Cum să folosești ClamAV pe VPS-ul tău pentru a scana după rootkit-uri și fișiere infectate

Atunci când îți administrezi propriul Server Privat Virtual (VPS), obții o putere și o flexibilitate incredibile. Cu toate acestea, această libertate vine cu responsabilitatea crucială de a-ți securiza serverul împotriva amenințărilor. Deși sistemele bazate pe Linux sunt cunoscute pentru robustețea lor, ele nu sunt imune la malware. Actorii rău intenționați caută în mod constant să exploateze vulnerabilități pentru a instala rootkit-uri, web shell-uri, troieni și alte programe software malițioase. Un server compromis poate duce la furt de date, întreruperi ale serviciilor și la utilizarea serverului tău pentru a ataca alții. Securitatea proactivă nu este doar o recomandare; este o necesitate.

Unul dintre cele mai puternice instrumente din arsenalul tău de securitate este ClamAV, un motor antivirus open-source conceput pentru detectarea troienilor, virușilor, malware-ului și a altor amenințări malițioase. Prin instalarea ClamAV pe VPS-ul tău ENGINYRING, poți efectua scanări la cerere ale întregului tău sistem de fișiere, poți identifica potențialele amenințări și poți lua măsuri pentru a le elimina. Acest tutorial oferă un ghid cuprinzător, pas cu pas, despre cum să instalezi, configurezi și automatizezi scanările ClamAV pe serverul tău, permițându-ți să menții un mediu curat și sigur atât pe sistemele bazate pe Debian (precum Ubuntu), cât și pe cele bazate pe RHEL (precum AlmaLinux).

De ce ai nevoie de un antivirus pe un server Linux

Există o concepție greșită comună conform căreia serverele Linux nu se infectează cu viruși. Deși este adevărat că virușii tradiționali de desktop care vizează Windows nu reprezintă o amenințare directă, serverele se confruntă cu o clasă diferită și mai insidioasă de malware. Aceste amenințări nu sunt concepute pentru a enerva un utilizator, ci pentru a prelua în tăcere controlul unui server în scopuri nefaste.

• Web Shell-uri: Acestea sunt scripturi malițioase (adesea în PHP, Python sau Perl) încărcate pe un site web, de obicei prin exploatarea unei vulnerabilități într-un CMS precum WordPress sau Magento. Odată încărcat, un web shell oferă unui atacator o interfață de linie de comandă către serverul tău prin browserul său web, permițându-i să navigheze în sistemul tău de fișiere, să fure date și să încarce mai mult malware.
• Rootkit-uri: Un rootkit este o colecție de instrumente software care permite unui utilizator neautorizat să obțină controlul unui sistem informatic fără a fi detectat. Acestea modifică adesea fișierele de bază ale sistemului pentru a-și ascunde prezența, făcându-le incredibil de dificil de găsit manual.
• Troieni și Backdoors: Software malițios deghizat într-un program legitim. Odată executat, poate deschide o „ușă din spate” (backdoor) pe serverul tău, permițând unui atacator să se conecteze după bunul plac, ocolind măsurile normale de securitate.
• Kituri de phishing: Atacatorii ar putea compromite serverul tău pentru a găzdui pagini de phishing — pagini de autentificare false pentru bănci sau alte servicii — concepute pentru a fura datele de autentificare de la victime neavizate.

ClamAV este special conceput pentru a detecta aceste tipuri de amenințări prin scanarea fișierelor pe baza unei baze de date actualizate constant cu semnături de malware cunoscute. Scanarea regulată este un strat critic într-o strategie de securitate în profunzime.

Ghid pas cu pas pentru instalarea și utilizarea ClamAV

Acest ghid te va îndruma prin întregul proces, de la instalare la automatizarea scanărilor pentru o rutină de securitate de tip "setează și uită". Vom oferi comenzi pentru ambele familii majore de Linux: cele bazate pe Debian (precum Ubuntu) și cele bazate pe RHEL (precum AlmaLinux, CentOS, Rocky Linux).

