लिनक्स सर्वर को मैलवेयर और रूटकिट के लिए कैसे स्कैन करें

वर्म्स, वायरस, मैलवेयर और खतरनाक रूटकिट हर सर्वर एडमिनिस्ट्रेटर के अस्तित्व का अभिशाप हैं। आर्किटेक्चर के आधार पर, संक्रमित सिस्टम में कोड नीर-डू-वेल्स के लिए कई विकल्प हो सकते हैं, संवेदनशील जानकारी इकट्ठा करना और/या इस प्रक्रिया में संगठनों को काफी पैसा खर्च करना।

शुक्र है, आपको ऐसे साइबर-दुश्मनों के सामने हार का झंडा फहराने की ज़रूरत नहीं है - उनका आपके सर्वर पर पता लगाना संभव है, और आपके लिनक्स सर्वर को मैलवेयर और रूटकिट के लिए स्कैन करने में मदद के लिए बहुत सारे टूल हैं। सबसे अच्छी बात, इनमें से कई टूल उपयोग करने के लिए मुफ्त हैं।

1. Clam AV

यह कमांड लाइन एंटीवायरस मेल सर्वर्स के साथ घनिष्ठ रूप से एकीकृत होने के लिए डिज़ाइन किया गया है और SuSE, फेडोरा और उबंटू जैसे प्रमुख लिनक्स डिस्ट्रो सहित सभी प्रकार के सिस्टम के लिए उपलब्ध है।

उबंटू में इंस्टॉलेशन निम्न कमांड चलाने जितना आसान है:

sudo apt install clamav clamav-daemon

एक बार इंस्टॉल हो जाने पर, clamav का उपयोग टर्मिनल से आपके पूरे सिस्टम को बारीकी से जांचने और किसी भी संक्रमित फाइल को साफ करने के लिए किया जा सकता है। इसके अलावा, Clam AV शक्तिशाली रियल-टाइम स्कैनिंग और रिसोर्स-मॉनिटरिंग यूटिलिटी भी प्रदान करता है।

अपने सर्वर के फाइल सिस्टम का एक साधारण स्कैन चलाने के लिए, रूट डायरेक्टरी से निम्न कोड का उपयोग करें:

clamscan -r -i

उपरोक्त कमांड Clam AV को एक रिकर्सिव स्कैन (फाइलों के भीतर फाइलों की जांच) करने और केवल संक्रमित डॉक्यूमेंट्स को टर्मिनल पर प्रिंट करने का निर्देश देगा। ध्यान रखें कि इससे पहले कि आप इस कोड को चलाएं, आपको Clam AV को अपने मशीन पर वायरस सिग्नेचर का डेटाबेस इंस्टॉल करने के लिए पर्याप्त समय देना होगा। इस प्रक्रिया पर नज़र रखने के लिए, आप सर्विस को कैंसिल कर सकते हैं और निम्न कोड के साथ मैन्युअली रीस्टार्ट कर सकते हैं:

sudo systemctl stop clamav-freshclam.service

इसके बाद:

sudo freshclam

स्कैन के दौरान संक्रमित फाइलों को सिस्टम से ऑटोमैटिकली हटाने के लिए, निम्न कोड का उपयोग करें। (इस विकल्प से सावधान रहें!):

clamscan -r -i --remove

2. chkrootkit

यह टूल दुर्भावनापूर्ण लोडेबल कर्नेल मॉड्यूल, वर्म्स और पूर्ण विकसित रूटकिट का पता लगाने के लिए कई टेस्ट चलाता है।

उबंटू के लिए, यह टूल आधिकारिक रिपॉजिटरी से उपलब्ध है। इसे इंस्टॉल करने के लिए निम्न कोड का उपयोग करें:

sudo apt install chkrootkit

Clam AV के विपरीत, chkrootkit एक पैसिव टूल है और इसका पता लगाए गए खतरों पर कार्रवाई करने की कार्यक्षमता का अभाव है। आपके सर्वर के फाइल सिस्टम में यह जो कुछ भी संदिग्ध पाता है, उस पर शोध किया जाना चाहिए और मैन्युअली हटाया जाना चाहिए, इसलिए बाद के संदर्भ के लिए इसके आउटपुट की एक प्रति रखें।

