CASE-LINUX MAIL - ANTIVIRUS

Transcription

1 1 CASE-LINUX MAIL - ANTIVIRUS Introduction On va utiliser ClamAV, une solution antivirus open source qui servira au scan complet du système et pourra être une dépendance à d'autres services. ClamAV est devenu le standard open source pour servir de passerelle mail servant aux services mail. ClamAV intègre également un daemon capable de scanner sur demande certains fichiers ainsi qu'un système de mise à jour automatique de la base de données antivirale. ClamAV est compatible avec plusieurs formats d'archive, de fichiers et ce de différents langages.

2 2 Mise en place La mise en place peut se faire de 3 manières: - Via le gestionnaire de paquet - Via le git officiel - Via le package officiel Si on regarde les prérequis ClamAV nécessite explicitement un compilateur C ainsi que la librairie Zlib. Le premier est inclus dans Debian tandis que le deuxième doit être inclus manuellement. Ces prérequis ne sont nécessaires que pour les méthodes d'installation via git et package. ClamAV recommande l'installation via le gestionnaire de paquet car il est d'une simplicité déconcertante et qu'il est d'autant plus facile à maintenir à jour. Avant tout on met à jour nos sources: aptitude install update Pour debian l'installation est très simple: aptitude install clamav L'application va mettre en place tous les fichiers nécessaires et créer un utilisateur dédié nommé clamav (107:110). Configuration de l'heure et du fuseau horaire L'antivirus devra se mettre à jour constamment, la bonne heure et le bon fuseau horaire sont deux points primordiaux à respecter pour un bon fonctionnement de celui-ci. Pour voir les paramètres actuels il suffit de taper la commande date On peut modifier cette date et le fuseau horaire avec les commandes suivantes: date --set STRING vim /etc/timezone STRING étant le paramètre d'heure à mettre (voir man date) Cependant cette méthode reste manuelle et ne sera jamais automatique! On va donc dépendre d'un service NTP (Network Time Protocol) qui de lui-même maintiendra à jour les paramètres heure/fuseau au moment du restart des interfaces. Il faut donc être conscient que

3 3 ce service va aller chercher sur le net les informations nécessaires pour se mettre à jour et ce uniquement au moment du restart des interfaces ou via la commande ntpdate-debian. Il serait donc bon de penser à automatiser cette commande via cron. Installons le service NTP: aptitude install ntpdate Allons jeter un œil sur son fichier de conf : vim /etc/default/ntpdate Dans le début de ce fichier on remarque qu'un commentaire dit: "Mettre sur OUI pour dépendre d'un serveur provenant d'une liste venant de /etc/ntp/conf. Cela sous-entend qu'on peut dans ce fichier /etc/ntp/conf inscrire des serveurs préférés pour l'update de notre heure. Dans mon cas je n'ai pas de préférences, donc je passe ce paramètre à "no" NTPDATE_USE_NTP_CONF=no Tout semble bon, on va donc mettre à jour notre heure. ntpdate-debian Il répond la date mise à jour ainsi que le message: "adjust time server" En tapant la commande date on remarque qu'elle a bien été mise à jour. Mise à jour du logiciel et de sa DB ClamAV propose une commande permettant de tout mettre à jour: freshclam Au moment où cette commande est tapée elle indique l'heure et la date à laquelle elle a commencé (peut servir pour des logs ;-) ). Elle mettra à jour ClamAV si besoin ainsi que sa base de données antivirale.

4 4 Scan antivirus Si vous avez la malchance d'avoir un virus non répertorié sur votre machine vous pouvez le soumettre à ClamAV via la commande clamsubmit Si vous désirez faire une analyse il suffit d'utiliser la commande clamscan Cette commande est très puissante car elle prend en premier argument la position du folder à analyser et peut prendre d'autres paramètres décrits ci-après. Utilisée telle quelle la commande clamscan scanne le folder où vous vous situez (pour le savoir se référer au prompt ou à la commande pwd). Le scan se fait et donne un résumé de la situation. Un petit tour sur man clamscan nous en apprend énormément sur cette commande. Prenons une situation d'exemple: "Je veux scanner tous les fichiers situer dans /etc/ et ce en voyant chaque étape de l'analyse et en supprimant les fichiers infectés" La commande à exécuter est la suivante: clamscan /etc/ -rv --remove /!\ Le paramètre --remove est dangereux! ClamAV ne désinfecte pas il supprime les éléments jugés néfastes!

5 5 Test de fonctionnement Comment savoir que notre antivirus est capable de fonctionner? Soit on lui injecte un virus que l'on possède (ce qui n'est pas mon cas) soit on utilise un fichier de pen test antivirus nommé eicar. Voir pour plus d'infos. Ce fichier contient une syntaxe propre qu'un antivirus doit considérer comme dangereux. Téléchargeons donc ce fichier texte et mettons-le dans /etc/ par exemple afin de pouvoir réutiliser la commande de scan précédente. wget mv eicar.com.txt /etc/ Lançons la commande clamscan /etc/ -rv --remove Le résultat est le suivant: Un fichier infecté trouvé, via le paramètre --remove il devrait être supprimé Si on vérifie l'existence de ce fichier en faisant: ls l /etc/ Le fichier a bien été traité.

