리눅스 서버에서 Maldet로 악성코드를 탐지하고 제거하는 방법

악성코드는 컴퓨터 시스템이나 서버의 원활하고 정상적인 작동을 방해하거나, 개인 정보를 수집하거나, 시스템/서버에 무단으로 접근하는 것을 목표로 하는 악성 소프트웨어입니다. 리눅스 시스템은 윈도우에 비해 악성 소프트웨어가 적은 것으로 알려져 있지만, 그렇다고 리눅스 사용자가 안심할 수 있는 것은 아닙니다.

리눅스에 대한 대부분의 공격은 자바 컨테이너 및 브라우저와 같은 서비스의 버그를 악용하는 것을 목표로 하며, 주요 목표는 대상 서비스의 작동 방식을 변경하거나 때로는 완전히 중단시키는 것입니다.

리눅스 시스템에 대한 가장 위험한 공격 중 하나는 공격자가 사용자의 로그인 자격 증명을 얻으려 할 때 발생합니다. 이것이 성공하면 해커는 원하는 모든 것을 실행할 수 있으며 기밀 데이터에 접근할 수 있습니다. 그들은 또한 리눅스 서버에 연결된 다른 기계들을 공격할 수 있습니다. 이를 방지하기 위해 사용자는 Maldet를 사용하여 리눅스에서 악성코드를 탐지하고 제거하여 시스템을 깨끗하게 유지할 수 있습니다.

리눅스 악성코드 탐지기

Maldet는 리눅스 악성코드 탐지기(LMD)로도 알려져 있습니다. 이는 공유 호스팅 환경에서 일반적인 위협을 처리하기 위해 개발된 리눅스 악성코드 스캐너입니다. 네트워크 엣지 침입 탐지 시스템의 위협 데이터를 사용하여 공격에 사용되고 있는 악성코드를 추출하고 탐지를 위한 서명을 생성합니다. 복잡하게 들리지만 사용하기는 쉽습니다.

Maldet 설치

터미널을 열고 아래 명령어를 실행하여 애플리케이션을 다운로드합니다:

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

maldet-download

아래 명령어를 사용하여 다운로드한 아카이브 파일을 압축 해제합니다:

tar-xvf maldetect-current.tar.gz

활성 폴더를 추출된 maldetect 파일이 있는 폴더로 변경합니다:

cd maldetect-x.y

“x.y”는 애플리케이션의 버전 번호입니다. 이 폴더에는 “install.sh” 스크립트가 있습니다. 다음 단계는 아래 명령어를 사용하여 스크립트를 실행하는 것입니다:

sudo ./install.sh

maldet-install

설치가 성공하면 알림이 표시됩니다. Maldet가 설치된 위치도 알려줍니다. 제 경우에는 “/usr/local/maldetect”에 설치되었습니다.

구성

Maldet가 설치된 후, “conf.maldet”라는 구성 파일이 Maldet 디렉토리에 생성됩니다. 이를 편집하려면 텍스트 편집기를 사용하여 엽니다.

gksu gedit /usr/local/maldetect/conf.maldet

또는 터미널에서 “nano” 또는 “vi”를 사용하여 편집할 수 있습니다:

sudonano/usr/local/maldetect/conf.maldet

아래는 설정할 수 있는 옵션의 예입니다:

이메일 알림

악성코드가 탐지되면 이메일 알림을 받습니다.

“email_alert”를 1로 설정합니다.
“email_addr” 옵션에 이메일 주소를 추가합니다.
“email_ignore_clean”을 1로 변경합니다. 이는 악성코드가 자동으로 제거될 때 알림을 무시하는 데 사용됩니다.

maldet-email-config

격리 옵션

악성코드가 탐지되었을 때 취할 조치:

영향을 받은 파일을 자동으로 격리하려면 “quarantine_hits”를 1로 설정합니다.
영향을 받은 파일을 자동으로 정리하려면 “quarantine_clean”을 1로 설정합니다. 이를 0으로 설정하면 정리하기 전에 파일을 먼저 검사할 수 있습니다.
“quarantine_suspend_user”를 1로 설정하면 영향을 받은 계정의 사용자가 정지되며, “quarantine_suspend_user_minuid”는 정지될 최소 사용자 ID를 설정합니다. 기본값은 500으로 설정되어 있지만 변경할 수 있습니다.

maldet-qurantine-options

구성할 수 있는 다른 많은 옵션이 있으며 필요한 변경을 할 수 있습니다. 구성을 마친 후 파일을 저장하고 닫습니다.

악성코드 스캔

기본 스캔을 수동으로 실행하거나 정기적으로 스캔이 자동으로 수행되도록 설정할 수 있습니다.

스캔을 실행하려면 다음 명령어를 실행합니다:

sudo maldet --scan-all/folders/to/scan

maldet-basicscan

이 명령어가 실행되면 경로의 디렉토리에서 파일 목록이 생성되고 파일 스캔이 시작됩니다. 파일 경로 “/folders/to/scan”을 Maldet가 스캔할 디렉토리로 변경합니다. 스캔 후 보고서가 생성되며 영향을 받은 파일을 확인할 수 있습니다.

영향을 받은 파일 격리 방법

“quarantine_hits”를 1로 설정하면 Maldet가 영향을 받은 파일을 자동으로 격리합니다. 이를 0으로 설정하면 생성된 보고서에서 영향을 받은 파일의 위치를 보여줍니다. 그런 다음 파일을 검사하고 정리할지 여부를 결정할 수 있습니다.

파일 복원

때때로 잘못된 긍정으로 인해 파일이 잘못된 이유로 격리될 수 있습니다. 이러한 파일을 복원하려면 다음 명령어를 실행합니다:

sudo maldet -restore FILENAME

자동 스캔

Maldet 설치 중에 “/etc/cron.daily/maldet”에 크론잡 기능도 설치됩니다. 이는 홈 디렉토리와 최근에 변경된 파일/폴더를 매일 스캔합니다. 구성 파일의 이메일 주소를 통해 악성코드에 대한 알림을 항상 받을 수 있습니다.

결론

많은 사람들이 리눅스 시스템이 악성코드에 면역이라고 말하지만, 이는 사실이 아닙니다. 악성 소프트웨어를 설치하도록 속을 수 있으며, 악성코드는 이메일을 통해 퍼질 수도 있으며, 이는 시스템에 손상을 줄 수 있습니다. 해커가 무단으로 접근하려고 시도하는 많은 다른 취약점도 있어 시스템이 안전하지 않습니다. 안전을 유지하기 위해 Maldet를 사용하여 시스템을 깨끗하게 유지할 수 있습니다. 네트워크 모니터링 및 방화벽 규칙 설정과 같은 다른 조치를 취할 수도 있습니다.