इस टूल को चलाने के लिए, निम्न कमांड का उपयोग करें:

sudo chkrootkit

chkrootkit आपको जो सूची देता है वह आगे के निदान के लिए एक अच्छा प्रारंभिक बिंदु है।

3. AIDE

इस टूल का नाम एक संक्षिप्त नाम है जो "Advanced Intrusion Detection Environment" के लिए खड़ा है - एक समान टूल Tripwire के लिए पूरी तरह से मुफ्त प्रतिस्थापन।

AIDE आपको अपने सिस्टम की फाइलों पर कड़ी नज़र रखने की अनुमति देता है ताकि यह ट्रैक किया जा सके कि वे कब और कैसे संशोधित या अन्यथा एक्सेस की जाती हैं। यह टूल apt के साथ उबंटू के आधिकारिक रिपॉजिटरी से आसानी से इंस्टॉल करने योग्य है।

sudo apt install aide

इंस्टॉलेशन प्रक्रिया पूरी करने के लिए, आपको Postfix को प्रस्तुत विकल्पों के माध्यम से कॉन्फिगर करना होगा। इन नेविगेट करने के लिए, आप Tab कुंजी या एरो बटन का उपयोग कर सकते हैं, फिर जिस विकल्प को चाहते हैं उस पर एंटर दबाएं। Postfix का उपयोग आपके द्वारा नियंत्रित शेड्यूल पर आपके ईमेल पते पर जानकारी भेजने के लिए किया जाता है।

AIDE कॉन्फिगर करने के लिए कुछ फाइल मैनिपुलेशन की आवश्यकता होती है। आपको निम्न स्थानों में फाइलों को संभालने की आवश्यकता होगी:

/var/lib/aide
/etc/aide

सबसे पहले, हम निम्न कमांड चलाकर डेटाबेस और कॉन्फिग फाइलें बनाएंगे:

sudo aideinit

एक बार पूरा हो जाने पर, यह प्रक्रिया जनरेट किए गए डेटाबेस और कॉन्फिग फाइलों को "/var/lib/aide/" में "aide.db.new" और "aide.conf.autogenerated" नामों के तहत रखती है। इन दोनों को क्रमशः "aide.db" और "aide.conf" के रूप में कॉपी करने की आवश्यकता है ताकि वे ठीक से काम कर सकें।

नए नाम के साथ डेटाबेस फाइल की एक प्रति बनाना निम्न कोड के साथ आसान है:

sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db

कॉन्फिग फाइल का नाम बदलने और कॉपी करने से पहले, इसे निम्न कमांड से अपडेट करें:

sudo update-aide.conf

एक बार जब आप कॉन्फिग फाइल अपडेट कर लेते हैं, तो इसे सही फोल्डर में निम्न कमांड से कॉपी करें:

sudo cp /var/lib/aide/aide.conf.autogenerated /etc/aide/aide.conf

अब AIDE आपके सर्वर पर कार्यात्मक होना चाहिए और सक्रिय रूप से आपके फाइल सिस्टम के HASHED प्रतिनिधित्व को देख रहा होगा जिसे इसने जनरेट किया है।

AIDE को फोल्डर्स को बाहर करने, समय-समय पर चलाने और इसके कॉन्फिग फाइल को संशोधित करके और अधिक कॉन्फिगर किया जा सकता है, लेकिन निम्न कमांड आपके सिस्टम का आउटपुट देखने के लिए पर्याप्त है:

aide -c /etc/aide/aide.conf -C

AIDE सबसे प्रभावी होता है जब इसकी कॉन्फिग को रीड-ओनली स्थान से एक्सेस किया जाता है, क्योंकि रूटकिट हमलावरों को फाइल संशोधित करने की अनुमति दे सकते हैं। इष्टतम परिणामों के लिए ऐसा सेटअप लागू करने पर विचार करें।

इस आर्टिकल में शामिल टूल्स को आपको विभिन्न तकनीकों का उपयोग करके अपने लिनक्स सर्वर को मैलवेयर और रूटकिट के लिए स्कैन करने में मदद करनी चाहिए। रूटकिट डिजिटल खतरों में सबसे पेचीदा हैं, लेकिन उचित परिश्रम से उन्हें रोका जा सकता है।