa chỉ email của bạn.
Cài đặt LMD
Gói này không có trong CentOS hay EPEL, nên cần cài thủ công.
Tải LMD về và giải nén:
root@techshare.vn [~]# wget http://www.rfxn.com/downloads/maldetect-current.tar.gz root@techshare.vn [~]# tar -xzvf maldetect-current.tar.gz
Với quyền root, chạy script cài đặt install.sh có trong thư mục vừa giải nén:
root@techshare.vn [~]# cd maldetect-x.x root@techshare.vn [~]# ./install.sh
Tiếp theo, tạo liên kết tới lệnh maldet trong /bin:
root@techshare.vn [~]# ln -s /usr/local/maldetect/maldet /bin/maldet
# hash -r
Cấu hình LMD
LMD đã được cài vào /usr/local/maldet/. Trong thư mục này có tệp cấu hình – chúng ta sẽ sửa nó:
root@techshare.vn [~]# $EDITOR /usr/local/maldetect/conf.maldet
Bật cảnh báo qua email bằng cách đổi giá trị thành 1 ở dòng 16.
email_alert="1"
Sau đó tìm dòng địa chỉ email và sửa như sau:
email_addr="root@techshare.vn" ClamAV clamscan binary will be used as default scan engine; that's because it provides a high-performance scan on large file sets. To allow this, search and edit following line:
scan_clamscan="1"
Tiếp theo, có thể bật cách ly (quarantine) để chuyển mã độc vào khu cách ly trong quá trình quét. Để làm vậy, sửa dòng sau:
quarantine_hits="1"
Tiếp theo, bật làm sạch các mã độc bị chèn (clean based malware injections) bằng cách sửa:
quarantine_clean="1"
Vậy là xong phần cấu hình LMD.
Cài đặt ClamAV
Giờ LMD đã được cài và cấu hình đúng, hãy cài Clam AntiVirus để có kết quả quét tốt nhất. ClamAV có trong repository EPEL.
Vì vậy, dùng yum:
root@techshare.vn [~]#yum install clamav clamav-devel
Sau khi cài ClamAV, cập nhật cơ sở dữ liệu virus của ClamAV bằng freshclam:
root@techshare.vn [~]# freshclam
Kiểm tra LMD và ClamAV
Giờ có thể thử LMD bằng một lần quét thủ công. Để làm vậy, chạy maldet. Với lệnh này, quét /var/www/html/.
Trong thư mục web root, tải một số mẫu mã độc bằng wget:
root@techshare.vn [~]# cd /var/www/html root@techshare.vn [~]# wget http://www.eicar.org/download/eicar.com.txt root@techshare.vn [~]# wget http://www.eicar.org/download/eicar_com.zip root@techshare.vn [~]# wget http://www.eicar.org/download/eicarcom2.zip
Tiếp theo, như đã nói, có thể quét thư mục web root bằng maldet:
root@techshare.vn [~]# maldet -a /var/www/html
Trong quá trình này, có thể thấy LMD dùng engine quét của ClamAV: nó sẽ tìm thấy ba mã độc.
Xem báo cáo bằng lệnh sau:
root@techshare.vn [~]# maldet --report SCANID
SCANID là giá trị số có trong kết quả của Maldet.
Tiếp theo, kiểm tra xem có email chứa báo cáo không:
root@techshare.vn [~]# tail -f /var/mail/root
Nếu mọi thứ được cấu hình đúng, email đó sẽ chứa mọi thông tin cần thiết.
Cũng có thể lấy danh sách mọi báo cáo:
root@techshare.vn [~]# maldet -e list
Hoặc “lọc” các tệp cần quét. Ví dụ, để quét các tệp được sửa trong 10 ngày gần nhất:
root@techshare.vn [~]# maldet -r /var/www/html 10
Để biết thêm, chỉ cần gọi trợ giúp bằng:
root@techshare.vn [~]# maldet --help
lệnh này liệt kê mọi tùy chọn LMD hỗ trợ.
Vậy là xong! Đây là một cách tuyệt vời để bảo vệ web server trên hệ thống GNU/Linux khỏi lây nhiễm.
