Virussen opsporen op Linux via de commandoregel

Om virussen op Linux via de commandoregel te detecteren, installeer je ClamAV , werk je de signature-database bij met FreshClam en voer je ClamScan uit op de bestanden of mappen die je wilt controleren. Voeg de optie toe --recursiveom submappen mee te nemen en --infectedom detecties weer te geven zonder elk schoon bestand te tonen. ClamScan voert een eenmalige scan uit en vereist niet dat de clamdservice actief is. Een schoon rapport betekent dat ClamAV geen overeenkomende signature heeft gevonden in de gescande inhoud; het is geen bewijs dat elk bestand veilig is.

ClamAV detecteert virussen en andere malware in bestanden op Linux-systemen, maar het is een toolkit voor het scannen op malware en geen complete endpointbeveiligingssuite. Zie het ClamAV-overzicht voor meer informatie over de mogelijkheden.

1. Installeer ClamAV vanuit uw distributie

Gebruik de pakketbeheerder van uw distributie wanneer er een onderhouden ClamAV-pakket beschikbaar is. De ontwikkelaars van ClamAV merken op dat pakketnamen en configuratiepaden per distributie kunnen verschillen, dus raadpleeg de pakketdocumentatie van uw distributie als een commando afwijkt. Dit zijn veelvoorkomende pakketvoorbeelden:

Als uw pakketbeheerder aangeeft dat een van de updater-pakketnamen niet beschikbaar is, installeer dan het pakket dat wel beschikbaar is freshclamvoor uw release. Vermijd het kopiëren van oude broncode-commando's uit verouderde handleidingen: de huidige buildvereisten en configuratie van ClamAV zijn in de loop der tijd veranderd.

Controleer of de scanner is geïnstalleerd:

clamscan --versie

2. Update de virusdefinities van ClamAV

FreshClam downloadt en actualiseert de officiële signature-databases van ClamAV. Als uw distributie de FreshClam-updater nog niet heeft, start dan een handmatige update met:

sudo verse schelp

Sommige pakketten configureren een updateservice op de achtergrond. Als een handmatige update meldt dat er al een ander updateproces actief is, laat die service dan eerst afmaken in plaats van FreshClam herhaaldelijk te starten. Controleer de servicenaam die door uw distributie wordt gebruikt; op sommige systemen is dit clamav-freshclam. Zorg ervoor dat de handtekeningen actueel zijn vóór elke handmatige scan. De FreshClam-documentatie legt uit hoe database-updates werken.

3. Scan een bestand of map

Om een ​​gedownload bestand te inspecteren, vervangt u dit sample.zipdoor het bestand dat u wilt controleren:

clamscan --infected "$HOME/Downloads/sample.zip"

U hoeft geen sudobestanden te scannen die uw account kan lezen. Als u een machtigingsfoutmelding krijgt, scan dan een pad waarvan u de eigenaar bent of voer de opdracht indien nodig opnieuw uit met beheerdersrechten.

Om een ​​map en alles daaronder te scannen, gebruikt u --recursive(verkorte vorm -r):

clamscan --recursive --infected "$HOME/Downloads"

Zonder de recursieve optie controleert ClamScan bestanden in de opgegeven map, maar niet in de submappen. Voeg deze optie toe --verboseals u meer scanactiviteit wilt zien, of gebruik deze --log=FILEom een ​​rapport op te slaan.

4. Controleer uw thuismap of andere locaties.

Je thuismap is een logische plek om te beginnen, omdat deze je downloads en geopende bestanden bevat. Deze opdracht scant de thuismap van de huidige gebruiker en de daarin verscholen mappen:

clamscan --recursive --infected "$HOME"

Voor een uitgebreidere controle van de locaties van gebruikers- en tijdelijke bestanden kunt u meerdere mappen in één commando opgeven:

sudo clamscan --recursive --infected /home /tmp /var/tmp

Voeg het pad van een gekoppelde schijf toe, bijvoorbeeld /media/$USER/DRIVE_NAME, als u verwijderbare opslag wilt inspecteren. Een scan van het volledige rootbestandssysteem is ook mogelijk met sudo clamscan --recursive --infected /, maar dit kan lang duren en kan bestanden rapporteren die niet gelezen kunnen worden of speciale virtuele bestandssystemen. Druk op Ctrl+Com de scan te stoppen. Beschouw toegangsfouten als niet-gescande bestanden, niet als schone resultaten. ClamAV hanteert ook scanlimieten voor sommige grote of complexe bestanden; bekijk de ClamScan-opties en -limieten voordat u een brede scan interpreteert.

5. Sla het scanrapport op en interpreteer het.

Om een ​​rapport voor latere raadpleging te bewaren, voegt u een logpad toe. Dit zorgt ervoor dat het bestand scan.login uw huidige map wordt opgeslagen:

clamscan -r -i --log=scan.log ~/Downloads

Open het opgeslagen rapport met less scan.logof lees de samenvatting die ClamScan afdrukt wanneer het klaar is. Als de samenvatting aangeeft dat Infected files: 0er geen geladen handtekening is gevonden die overeenkomt met de bestanden die succesvol zijn gescand. Een regel die eindigt op geeft FOUNDde naam van een bestand en de detectiehandtekening weer; dit is een waarschuwing om te onderzoeken, geen reden om het bestand te openen.

• Als ClamAV een detectie meldt, voer het bestand dan niet uit en bekijk het niet in de preview. Isoleer het van normaal gebruik, noteer het pad en de naam van de signature, en controleer waar het vandaan komt.
• Gebruik dit niet --removeals standaardreactie. Valse positieven kunnen voorkomen en automatische verwijdering kan een bestand vernietigen dat u nodig hebt. ClamAV beschrijft alternatieven voor quarantaine en legt in de scanwaarschuwingshandleiding uit hoe u vermoedelijke valse positieven kunt beoordelen .
• Als de scan fouten meldt met betrekking tot machtigingen, lezen of de database, los deze dan op en voer de scan opnieuw uit. Een bestand dat ClamAV niet kon inspecteren, is niet verwijderd.

Voor een standaardcontrole moet u eerst de handtekeningen bijwerken, vervolgens de map Downloads en uw thuismap recursief scannen en daarna eventuele waarschuwingen en het eindoverzicht bekijken. De ClamAV- clamonaccclient biedt realtime monitoring clamd, maar daarvoor is een aparte configuratie nodig. Een eenvoudig clamscancommando controleert alleen de paden die u opgeeft.