Comment analyser votre machine Linux à la recherche de chevaux de Troie, de logiciels malveillants et de virus à l'aide de ClamAV

Ce didacticiel vous guidera tout au long de l'installation de ClamAV sur CentOS, qui peut vous aider à détecter les virus, les logiciels malveillants, les chevaux de Troie et d'autres menaces malveillantes sur votre machine Linux. Avant d'entrer dans les étapes d'installation, je vais vous informer rapidement sur ClamAV. ClamAV est un moteur antivirus open source ou un programme conçu pour analyser le répertoire spécifié et consigner les menaces identifiées. Il vous permet de maintenir à jour les bases de données virales en programmant un script cron.

Dans ce didacticiel, vous apprendrez à configurer des analyses planifiées et des analyses à la demande à l'aide de ClamAV. C'est parti,

Installer le référentiel EPEL

1. Téléchargez et installez EPEL Repo pour yum

# yum install epel-release -y

2. Modifiez le fichier EPEL Repo et définissez 'enabled=1 ‘.

# vim /etc/yum.repos.d/epel.repo

Installer les packages ClamAV

1. Maintenant que vous avez EPEL Repo, allez-y et installez les packages ClamAV comme ci-dessous :

# yum install clamav clamd

2. Définissez 'clamd ' démon à démarrer lors du démarrage du système.

# chkconfig clamd on

3. Lancez ‘clamd ‘ Serveur antivirus :

#/etc/init.d/clamd start
 Starting Clam AntiVirus Daemon: LibClamAV Warning: **************************************************
 LibClamAV Warning: *** The virus database is older than 7 days! ***
 LibClamAV Warning: *** Please update it as soon as possible. ***
 LibClamAV Warning: **************************************************
 [ OK ]

Le démon vérifiera les signatures de virus à jour et avertira si la base de données est ancienne.

4. Vous pouvez mettre à jour la base de données virale à l'aide de la commande ci-dessous

# freshclam
 ClamAV update process started at Tue Oct 6 15:48:09 2015
 main.cvd is up to date (version: 55, sigs: 2424225, f-level: 60, builder: neo)
 connect_error: getsockopt(SO_ERROR): fd=5 error=111: Connection refused
 Can't connect to port 80 of host db.in.clamav.net (IP: 120.88.46.210)
 Trying host db.in.clamav.net (193.1.193.64)...
 WARNING: getfile: daily-20395.cdiff not found on remote server (IP: 193.1.193.64)
 WARNING: Incremental update failed, trying to download daily.cvd
 connect_error: getsockopt(SO_ERROR): fd=5 error=111: Connection refused
 Can't connect to port 80 of host db.in.clamav.net (IP: 120.88.46.210)
 Downloading daily.cvd [100%]
 daily.cvd updated (version: 20954, sigs: 1589056, f-level: 63, builder: jesler)
 Downloading bytecode.cvd [100%]
 bytecode.cvd updated (version: 268, sigs: 47, f-level: 63, builder: anvilleg)
 Database updated (4013328 signatures) from db.in.clamav.net (IP: 193.1.193.64)

Remarque :La base de données virale sera mise à jour quotidiennement à l'aide du script cron '/etc/cron.daily/freshclam ‘. Vous n'avez pas besoin d'en créer un, il sera créé automatiquement lors de l'installation du package.

Exécution de l'analyse instantanée

Vous pouvez analyser n'importe quel répertoire instantanément à l'aide de la commande ci-dessous.

#/usr/bin/clamscan -i -r /home/peter/

----------- SCAN SUMMARY -----------
Known viruses: 4007761
Engine version: 0.98.7
Scanned directories: 1
Scanned files: 22
Infected files: 0
Data scanned: 79.93 MB
Data read: 2.74 MB (ratio 29.15:1)
Time: 17.215 sec (0 m 17 s)

Configurer l'analyse planifiée

Afin de planifier une analyse, nous allons écrire un simple script shell spécifiant le répertoire à analyser et un fichier pour enregistrer les résultats.

1. Créez un script cron quotidien comme ci-dessous :

# vim /etc/cron.daily/manual_clamscan

2. Copiez et collez le code ci-dessous et apportez les modifications en conséquence. Par exemple, recherchez 'SCAN_DIR ' et le 'LOG_FILE ‘.

#!/bin/bash
 SCAN_DIR="/"
 LOG_FILE="/var/log/clamav/manual_clamscan.log"
 /usr/bin/clamscan -i -r $SCAN_DIR >> $LOG_FILE

#chmod +x  /etc/cron.daily/manual_clamscan

Le script ci-dessus analysera l'intégralité du répertoire racine "/". Vous pouvez afficher le fichier journal (/var/log/clamav/manual_clamscan.log ) pour lire les résultats de l'analyse.

Supprimer les fichiers infectés

Vous pouvez également supprimer ou supprimer automatiquement le fichier malveillant. Pour ce faire, vous pouvez utiliser '–remove ".

ATTENTION !!! :Soyez prudent lorsque vous activez '–supprimer ' option avec 'clamscan ', car cela supprimera complètement le fichier.

Soumettre le fichier à Sourcefire

Vous pouvez également soumettre des fichiers à Sourcefire pour une analyse plus approfondie en utilisant 'clamsubmit ‘ commande.

C'est ça. Connaissez-vous un autre programme antivirus pour Linux ? Faites-nous part de vos commentaires.

Merci au blog CentOS.