หนอน (Worms), ไวรัส, มัลแวร์ และ Rootkit ที่น่ากลัว เป็นอ ennemis ตัวยงของทุกผู้ดูแลเซิร์ฟเวอร์ ขึ้นอยู่กับสถาปัตยกรรม อาจมีตัวเลือกมากมายสำหรับโค้ดผู้ทำชั่วให้สำรวจในระบบที่ติดเชื้อ รวบรวมข้อมูลละเอียดอ่อน และ/หรือใช้จ่ายเงินองค์กรมากมาย
ขอขอบคุณที่คุณไม่ต้องยกธงยอมแพ้หน้าภัยคุกคามไซเบอร์ดังกล่าว - การตรวจจับพวกมันบนเซิร์ฟเวอร์ของคุณเป็นไปได้ และมีเครื่องมือมากมายช่วยสแกนเซิร์ฟเวอร์ Linux หา มัลแวร์และ Rootkit สำคัญที่สุด หลายตัวฟรี
1. Clam AV
Antivirus บรรทัดคำสั่งนี้ออกแบบมาเพื่อรวมกับ Mail Servers ใกล้ชิด และพร้อมใช้งานสำหรับระบบทุกประเภท รวมถึงระบบแจกจ่าย Linux ที่โดดเด่นอย่าง SuSE, Fedora และ Ubuntu
การติดตั้งใน Ubuntu ง่ายแค่รันคำสั่ง:
sudo apt install clamav clamav-daemon
เมื่อติดตั้งแล้ว clamav ใช้จากเทอร์มินัลสแกนระบบไฟล์ทั้งหมดอย่างละเอียดและทำความสะอาดไฟล์ที่ติดเชื้อ นอกจากนี้ Clam AV ยังให้ Real-time scanning และยูทิลิตี้ตรวจสอบทรัพยากรที่ทรงพลัง
เพื่อรันการสแกนแบบง่ายของระบบไฟล์เซิร์ฟเวอร์ ใช้โค้ดต่อไปนี้จาก Root Directory:
clamscan -r -i
คำสั่งข้างต้นสั่ง Clam AV ทำ Recursive Scan (ตรวจสอบไฟล์ภายในไฟล์) และพิมพ์เฉพาะเอกสารที่ติดเชื้อไปที่เทอร์มินัล จำไว้ว่าก่อนรันโค้ดนี้ คุณต้องให้ Clam AV เวลาพอสำหรับติดตั้งฐานข้อมูล Virus Signatures บนเครื่องของคุณ เพื่อติดตามกระบวนการนี้ คุณสามารถยกเลิก Service และ Restart ด้วยตนเองด้วยโค้ด:
sudo systemctl stop clamav-freshclam.service
ตามด้วย:
sudo freshclam
เพื่อลบไฟล์ที่ติดเชื้อออกจากระบบโดยอัตโนมัติระหว่างสแกน ใช้โค้ดต่อไปนี้ (ระวังกับตัวเลือกนี้!):
clamscan -r -i --remove
2. chkrootkit
เครื่องมือนี้รันการทดสอบหลายอย่างเพื่อตรวจจับ Kernel Modules ที่โหลดได้และเป็นอันตราย, หนอน และ Rootkit แบบเต็มรูปแบบ
สำหรับ Ubuntu เครื่องมือนี้พร้อมจากที่เก็บ官方 ติดตั้งด้วยโค้ด:
sudo apt install chkrootkit
ต่างจาก Clam AV, chkrootkit เป็นเครื่องมือ Passive ขาดฟังก์ชันการกระทำต่อภัยคุกคามที่ตรวจพบ สิ่งที่น่าสงสัยที่มันพบในระบบไฟล์เซิร์ฟเวอร์ของคุณจะต้องวิจัยและลบด้วยตนเอง จงเก็บเอาต์พุทไว้เพื่ออ้างอิงภายหลัง
รันเครื่องมือนี้ด้วยคำสั่ง:
sudo chkrootkit
รายการที่ chkrootkit ให้มานั้นเป็นจุดเริ่มต้นที่ดีสำหรับการวินิจฉัยเพิ่มเติม
3. AIDE
ชื่อเครื่องมือนี้เป็น Acronym ย่อมาจาก "Advanced Intrusion Detection Environment" - ตัวแทนฟรีที่สมบูรณ์สำหรับเครื่องมือคล้ายกันชื่อ Tripwire
AIDE ให้คุณติดตามไฟล์ของระบบอย่างใกล้ชิด เพื่อติดตามว่าเมื่อไหร่และอย่างไรที่พวกมันถูกแก้ไขหรือเข้าถึงอื่นๆ เครื่องมือนี้ติดตั้งได้ง่ายจากที่เก็บ官方ของ Ubuntu ด้วย apt
sudo apt install aide
เพื่อเสร็จสิ้นการติดตั้ง คุณต้องตั้งค่า Postfix ผ่านตัวเลือกที่นำเสนอ ใช้แท็บ Tab หรือปุ่มลูกศร นำทาง แล้วกด Enter บนตัวเลือกที่ต้องการ Postfix ใช้ส่งข้อมูลไปอีเมลของคุณ ตามตารางเวลาที่คุณควบคุม
การตั้งค่า AIDE ต้องการการจัดการไฟล์เล็กน้อย คุณต้องจัดการไฟล์ในตำแหน่ง:
/var/lib/aide /etc/aide
ก่อนอื่น สร้าง Database และ Config files โดยรัน:
sudo aideinit
เมื่อเสร็จสิ้น กระบวนการนี้วาง Database และ Config files ที่สร้างขึ้นใน /var/lib/aide/ ภายใต้ชื่อ aide.db.new และ aide.conf.autogenerated ทั้งสองต้องคัดลอกเป็น aide.db และ aide.conf ตามลำดับ เพื่อทำงานได้อย่างถูกต้อง
คัดลอกไฟล์ Database ด้วยชื่อใหม่ง่ายด้วยโค้ด:
sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db
ก่อน đổiชื่อและคัดลอก Config file ให้อัปเดตมันด้วยคำสั่ง:
sudo update-aide.conf
เมื่ออัปเดต Config file แล้ว คัดลอกไปโฟลเดอร์ที่ถูกต้อง:
sudo cp /var/lib/aide/aide.conf.autogenerated /etc/aide/aide.conf
ตอนนี้ AIDE ควรทำงานบนเซิร์ฟเวอร์ของคุณและติดตามการแทนที่ HASHED ของระบบไฟล์ที่มันสร้างขึ้นอย่างต่อเนื่อง
AIDE สามารถตั้งค่าให้ Exclude โฟลเดอร์, รันเป็นระยะ และอื่นๆ โดยแก้ไข Config file แต่คำสั่งต่อไปนี้พอสำหรับดูเอาต์พุทของระบบ:
aide -c /etc/aide/aide.conf -C
AIDE มีประสิทธิภาพมากที่สุดเมื่อเข้าถึง Config จากตำแหน่ง Read-only เนื่องจาก Rootkits อาจอนุญาตให้โจมตีแก้ไขไฟล์ พิจารณาการตั้งค่าแบบนี้เพื่อผลลัพธ์ที่ดีที่สุด
เครื่องมือที่ครอบคลุมในบทความนี้ควรช่วยให้คุณสแกนเซิร์ฟเวอร์ Linux หา มัลแวร์และ Rootkits โดยใช้หลากหลายเทคนิค Rootkits เป็นภัยคุกคามดิจิทัลที่ลึกลับที่สุด แตสามารถขัดขวางได้ด้วยความขยันเพียงพอ