Cerințe preliminare

• Un Server Virtual (VPS): Acest tutorial este conceput pentru sisteme Linux moderne. Un VPS ENGINYRING cu cel puțin 1 GB de RAM este recomandat.
• Acces SSH: Vei avea nevoie de acces root sau sudo la serverul tău prin linia de comandă.

Pasul 1: Actualizează serverul

Înainte de a instala orice software nou, este esențial să te asiguri că indexul de pachete al serverului și software-ul existent sunt la zi. Conectează-te la VPS-ul tău prin SSH și rulează comanda corespunzătoare pentru sistemul tău de operare.

Pentru Debian/Ubuntu:

sudo apt update && sudo apt upgrade -y

Pentru RHEL/AlmaLinux/CentOS/Rocky Linux:

sudo dnf update -y

Pasul 2: Instalează ClamAV

Procesul de instalare variază ușor între cele două familii de sisteme de operare. Sistemele bazate pe RHEL necesită un pas suplimentar pentru a activa depozitul EPEL (Extra Packages for Enterprise Linux), care conține pachetul ClamAV.

Pentru RHEL/AlmaLinux/CentOS/Rocky Linux (Activează mai întâi EPEL):

sudo dnf install epel-release -y

Acum, instalează ClamAV folosind comanda corespunzătoare pentru sistemul tău.

Pentru Debian/Ubuntu:

sudo apt install clamav clamav-daemon -y

Pentru RHEL/AlmaLinux/CentOS/Rocky Linux:

sudo dnf install clamav clamav-daemon clamav-update -y

Odată ce instalarea este completă, demonul ClamAV ar trebui să pornească automat. Poți verifica starea sa pentru a te asigura:

sudo systemctl status clamav-daemon

Dacă nu este activ, îl poți porni și activa astfel încât să pornească la boot:

sudo systemctl start clamav-daemon
sudo systemctl enable clamav-daemon

Pasul 3: Actualizează baza de date cu semnături de viruși

ClamAV este la fel de bun pe cât este de actualizată baza sa de date cu semnături de viruși. Utilitarul `freshclam` este responsabil pentru menținerea acestei baze de date la zi. Demonul va rula de obicei acest lucru automat, dar este o idee bună să-l rulezi manual prima dată pentru a te asigura că totul funcționează și pentru a obține cele mai recente definiții. Mai întâi, oprește demonul pentru a permite o rulare manuală, apoi execută `freshclam`.

sudo systemctl stop clamav-daemon
sudo freshclam

Ar trebui să vezi un output care indică faptul că baza de date este descărcată și actualizată. Odată ce s-a terminat, repornește demonul.

sudo systemctl start clamav-daemon

Pasul 4: Efectuarea primei scanări cu `clamscan`

Acum ești gata să-ți scanezi fișierele. Instrumentul principal pentru acest lucru este `clamscan`. Are multe opțiuni, dar ne vom concentra pe cele mai utile pentru un mediu de server.

Iată opțiunile cheie:

• -r sau --recursive: Îi spune lui `clamscan` să scaneze toate subdirectoarele din calea pe care o specifici. Aproape întotdeauna vei dori să folosești această opțiune.
• -i sau --infected: În mod implicit, `clamscan` va afișa numele fiecărui fișier pe care îl scanează. Pentru un server cu milioane de fișiere, acest lucru nu este practic. Această opțiune îi spune să afișeze doar numele fișierelor infectate pe care le găsește.
• --remove[=yes/no]: Aceasta este o opțiune puternică și periculoasă. Dacă este utilizată, ClamAV va șterge imediat orice fișier pe care îl identifică drept malițios. Folosește-o cu prudență extremă, deoarece pot apărea rezultate fals pozitive, deși rare.
• --move=DIRECTORY: Aceasta este o alternativă mult mai sigură la `--remove`. Mută orice fișiere infectate într-un director de carantină specificat. Acest lucru îți permite să inspectezi fișierele înainte de a decide să le ștergi permanent.
• --log=FILE: Scrie rezultatele scanării într-un fișier jurnal în loc de a le afișa pe ecran. Acest lucru este esențial pentru scanările automate.

