Размышление о антивирусе на серваке

[Мутный 54]

Всем привет !

 

На меня иногда находит и я начинаю размышлять, а как-же улучшить усложнить задачу хакерам, предлагаю здесь поразмышлять, ну и мне интересно мнение здешних специалистов, итак вопрос такой:

 

Есть сервер, не важно VPS или дедик, будем рассматривать сервер с *nix системой, это Дебиан, Red Hat, CentOS, FreeBSD не важно...

 

Сервер используется для размещения сайтов, почты и т.д.

 

Так-вот я по началу думал, а зачем АВ на сервере ? Ведь это-же Линукс, типо-там разграничение прав и всё такое...

 

А сейчас изменил своё мнение по следующим причинам:

 

1.Сайты имеют свойства загадочно взламоваться в самый неудобный момент и хакеры очень часто заливают различные шеллы и беккдуры/вирусы на сервер, эти шеллы и Ко, часто детектятся АВ, т.к. какеры ОЧЕНЬ ленивые люди и используют часто всё из паблика, даже не меняя код и т.д., для уменьшения детекта;

 

2.Многие веб-мастера, в частности и я не без такого греха, устанавливают скажем-так сомнительные плагины к CMS и другое сомнительное ПО, а ведь даже если ставить CMS и софт с офф. источников, навряд-ли кто-то делает аудит кода на безопасность, на отсутствие вирусов/шеллов и тут опять АВ может очень так не плохо помочь...

 

Так-вот начил я разбираться с этим делом и нашёл всёго один подходящий мне АВ - Это ClamAV, да и-то нескажу что я очень им доволен, сразу видны недостатки, следующие:

 

1)Демон, ну очень-уж прожорлив, отъедает более 250 памяти на сервере, грузит проц., для VPS да и думаю и для дедика нетакое-уж камельфо...;

 

2)Что-бы демон работал как в винде, т.е. удалял вирусы как монитор на "Лету", нужно там извините с бубном потанцевать с настройками и установкой доп. ПО !

 

3)Я решил проблему, тем-что через крон сделал запуск сканера командой, т.е. ночью автоматическая ежедневная проверка всех сайтов с новыми базами (Обновление баз тоже через планировщик).

 

Ну-тут опять проблема - Это долгая проверка, вот 14-15 гигов, проверяет час, было-бы прикольно если-бы было сделано что-бы старые уже проверенные файлы не проверялись, как это сделано в винде у того-же каспера например, и таким образом длительность/ресурсоёмкость проверки снизилась-бы в разы...

 

В общем вопрос, а кто какие АВ использует на серверах, да и вообще нужно-ли ?

[Мутный 54]

Что-то рассуждения в "Одну калитку" получились, неужели не укого здесь нет никаких идей ?

 

Самое интересное, что тему подхватили, много-где но не здесь, если исключить ресурсы где в основном говорили про "Линуксойд" и "Бу-га-га", вот на вепомском форуме вроде что-то немножко конструктивно сказали:http://forum.drweb.com/index.php?showtopic=321267

 

Но опять таки веп в данном случае мало подходит, т.к.:

 

1)Он ориентирован как понимаю на десктопы и почтовые сервера (Если не прав, давайте обсудим...);

 

2)Сомниваюсь что его демон, уж не такой тормозной, хотя не ставил не скажу, может позже поставлю гляну, что-там такое;

 

3)Чем он лучше ClamAV ? Вообще-бы не плохо может провести сравнительный анализ на реакцию на шеллы, на модификации и т.д. ?

 

На вепе не зарегин, но хочу вести обсуждение именно здесь (Тут хоть бу-га-га никто не говорит, уже не плохо ! ) , на самом деле тема может показаться не серьёзной, но на самом деле взлому и заражению не редко подвергаются сайты даже офф. организаций и правительственные сайты и своевременное обнаружение такого ПО, как минимум может спасти от многих проблем...

 

Не зря тот-же яндекс выпустил свой АВ:http://habrahabr.ru/company/yandex/blog/256463/

 

Но опять-таки это не-то:

 

-Нет обновлений баз;

 

-Проверяет на подозрительный код - Это хорошо, но опять таки может-быть ну-очень много ложных срабатываний на какие-то скрипты.