6 6 Création d'un script d'analyse Créons ce script et donnons-lui des permissions: vim /sbin/scanvirus.sh chmod u+x scanvirus.sh #!/bin/bash ### VARIABLES ### vertclair='\e[1;32m' rouge='\e[0;31m' bleuclair='\e[1;34m' neutre='\e[0;m' #Variable programme jour=($(date +%Y%m%d)) heure=($(date +%H%M)) log="${jour}_${heure}" logfile="${log}.txt" ### SCANALL ### echo "Recherche d'updates" freshclam --quiet echo -e "${vertclair}=> FAIT${neutre}" start=($(date +%R)) echo -e "Debut execution scan:${vertclair} $start${neutre}" echo -e "Lancement du scan..." clamscan / --quiet -r --move=/quarantine --infected -- log=/antivirus_log/$logfile --exclude=/quarantine - exclude=/antivirus_log --exclude=/sys echo -e "Scan terminé..." end=($(date +%R)) echo -e "Fin execution scan:${vertclair} $end${neutre} " mail -s "Log Antivirus" monadresse@gmail.com < /ANTIVIRUS_LOG/$logfile read -p "Appuyez sur ENTER pour continuer" clear echo -e "Scan antivirus effectué le${bleuclair} $jour${neutre} à${bleuclair} $heure${neutre} " Il faut au préalable créer deux folders: et leur donner des droits mkdir /ANTIVIRUS_LOG mkdir /QUARANTINE chmod u+x /ANTIVIRUS_LOG chmod u+x /QUARANTINE

7 7 Test du script Si on fait scanvirus.sh il scanne de manière discrète tout le système. Je fais un wget afin de retélécharger le fichier de test eicar et je le place dans /sbin/. Si je lance l'analyse voyons ce qui en ressort: Voyons concrètement ce qui a été fait: /sys /ANTIVIRUS_LOG /QUARANTINE Fichiers système / ClamAV analyse l'entièreté du système depuis la racine ("/") en ayant exclus de son scan /sys, /QUARANTINE et /ANTIVIRUS_LOG. Les fichiers "dangereux" sont déplacés en quarantaine et les logs sont écrit dans /ANTIVIRUS_LOG et transmit par .

8 8 Si je vais regarder dans mes mails: /sbin/eicar.com: Eicar-Test-Signature FOUND /sbin/eicar.com: moved to '/QUARANTINE/eicar.com.001' SCAN SUMMARY Known viruses: Engine version: Scanned directories: 7455 Scanned files: Infected files: 1 Data scanned: MB Data read: MB (ratio 1.11:1) Time: sec (1 m 30 s) Il me dit bien qu'il a trouvé un fichier infecté et donne son emplacement, m'indique qu'il l'a déplacé dans le dossier QUARANTINE et donne son nouveau nom. Un résumé de la situation est aussi donné. On peut également tester l antivirus avec des packs de faux positifs, Kaspersky en propose sur son site : Il y a 12 niveaux de test disponibles. Selon Kaspersky si l antivirus crie encore contamination après le niveau 10 la protection est très élevée. Pour récupérer ces packs il suffit de copier le lien de téléchargement comme pour le fichier eicar et faire un wget. wget wget wget Une fois ceux-ci téléchargés on peut lancer notre script d analyse. scanvirus.sh On va dans notre folder de logs dédiés. cd /ANTIVIRUS_LOG On va afficher notre log afin de voir ce qu il a réussi à trouver et s il les a bien déplacée. cat _1045.txt

9 9 Automatisation du script + serveur NTP Ce script ne se lance que sur demande hors pour un serveur mail durant la prod ClamAV conseille de le lancer 4 fois par heure! Dans mon cas vu qu'il ne s'agit que d'un labo je ne vais le lancer qu'une fois toutes les deux heures. Pour se faire on va dépendre de cron: crontab -e La syntaxe à entrer est la suivante : * * * * * /scriptoucommande * signifie tout le temps en quelques sortes, de gauche à droite chaque * correspond à: min, heure, jour, mois, jour de la semaine (en sachant que 0 = Dimanche) Si je veux le lancer toutes les deux heures je fais: 0 */2 * * * /bin/bash /sbin/scanvirus.sh On peut faire pareil pour le serveur ntpdate-debian Quelques infos et exemples sur cron Voir man pour plus d'informations sur la syntaxe * * * * * /sbin/scanvirus.sh Minutes Heure Jour Mois JourSemaine Script/commande 0 à 59 0 à 23 1 à 31 1 à 12 0 à 6 0=Dimanche Quelques notations existantes : A chaque unité de temps * 1-6 */4 7,12 Unité de temps de 1 à Toutes les 3 unités de 6 ( ) temps Les unités de temps 7 et 12 On peut également spécifier une syntaxe spécifique à la place du temps suivit de la firewall.sh stop

10 10 Exemples Une tâche qui se lance tous les jours à 23H30 : 30 3 * * * /root/test.sh Une tâche qui se lance toutes les heures, passées de 5 minutes : 5 * * * * /root/test.sh Une tâche qui se lance tous les premiers du mois à 23h30 : * * /root/test.sh Une tâche qui se lance tous les quarts d'heure : 15,30,45,0 * * * * /root/test.sh OU */15 * * * * /root/test.sh Une tâche qui se lance tous les lundis à 22h28 : * * 1 /root/test.sh Une tâche qui se lance toutes les 2 minutes : */2 * * * * /root/test.sh Une tâche qui se lance toutes les 2 heures: 0 */2 * * * /root/test.sh Une tâche qui se lance tous les jours pairs du mois à 23h59 : */2 * * /root/test.sh