Linuxサーバーからマルウェアを検出し、クリーンアップする方法 - Maldetを使用

マルウェアは、コンピュータシステムやサーバーの円滑で正常な動作を妨げたり、プライベート情報を収集したり、システム/サーバーへの不正アクセスを得ることを目的とした悪意のあるソフトウェアです。Linuxシステムは、Windowsに比べて悪意のあるソフトウェアが少ないことで知られていますが、それはLinuxユーザーが安心しているべきではないことを意味しません。

Linuxに対する攻撃のほとんどは、Javaコンテナやブラウザなどのサービスのバグを悪用することを目的としており、主な目的はターゲットとされたサービスの動作を変更し、時には完全に停止させることです。

Linuxシステムに対する最も危険な攻撃の1つは、攻撃者がユーザーのログイン資格情報を取得しようとすることです。これが成功すると、ハッカーは自分の望むことを実行し、機密データにアクセスできるようになります。また、Linuxサーバーに接続されている他のマシンを攻撃することもできます。これに対抗するために、ユーザーはMaldetを使用してLinuxからマルウェアを検出し、クリーンアップしてシステムを清潔に保つことができます。

Linux Malware Detect

Maldetは、Linux Malware Detect（LMD）としても知られています。これは、共有ホスティング環境で一般的な脅威に対処するために開発されたLinuxマルウェアスキャナーです。ネットワークエッジ侵入検知システムからの脅威データを使用して、攻撃に積極的に使用されているマルウェアを抽出し、検出用のシグネチャを生成します。複雑に聞こえますが、使いやすいです。

Maldetのインストール

ターミナルを開き、以下のコマンドを実行してアプリケーションをダウンロードします：

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

maldet-download

以下のコマンドを使用して、ダウンロードしたアーカイブファイルを解凍します：

tar-xvf maldetect-current.tar.gz

抽出されたmaldetectファイルを含むフォルダーにアクティブフォルダーを変更します：

cd maldetect-x.y

「x.y」はアプリケーションのバージョン番号です。このフォルダーには「install.sh」スクリプトがあります。次のステップは、以下のコマンドを使用してスクリプトを実行することです：

sudo ./install.sh

maldet-install

インストールが成功すると、通知されます。また、Maldetがどこにインストールされたかも通知されます。私の場合は「/usr/local/maldetect」としてインストールされました。

設定

Maldetがインストールされた後、Maldetディレクトリに「conf.maldet」という設定ファイルが作成されます。これを編集するには、テキストエディタを使用して開きます。

gksu gedit /usr/local/maldetect/conf.maldet

または、ターミナルで「nano」または「vi」を使用して編集できます：

sudonano/usr/local/maldetect/conf.maldet

以下は設定できるオプションの例です：

メール通知

マルウェアが検出されたときにメール通知を受け取ります。

「email_alert」を1に設定します。
「email_addr」オプションにあなたのメールアドレスを追加します。
「email_ignore_clean」を1に変更します。これは、マルウェアが自動的にクリーンアップされたときに送信されるアラートを無視するために使用されます。

maldet-email-config

隔離オプション

マルウェアが検出されたときに取るべきアクション：

影響を受けたファイルを自動的に隔離するために「quarantine_hits」を1に設定します。
影響を受けたファイルを自動的にクリーンアップするために「quarantine_clean」を1に設定します。これを0に設定すると、クリーンアップする前にファイルを最初に確認できます。
「quarantine_suspend_user」を1に設定すると、影響を受けたアカウントのユーザーが一時停止され、「quarantine_suspend_user_minuid」は一時停止される最小ユーザーIDを設定します。これはデフォルトで500に設定されていますが、変更できます。

maldet-qurantine-options

他にも多くの設定オプションがあり、必要な変更を行うことができます。設定が完了したら、ファイルを保存して閉じます。

マルウェアのスキャン

基本的なスキャンを手動で実行するか、定期的にスキャンを自動化することができます。

スキャンを実行するには、以下のコマンドを実行します：

sudo maldet --scan-all/folders/to/scan

maldet-basicscan

このコマンドが実行されると、パス内のディレクトリからファイルのリストが構築され、ファイルのスキャンが開始されます。「/folders/to/scan」のファイルパスをMaldetにスキャンさせたいディレクトリに変更します。スキャン後、レポートが生成され、影響を受けたファイルを確認できます。

影響を受けたファイルの隔離方法

「quarantine_hits」を1に設定した場合、Maldetは影響を受けたファイルを自動的に隔離します。これが0に設定されていると、生成されたレポートに影響を受けたファイルの場所が表示されます。ファイルを確認し、クリーンアップするかどうかを決定できます。

ファイルの復元

時には、誤検知によりファイルが誤った理由で隔離されることがあります。そのようなファイルを復元するには、以下のコマンドを実行します：

sudo maldet -restore FILENAME

自動スキャン

Maldetのインストール中に、cronjob機能も「/etc/cron.daily/maldet」にインストールされます。これにより、ホームディレクトリや最近変更されたファイル/フォルダーが毎日スキャンされます。設定ファイルのメールアドレスを通じて、マルウェアが検出された場合は常に通知されます。

結論

多くの人々はLinuxシステムがマルウェアに対して免疫があると言っていますが、それは真実ではありません。悪意のあるソフトウェアをインストールするように騙されることもありますし、マルウェアはメールを通じて広がることもあり、これによりシステムに損害を与える可能性があります。また、ハッカーが不正アクセスを試みる他の多くの脆弱性もあり、システムが不安全になります。安全を保つために、Maldetを使用してシステムを清潔に保つことができます。他に取るべき対策としては、ネットワーク監視やファイアウォールルールの設定などがあります。