Linux Malware Detect integravimas DirectAdmin serveryje

IV_RomanL

Neretai serveriuose kuriuose talpinama dešimtys svetainių paremtų turinio valdymo sistemomis įvyksta įsilaužimai dėl laiku neatliktų atnaujinimų ar nekorektiško programinio kodo saugumo spragų.

Pateikiame pamoką, kurios dėka jūsų serveryje periodiškai bus tikrinamas svetainių failų turinys ir ieškoma galimai kenkėjiško kodo intarpų. Šiai užduočiai įgyvendinti panaudosime Linux Malware Detect (LMD) įrankį http://www.rfxn.com/projects/linux-malware-detect/.

1. Įdiegiame LMD:

cd /usr/local/src
wget http://www.rfxn.com/downloads/maldetect-current.tar.gz
tar -zxvf maldetect-current.tar.gz
cd maldetect-*
./install.sh

Diegimui pasibaigus, rezultatas turėtų būti panašus į šį:

Linux Malware Detect v1.4.2
(C) 2002-2013, R-fx Networks <proj@r-fx.org>
(C) 2013, Ryan MacDonald <ryan@r-fx.org>
inotifywait (C) 2007, Rohan McGovern <rohan@mcgovern.id.au>
This program may be freely redistributed under the terms of the GNU GPL

installation completed to /usr/local/maldetect
config file: /usr/local/maldetect/conf.maldet
exec file: /usr/local/maldetect/maldet
exec link: /usr/local/sbin/maldet
exec link: /usr/local/sbin/lmd
cron.daily: /etc/cron.daily/maldet

maldet(1438): {sigup} performing signature update check...
maldet(1438): {sigup} local signature set is version 201205035915
maldet(1438): {sigup} new signature set (2015020518877) available
maldet(1438): {sigup} downloaded http://cdn.rfxn.com/downloads/md5.dat
maldet(1438): {sigup} downloaded http://cdn.rfxn.com/downloads/hex.dat
maldet(1438): {sigup} downloaded http://cdn.rfxn.com/downloads/rfxn.ndb
maldet(1438): {sigup} downloaded http://cdn.rfxn.com/downloads/rfxn.hdb
maldet(1438): {sigup} downloaded http://cdn.rfxn.com/downloads/maldet-clean.tgz
maldet(1438): {sigup} signature set update completed
maldet(1438): {sigup} 13716 signatures (11815 MD5 / 1901 HEX)

2. Keičiame CRON užduoties struktūra, tam jog ji atitiktų DirectAdmin CRON struktūros modelį:

nano /etc/cron.daily/maldet

Randame eilutes:

# scan default apache docroot paths
if [ -d "/var/www/html" ]; then
/usr/local/maldetect/maldet -b -r /var/www/html 2
fi
if [ -d "/usr/local/apache/htdocs" ]; then
/usr/local/maldetect/maldet -b -r /usr/local/apache/htdocs 2
fi

Keičiame jas į:

# scan default apache docroot paths
if [ -d "/var/www/html" ]; then
/usr/local/maldetect/maldet -b -r /var/www/html 2 >> /dev/null 2>&1
fi
if [ -d "/usr/local/apache/htdocs" ]; then
/usr/local/maldetect/maldet -b -r /usr/local/apache/htdocs 2 >> /dev/null 2>&1
fi

3. Skenavimas rankiniu būdu:

Jei turite ne daug svetainių, tuomet galite paleisti skenavimą realiu laiku:

maldet -a /home?/?/domains/?/public_html

Arba didelio failų kiekio atveju rekomenduojame leisti foniniu režimu:

maldet -b -a /home?/?/domains/?/public_html

Viskas, sistema veikia.

PASTABA: LMD įrankis neužtikrina jog bus rasti visi kenkėjiško kodo fragmentai, tad jei jūsų svetainė yra pažeista, rekomenduojame peržiūrėti kiekvieną failą rankiniu būdu.