実施日:2022/02/13

<<今回の内容>>
マルウェア対策としてmaldectを導入します。

調べてみると、公式サイトからwgetコマンドかcurlコマンドを使用してダウンロードする必要がある。

cd /tmp/ && wget http：//www.rfxn.com/downloads/maldetect-current.tar.gz
ダウンロードコマンドと併せてcdコマンドで任意のディレクトリに移動してから、ダウンロードします

ダウンロードファイルはgzがファイル名の最後についているため、tarコマンドで解凍します。

tara xfz maldetect-current.tar.gz

エラーメッセージが表示されました。
tar:ERROR is not recoverable exting now
tarアーカイブではないという意味のようです。

fileコマンドで該当ファイルを確認してみます。
file maldetect-current.tar.gz
HTML Document,ASCII text with no line terminators
HTMLドキュメントのようです。

解決方法
上記のようにダウンロードサイトからダウンロードしたにも関わらず、正しくダウンロード出来ていないものは
コマンドの記述に誤りがあったり、ダウンロードの失敗で起きているようですので、再ダウンロードします。
再ダウンロードして、解凍出来ました。

lsコマンドで/tmp/ディレクトリの中を確認します。

/tmp$ ls
maldetect-current.tar.gz
maldetect-1.6.4
# maldetect-1.6.4が解凍後のファイルになります。

このままインストールまで作業を進めます。
cd maldetect-1.6.4 && ./install.sh
./insall.shの前にsudoを入れていないで実行したため、～のファイルやディレクトリはありませんと
ズラズラと表示されましたので、やり直しです。
sudo ./install.sh
参考にさせて頂いたサイト様と同様にインストールが完了しました。

インストールが完了しましたので、設定をします。

その前に設定ファイルのバックアップを取っておきます。
cp /usr/local/maldetect/conf.maldet /usr/local/maldetect/conf.maldet-default

取得したバックアップファイルを別のディレクトリに移します。
sudo mv /usr/local/maldetect/conf.maldet-default /tmp/default-file/

設定ファイルの編集
sudo nano /usr/local/maldetect/conf.maldet

編集項目
email_alert="0"を"1"に変更
email_address="you@domain.com"を"ユーザー名@localhost"に変更
scan_user_access="0"を"1"に変更
quarantine_hits="0"を"1"に変更
quarantine_suspend_user="0"を"1"に変更

設定を編集しましたので、次は更新をしてみます。

更新の前にログインしているユーザーの正しいパスを作成します。
sudo /usr/local/sbin/maldet --mkpubpaths

更新をします。
maldet -u

最新バージョンがあるか確認します。
maldet -d

最新バージョンであることが表示されていました。

実際にmaldetが機能しているか確認します。

clamavでお世話になったeicarから確認用で頂いてきます。
wget http://www.eicar.org/download/eicar_com.zip

スキャンします。
maldet -a /tmp
マルウェアとしてヒットしたのが9件ありました。
誤検知の可能性があるため、ヒットしたファイルの確認が必要です。

本日はここまで。