hana_shinのLinux技術ブログ読者になるhana_shinのLinux技術ブログLinuxの技術情報を掲載しています。ネットワークをメインに掲載していきます。Detect)とはLMDはマルウェアを検出するツールです。ファイル/ディレクトリ等の作成、変更、削除を検知することができます。これにより、マルウェアが新しいファイルを作成するなどの不審な動きを検出することができます。hana_shinのLinux技術ブログを使っても検知することができます。検証環境AlmaLinux版数は以下のとおりです。Tiger)カーネル版数は以下のとおりです。以下の公式ページをもとに、LMDをインストールしました。Networks公式ページの説明にしたがって、LMDのtar.gzファイルをダウンロードします。https://www.rfxn.com/downloads/maldetect-current.tar.gzダウンロードしたファイルを確認します。maldetect-current.tar.gzダウンロードしたファイルを解凍します。maldetect-current.tar.gz解凍したディレクトリに移動します。install.shinstall.shを実行してLMDをインストールします。LMVの版数がv1.6.5であることがわかります。USER)設定ファイル(conf.maldet)を確認すると、ClamAVは、大量のファイルをスキャンする場合、パフォーマンスを向上する、と説明があります。私の環境では、ClamAVがインストールされていなかったので、ClamAVをインストールしました。]scan_clamscan="1"clamavはepelリポジトリに含まれているため、まずepel-releaseパッケージをインストールします。epel-release次に、clamavパッケージをインストールします。clamav*インストールしたパッケージを確認します。以下のパッケージがインストールされました。オプション一覧オプションは以下のとおりです。次の設定項目をデフォルト値から変更しました。rootが所有者のファイルもスキャンします。ウィルスに感染したファイルを検出すると、そのファイルをユーザがアクセスできないディレクトに移動します(ここでは検疫と呼びます)デフォルトの設定ファイルを保存します。/usr/local/maldetect/conf.maldet.orgデフォルト値から変更した値を確認します。scan_ignore_rootは1から0、quarantine_hitsは0から1に変更しました。LMDのバージョンをアップデートする方法(-d)"-d"はLMDのバージョンをアップデートするオプションです。installed"が出力されているので、LMDの最新バージョンがインストールされていることがわかります。署名をアップデートする方法(-u)"-u"は署名をアップデートするオプションです。署名の最新は202304191182804であることがわかります。署名は簡単に言うとスキャン対象のマルウェア一覧のことです。指定したパスをスキャンする方法(-a)"-a"は指定したパスをスキャンするオプションです。ここでは、/root/bashdb-4.4-1.0.1配下のファイルをスキャンしてみます。コマンドを使用します。プロセスが動作していることが分かります。230420-2214.11704"とあるので、そのとおり実行してみます。ログを確認する方法(-l)"-l"はLMDが出力するログを確認するオプションです。ログをクリアする方法(-p)"-p"はログをクリアするオプションです。(-p)ログを確認します。ログがクリアされたことがわかります。スキャン対象のパスをファイルで指定する方法(-f)"-f"はスキャン対象のパスをファイルで指定するオプションです。今回は、/sbinと/usr/binをスキャン対象に指定するためのファイル(ここではリストファイルと呼びます)を作成します。scan_file_list/sbin//usr/bin"-f"オプションに続けて、リストファイルの絶対パスを指定します。-eを実行すると、最後に実行したスキャンのレポートが表示されます。-eコマンドの引数にlistを指定すると、スキャンの実行履歴一覧を表示することができます。-eコマンドの引数にSCANIDを指定することで、特定のスキャンの詳細情報を表示することができます。検疫したファイルを元の場所に戻す方法(-s)"-s"は検疫したファイルを元のディレクトリに戻すためのオプションです。マルウェアに感染していないファイルを誤って検疫してしまった場合には、このオプションを使ってファイルを元の場所に戻すことができます。テスト用のマルウェアを/tmpにダウンロードします。https://secure.eicar.org/eicar.comダウンロードしたテスト用のマルウェアを確認します。1)が表示されました。230423-1930.6017実行結果の詳細を確認すると、/tmpのテスト用マルウェアが検疫されたことがわかります。>/tmpにダウンロードしたテスト用のマルウェアを確認すると、検疫されたため/tmpには存在しないことがわかります。そのようなファイルやディレクトリはありません一方、検疫したファイルを格納するディレクトリを確認すると、テスト用のマルウェアが存在していることがわかりました。/usr/local/maldetect/quarantine/eicar.com.2599910771検疫したファイルを元のディレクトリに戻します。'/tmp/eicar.com'/tmpを確認すると、検疫したファイルが存在することがわかります。リアルタイムモニタリングを開始/終了する方法リアルタイムモニタリングは、ファイルやディレクトリの作成、変更、削除をリアルタイムで監視する機能です。これにより、マルウェアが新しいファイルを作成するなどの不審な動きを検出することができます。開始方法(--monitor)”--monitor"はリアルタイムモニタリングを有効にするオプションです。この機能を実現するために、maldetはinotifywaitコマンドを使用します。/tmpディレクトリをリアルタイムでモニタリングするには、以下のようにコマンドを入力します。~]#psコマンドを実行してプロセスの状態を確認します。リアルタイムモニタリングを有効にすると、inotifywaitプロセスが起動します。このプロセスが/tmp配下のファイルの作成、削除等を監視します。hana_shinのLinux技術ブログを参照してください。--excludinotifywaitプロセスが監視しているパスを確認すると、/tmpディレクトリであることがわかります。-fコマンドを実行します。/usr/local/maldetect/logs/inotify_log/tmp配下にファイルを作成します。/tmp/test.txtファイルを作成すると、inotify_logに以下のログが記録されることがわかります。終了方法(--kill-monitor)"--kill-monitor"はリアルタイムモニタリングを終了するオプションです。リアルタイムモニタリングを終了するには、以下のようにコマンドを入力します。13140)psコマンドを実行すると、inotifywaitプロセスが終了していることがわかります。私が業務や記事執筆で参考にした書籍を以下のページに記載します。)はてなブログをはじめよう!hana_shinさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。