 

На форуме вепа (В той теме), было предложение свои Yara-правила подключить, но это опять таки нужно разбираться что-бы не было ложных срабатываний, может уже есть готовые правила ?

[Сергей Ильин 1538]

А сейчас изменил своё мнение по следующим причинам:  

 

1.Сайты имеют свойства загадочно взламоваться в самый неудобный момент и хакеры очень часто заливают различные шеллы и беккдуры/вирусы на сервер, эти шеллы и Ко, часто детектятся АВ, т.к. какеры ОЧЕНЬ ленивые люди и используют часто всё из паблика, даже не меняя код и т.д., для уменьшения детекта;  

 

2.Многие веб-мастера, в частности и я не без такого греха, устанавливают скажем-так сомнительные плагины к CMS и другое сомнительное ПО, а ведь даже если ставить CMS и софт с офф. источников, навряд-ли кто-то делает аудит кода на безопасность, на отсутствие вирусов/шеллов и тут опять АВ может очень так не плохо помочь...

 

Есть у меня сомнения на счет этих пунктов. 

 

1. Если сайт поломали, то в большинстве случаев вы об этом узнаете и без антивируса. Стандартная схема - на сайте появится что-то постороннее (вредонос будет отдаваться) или же трафик будет уходить куда-то на сторонний сайт (редирект).  Воровать что-то на большинстве сайтов просто нечего. Никакой интеллектуальной собственности или чего-то ценного. Лучше уж тогда поставить WAF и смотреть за аномалиями, гораздо полезнее антивируса будет.

 

2. Антивирусы тоже не делают аудит кода. Ни разу не видел, чтобы антивирус ругался на какой-то файл php, например. Поэтому по-хорошему все равно нужно ставить сомнительный код куда-то на тестовый сайт и смотреть что выдается и вот тут уже работать в том числе и с антивирусами на стороне клиента.

 

Что ускользает от внимания. Многие CMS сейчас умеет сами анализировать целостность своего кода. Даже этот форум показывает какие файлы менялись и могут, вероятно, представлять опасность. Т.е. на мой взгляд важнее следить за изменениями на сервере, контролировать их. 

[Сергей Ильин 1538]

Не зря тот-же яндекс выпустил свой АВ:http://habrahabr.ru/...ex/blog/256463/

 

Они все правильно делают. Сейчас ситуация такая, что поймать заражение на сайт очень просто. Риски значительно повышаются при использовании какой-то стандартной  CMS, в частности WordPress. Веб-мастер достаточно быстро узнает о заражении. Ему об этом сообщат через сервис для веб-мастеров  Google, Yandex или специализированный антивирус по подписке (даже с SSL в придачу иногда дают такую подписку).

 

А вот что делать дальше? Вот тут самое интересное начинается Вы знаете, что сайт заражен, даже видите вредоносный кусок кода в HTML. А как его найти и удалить в исходниках? При хорошем знании CMS это довольно просто, но далеко не все умеют. Это помогает сделать антивирус от Яндекса или различные умельцы-частники.

[Мутный 54]

Есть у меня сомнения на счет этих пунктов.

 

Всё правильно меня поправили, полностью согласен, но хочу добавит пару моментов:

 

1)Атаки бывают разные и есть атаки где проверка контроля уже не защитит, приведу примеры:

 

- Ведь необязательно взламывают, что-бы вставить рекламу на сайт, тут понятно чато идут вставки в индексный файл:index.php, index.html и достаточно сравнить на подозрительный код типо там eval, base64 и т.д.

А вот если взлом для рассылки спама, получения доступа к портам (Для создания ботнета), получения доступа к FTP или ещё чего, тогда если по простому через уязвимость заливается так-называемый шелл, причём прячется так, что хрен найдёшь, остальные файлы не меняются и таким образом проверка целлостности будет пройдена, а сам шелл в теории может найти АВ если он есть в базе конечно;

 

-Часто хакеры заливают вредоносные скрипты прям на сайт, это JS, PHP и прочее, опять-таки если они есть в базе, атака на пользователей сайта может-быть остановлена...

