设为首页 - 加入收藏 即日起开通【站长IN交流群】
独立ip免备案空间仅100元起 美国高防vps 香港vps
打不死的【香港高防服务器】 精准的淘宝流量排名猛涨
兼职优化合作Q:2805144911 253个ip香港服务器1499元
您的当前位置:主页 > 系统教程 > LINUX > 正文

在Linux系统中安装使用恶意软件扫描工具及杀毒引擎的教程

来源:ZzWww 编辑:ZzWww 时间:2018-06-08
恶意软件是指任何旨在干扰或破坏计算系统正常运行的软件程序。虽然最臭名昭著的几种恶意软件如病毒、间谍软件和广告软件,但它们企图引起的危害不一:有的是窃取私密信息,有的是删除个人数据,有的则介于两者之间;而恶意软件的另一个常见用途就是控制系统,然后利用该系统发动僵尸网络,形成所谓的拒绝服务(DoS)攻击或分布式拒绝服务(DDoS)攻击。
换句话说,我们万万不可抱有这种想法“因为我并不存储任何敏感数据或重要数据,所以不需要保护自己的系统远离恶意软件”,因为那些数据并不是恶意软件的唯一目标。

由于这个原因,我们将在本文中介绍在RHEL 7.0/6.x(x是版本号)、CentOS 7.0/6.x和Fedora 21-12中,如何安装并配置Linux恶意软件检测工具(又叫MalDet,或简称LMD)和ClamAV(反病毒引擎)。

这是采用GPL v2许可证发布的一款恶意软件扫描工具,专门为主机托管环境而设计。然而,你很快就会认识到,无论自己面对哪种环境,都会得益于MalDet。
将LMD安装到RHEL/CentOS 7.0/6.x和Fedora 21-12上

LMD无法从在线软件库获得,而是以打包文件的形式从项目官方网站分发。打包文件含有最新版本的源代码,总是可以从下列链接处获得,可使用下列命令来下载:


复制代码代码如下: # wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

然后,我们需要解压该打包文件,并进入提取/解压内容的目录。由于当前版本是1.4.2,目录为maldetect-1.4.2。我们会在该目录中找到安装脚本install.sh。


复制代码代码如下:# tar -xvf maldetect-current.tar.gz
# ls -l | grep maldetect
下载Linux恶意软件检测工具如果我们检查安装脚本,该脚本长度只有75行(包括注释),就会发现,它不仅安装该工具,还执行预检测,看看默认安装目录(/usr/local/maldetect)有无存在。要是不存在,脚本就会先创建安装目录,然后执行下一步。

最后,安装完成后,只要将cron.daily脚本(参阅上图)放入到/etc/cron.daily,就可以排定通过cron(计划任务)的每天执行。这个帮助脚本具有诸多功能,包括清空旧的临时数据,检查新的LMD版本,扫描默认Apache和Web控制面板(比如CPanel和DirectAdmin等)默认数据目录。

话虽如此,还是按平常那样运行安装脚本:


复制代码代码如下: # ./install.sh
在Linux系统中安装使用恶意软件扫描工具及杀毒引擎的教程

在Linux中安装Linux恶意软件检测工具
配置Linux恶意软件检测工具

配置LDM的工作通过/usr/local/maldetect/conf.maldet来处理,所以选项都进行了充分的注释,以便配置起来相当容易。万一你哪里卡住了,还可以参阅/usr/local/src/maldetect-1.4.2/README,了解进一步的指示。

在配置文件中,你会找到用方括号括起来的下列部分:

EMAIL ALERTS(邮件提醒)
QUARANTINE OPTIONS(隔离选项)
SCAN OPTIONS(扫描选项)
STATISTICAL ANALYSIS(统计分析)
MONITORING OPTIONS(监控选项)

这每个部分都含有几个变量,表明LMD会如何运行、有哪些功能特性可以使用。

如果你想收到通知恶意软件检测结果的电子邮件,就设置email_alert=1。为了简洁起见,我们只将邮件转发到本地系统用户,但是你同样可以探究其他选项,比如将邮件提醒发送到外部用户。
如果你之前已设置了email_alert=1,设置email_subj=”Your subject here”和email_addr=username@localhost。
至于quar_hits,即针对恶意软件袭击的默认隔离操作(0 =仅仅提醒,1 = 转而隔离并提醒),你告诉LMD在检测到恶意软件后执行什么操作。
quar_clean将让你决定想不想清理基于字符串的恶意软件注入。牢记一点:就本身而言,字符串特征是“连续的字节序列,有可能与恶意软件家族的许多变种匹配。”
quar_susp,即针对遭到袭击的用户采取的默认暂停操作,让你可以禁用其所属文件已被确认为遭到袭击的帐户。
clamav_scan=1将告诉LMD试图检测有无存在ClamAV二进制代码,并用作默认扫描器引擎。这可以获得最多快出四倍的扫描性能和出色的十六进制分析。这个选项只使用ClamAV作为扫描器引擎,LMD特征仍是检测威胁的基础。

重要提示:

请注意:quar_clean和quar_susp需要quar_hits被启用(=1)。

总之,在/usr/local/maldetect/conf.maldet中,有这些变量的行应该看起来如下:


复制代码代码如下:email_alert=1
email_addr=gacanepa@localhost
email_subj="Malware alerts for $HOSTNAME - $(date +%Y-%m-%d)"


quar_hits=1
quar_clean=1
quar_susp=1
clam_av=1

将ClamAV安装到RHEL/CentOS 7.0/6.x和Fedora 21-12上

想安装ClamAV以便充分利用clamav_scan设置,请遵循这些步骤:

创建软件库文件/etc/yum.repos.d/dag.repo:


复制代码代码如下: [dag]
name=Dag RPM Repository for Red Hat Enterprise Linux
baseurl=http://apt.sw.be/redhat/el$releasever/en/$basearch/dag/
gpgcheck=1
gpgkey=http://dag.wieers.com/packages/RPM-GPG-KEY.dag.txt
enabled=1

然后运行命令:


复制代码代码如下:# yum update && yum install clamd

注意:这些只是安装ClamAV的基本指令,以便将它与LMD整合起来。我们在ClamAV设置方面不作详细介绍,因为正如前面所述,LMD特征仍是检测和清除威胁的基础。
测试Linux恶意软件检测工具

现在就可以检测我们刚刚安装的LMD / ClamAV了。不是使用实际的恶意软件,我们将使用EICAR测试文件(http://www.eicar.org/86-0-Intended-use.html),这些文件可从EICAR网站下载获得。


TAG标签:系统 安装 使用 软件 Linux 恶意

网友评论:

文章右边250

站长IN 网络教程 网站模板 网站地图 xml地图 feed地图 百度地图

Copyright © 2005-2020 ZzWww 站长IN 版权所有 Power by DedeCms

Top