Exemplu de scanare: Scanarea unui director de site web

Un prim pas comun este scanarea directorului în care sunt stocate fișierele site-ului tău, de obicei `/var/www/`. Să creăm mai întâi un director de carantină, apoi să rulăm o scanare care mută orice fișiere suspecte în el.

sudo mkdir /quarantine
sudo clamscan -r -i --move=/quarantine /var/www/

Această scanare va verifica recursiv (`-r`) toate fișierele din `/var/www/`, va afișa doar fișierele infectate (`-i`) și le va muta în `/quarantine` (`--move`). La final, vei primi un rezumat al scanării. Dacă s-a găsit ceva, poți inspecta conținutul directorului `/quarantine` pentru a decide dacă fișierele sunt cu adevărat malițioase înainte de a le șterge.

Pasul 5: Automatizarea scanărilor cu Cron

Rularea manuală a scanărilor este utilă, dar adevărata putere vine din automatizarea lor. Putem folosi un cron job pentru a programa o scanare completă a sistemului să ruleze automat în fiecare noapte sau în fiecare săptămână, cu rezultatele înregistrate pentru revizuire.

Mai întâi, creează un script care va rula scanarea noastră. Acest lucru face gestionarea comenzii și a opțiunilor sale mult mai ușoară.

sudo nano /root/clamscan_daily.sh

Lipește următorul script în fișier. Acest script va scana întregul sistem de fișiere, dar va exclude anumite directoare care nu sunt necesare pentru scanare și pot încetini procesul (cum ar fi sistemele de fișiere virtuale).

#!/bin/bash
LOGFILE="/var/log/clamav/clamscan-$(date +'%Y-%m-%d').log"
QUARANTINE_DIR="/quarantine"

# Asigură-te că directorul de carantină există
mkdir -p $QUARANTINE_DIR

clamscan -r -i \
--move=$QUARANTINE_DIR \
--log=$LOGFILE \
--exclude-dir="^/sys" \
--exclude-dir="^/proc" \
--exclude-dir="^/dev" \
--exclude-dir="^/run" \
/

# Verifică dacă au fost găsite fișiere infectate și trimite un e-mail dacă da
INFECTED_FILES=$(grep "FOUND" $LOGFILE)

if [ ! -z "$INFECTED_FILES" ]; then
  echo "Malware detectat pe $(hostname) la data de $(date). Vezi fișierul jurnal: $LOGFILE" | mail -s "Alertă ClamAV: Malware găsit pe $(hostname)" adresa_ta_de_email@domeniultau.com
fi

exit 0

**Important:** Înlocuiește `adresa_ta_de_email@domeniultau.com` cu adresa ta de e-mail reală. Fă scriptul executabil:

sudo chmod +x /root/clamscan_daily.sh

Acum, deschide crontab-ul root pentru a programa scriptul:

sudo crontab -e

Adaugă următoarea linie la sfârșitul fișierului pentru a programa scanarea să ruleze în fiecare zi la ora 3:00 AM:

0 3 * * * /root/clamscan_daily.sh

Salvează și închide fișierul. Serverul tău va fi acum scanat automat în fiecare zi și vei primi o alertă prin e-mail doar dacă este găsită o amenințare.

Concluzie: O atitudine proactivă față de securitate

Implementarea unui instrument precum ClamAV este un pas fundamental în securizarea serverului tău virtual. Deși nu este o soluție magică, scanarea regulată și automată oferă un strat puternic de apărare împotriva unei game largi de amenințări comune. Urmând acest ghid, nu numai că ai instalat un antivirus, dar ai creat și un sistem de monitorizare profesional și automatizat care ajută la protejarea datelor și a reputației tale. Asumarea responsabilității pentru securitatea serverului tău este semnul distinctiv al unui administrator priceput, iar cu un VPS de înaltă performanță de la ENGINYRING ca fundație, ai mediul perfect pentru a construi o prezență online sigură și de succes. Pentru orice întrebări sau asistență cu serverul tău, echipa noastră de suport este întotdeauna gata să te ajute.