Установка, настройка и использование антивируса Maldet

Maldet — это сканер для Linux, предназначенный для поиска веб-шеллов, спам-ботов, троянов, злонамеренных скриптов и прочих типичных угроз характерных для веб-пространств и особенно актуален для виртуальных шаред-хостинг платформ. Главное отличие от прочих Linux-антивирусов — его веб направленность, сканирование файлов веб-сайтов.

Установка

Установка происходит под пользователем root, так как необходимо создать директорию /usr/local/maldetect для хранения сигнатур и отчетов о сканировании.

• скачать архив с антивирусом командой:
  

  wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

• распаковать архив:
  

  tar xvzf maldetect-current.tar.gz

• перейти в директорию:
  

  cd maldetect*

• запустить процесс установки:
  

  sh install.sh

• в процессе установки создается директория /usr/local/maldetect, создается задание для cron, выполняется обновление сигнатур антивируса

Настройка

Конфигурация антивируса расположена по пути: /usr/local/maldetect/conf.maldet
Все пункты в файле подробно расписаны и указаны возможные действия. Из дополнительных настроек стоит указать оповещение по электропочте:

• email_alert - включение отправки уведомлений о результатах сканирования на электронную почту
• email_subj - тема письма
• email_addr - адрес электронной почты для отправки. Можно указать несколько через запятую

Настройка cron

В процессе установки, maldet создает задание для сканирования по cron. В задании происходит проверка версии антивируса, обновление сигнатур и выполнение сканирования.
Рекомендуется проверить что и как сканируется. Для этого открыть файл: /etc/cron.daily/maldet
Файл содержит следующие действия:

• происходит сканирование путей для популярных систем управления сайтами, например CPanel и сканирование найденных директорий
• происходит поиск директорий по умолчанию для apache

Если расположение сайта не подпадает ни под одно из условий поиска, то следует добавить свое. Для этого можно взять в качестве примера настройку для apache, скопировать ее и изменить параметры
При запуске задач по крону, maldet уменьшает нагрузку на сервер с помощью сканирования только тех файлов, которые были изменены за последние 2 дня. Для этого в файле с заданиями для cron, maldet передаются аргументы -r и цифра с указанием дней. Пример:

maldet -r /home/public_html 2

.

Сканирование

Рекомендую запускать maldet с использованием tmux

• запускаем
  

  tmux

• выполняем запуск антивируса
  

  maldet -a /var/www/webmaster/data/www/

• если соединение с сервером разорвется или случайно закроете сеанс, то надо по новой подключится и выполнить команду
  

  tmux attach

  и откроется сохраненный сеанс

По завершению maldet на экран выведет отчет. Например:

Linux Malware Detect v1.4.2
(C) 2002-2013, R-fx Networks 
(C) 2013, Ryan MacDonald 
inotifywait (C) 2007, Rohan McGovern 
This program may be freely redistributed under the terms of the GNU GPL v2
maldet(20396): {scan} signatures loaded: 10775 (8863 MD5 / 1912 HEX)
maldet(20396): {scan} building file list for /var/www/webmaster/data/www/, this might take awhile...
maldet(20396): {scan} file list completed, found 26 files...
maldet(20396): {scan} 26/26 files scanned: 0 hits 0 cleaned
maldet(20396): {scan} scan completed on /var/www/webmaster/data/www/: files 26, malware hits 0, cleaned hits 0
maldet(20396): {scan} scan report saved, to view run: maldet --report 052815-1302.20396

В конце указана команда для просмотра отчета:

maldet --report 052815-1302.20396

Все отчеты сканирования находятся в директории: /usr/local/maldetect/sess
Расшифровка имени отчета:
session.052815-1502.5768

• 052815 - дата старта сканирования, 28 мая 2015 по американскому формату времени
• 1502 - время старта сканирования, 15 часов 2 минуты

Исключения сканирования

Для пропуска сканирования файлов, например PDF присутствует возможность задать исключающие типы.
Для этого открыть файл /usr/local/maldetect/ignore_file_ext
указать типы расширений с лидирующей точкой, например:
.pdf
.sql
.jpg

Режимы запуска сканирования

maldet -b. Выполнение сканирования в скрытом режиме. Идеально для большого объема сканирования. Этот режим запускается при выполнении сканирования по крону
maldet -c. По завершению сканирования все подозрительные файлы загружаются на сервер rfxn.com для проверки и добавления в сигнатуры
maldet --config-option quar_hits=0. Передаются параметры напрямую в процесс сканирования, игнорирую файл конфигурации. Например параметр quar_hits переданный напрямую имеет выше приоритет, чем он же заданный в файле конфигурации.