 

2)Ну и я считаю что нужно всё в комплексе использовать:Контроль целостности, АВ, скрипты для проверки на потенциально-опасные вставки и т.д.

 

3)Была у меня несколько раз практика заражения:

 

-Как-то было время любил поюзать нуллёные скрипты и вот кстати с IP Board один раз залетел, вышла новая версия скачал нуллёную, три дня всё ОК было, а потом форум загадочно начил пестрить рекламой ! От сюда уяснил, что всегда надо проверять, а лучше по возможности покупать конечно, особенно если проект важный...

 

-Также был случай у знакомого, купил плагин, а автор плагина намеренно сделал закладочку, через которую можно удалённо выполнять код при помощи специального запроса, к сожалениюю это утекло в паб, и многие стали взламывать сайты и шантажировать владельцев !

 

В обоих приведённых случаев контроль целлостности не поможет, правда если в первом случае можно сказать "Сам виноват...", то второй случай очень не приятный...

[Evola 1]

Ни разу не видел, чтобы антивирус ругался на какой-то файл php, например

 

Это у вас шеллы на компьютере не хранятся потому что.

 

[Сергей Ильин 1538]

Мутный сказал:

А вот если взлом для рассылки спама, получения доступа к портам (Для создания ботнета), получения доступа к FTP или ещё чего, тогда если по простому через уязвимость заливается так-называемый шелл, причём прячется так, что хрен найдёшь, остальные файлы не меняются и таким образом проверка целлостности будет пройдена, а сам шелл в теории может найти АВ если он есть в базе конечно;

 

 

 

Такие атаки можно будет обнаружить при помощи WAF. Но с антивирусом, безусловно, будет надежнее.

 

Мутный сказал:

2)Ну и я считаю что нужно всё в комплексе использовать:Контроль целостности, АВ, скрипты для проверки на потенциально-опасные вставки и т.д.

 

 

 

Согласен, в комплексе будет лучше. Здесь вопрос в бюджете и целесообразности настолько сложной защиты. Например, одна только защита от  DDoS - это несколько тыс $ в мес в самом скромном варианте. А если еще купить или подписаться на WAF, антивирус и тд, то бизнес может не потянуть. Это по плечу только крупным компаниям.

 

Мутный сказал:

-Как-то было время любил поюзать нуллёные скрипты и вот кстати с IP Board один раз залетел, вышла новая версия скачал нуллёную, три дня всё ОК было, а потом форум загадочно начил пестрить рекламой ! От сюда уяснил, что всегда надо проверять, а лучше по возможности покупать конечно, особенно если проект важный...

 

 

 

Классика, проверенный способ заражения через распространение пиратских копий. Через P2P или варезные форумы можно такого получить ...

Мутный сказал:

-Также был случай у знакомого, купил плагин, а автор плагина намеренно сделал закладочку, через которую можно удалённо выполнять код при помощи специального запроса, к сожалениюю это утекло в паб, и многие стали взламывать сайты и шантажировать владельцев !

 

 

 

Это отдельная проблема. Дареному коню зубы не смотрят, как говорят. Вот исследование в тему http://www.anti-malware.ru/analytics/Threats_Analysis/safety_analysis_free_templates_WordPress

 

Цитата

Более половины, а точнее 54%, оказались зараженными хакерскими веб-шеллами, бэкдорами, black hat SEO (“спам”) ссылками, а также содержали скрипты с критическими уязвимостями.

 

 

 

[Мутный 54]

одна только защита от DDoS - это несколько тыс $ в мес в самом скромном варианте.

Хе на меня сейчас идёт атака 1Гбит, чисто ради эксперемета попробую фришными средствами отразить, решил сделать связку:Nginx+GeoIP+Fail2ban+cloudflare Free...

 

По началу хотел без Cloudflare, чисто средствами своего сервера, не нравится мне Cloudflare, ибо провайдеры некоторые банят его айпи, но недооценил силу хакера который производит атаку, в этоге сейчас мой VPS забанили, жду пока разблокируют, достаточно-то было просто заблокировать 80-й порт им...

 

З.Ы. А прикольно, такая атака ложит сервер за пару секунд !