Содержание:
Выбирайте VPS
Если Вы находитесь в поиске хорошего провайдера, то ознакомьтесь с рейтингом надежных VPS.
Перейти
Нужен ли антивирус на Linux-сервере?
Linux-сервер действительно реже становится целью классических массовых вирусов, но это не значит, что защита не нужна. На практике антивирус в Linux применяют не столько для «лечения» самой системы, сколько для контроля входящего и исходящего контента: загруженных файлов, почтовых вложений, архивов, PHP-скриптов, web-контента и файловых хранилищ.
Для Linux-сервера особенно важны три сценария. Первый — веб-хостинг, где пользователи могут загружать файлы, а на диске лежат PHP, JS, архивы и медиа. Второй — почтовый сервер или шлюз, где нужно фильтровать вложения. Третий — файловый сервер, на котором необходимо не допустить распространения вредоносных файлов дальше по инфраструктуре. В таких случаях антивирус — это дополнительный слой контроля, а не замена обновлениям, изоляции сервисов, SELinux/AppArmor, резервным копиям и нормальной настройке прав доступа.
Если сервер используется как обычный VPS под один сайт или один сервис, антивирус часто нужен только для периодической проверки файлов и поиска следов компрометации. Если же это хостинг-сервер с множеством сайтов клиентов, антивирус и интеграция со сканером файлов становятся уже практически обязательными. Для Linux важно учитывать совместимость антивируса с системой. Некоторые коммерческие решения поддерживают не все дистрибутивы, версии Linux и файловые системы. Поэтому перед установкой стоит проверить системные требования выбранного антивируса.
Какие решения актуальны и как выбрать?
Для Linux-серверов доступны как бесплатные антивирусы, так и коммерческие решения. Они отличаются не только стоимостью, но и назначением:
- ClamAV — бесплатный антивирус с открытым исходным кодом. Подходит для проверки файлов, сайтов, почтовых вложений и периодического сканирования сервера.
- Kaspersky Endpoint Security for Linux — коммерческое решение с централизованным управлением, рассчитанное в первую очередь на корпоративную инфраструктуру.
- ESET Endpoint Antivirus for Linux — коммерческий антивирус для серверов и рабочих станций с возможностью централизованного управления.
- Sophos Protection for Linux — серверная защита с управлением через Sophos Central.
- Kaspersky Virus Removal Tool (KVRT) — бесплатный инструмент для разовой проверки сервера, например при подозрении на заражение.
- ImunifyAV+ — решение для веб-серверов и хостинга, ориентированное на поиск и лечение вредоносного кода в файлах сайтов.
KVRT и ImunifyAV+ немного отличаются от классических серверных антивирусов. KVRT удобно использовать как дополнительный сканер при подозрении на заражение, а ImunifyAV+ — для регулярной проверки сайтов на сервере.
ESET Endpoint Antivirus for Linux продолжает получать новые версии. Kaspersky Endpoint Security for Linux также поддерживается и может использоваться вместе с Kaspersky Security Center для централизованного управления.
Сравнение, примеры использования и практические команды
ClamAV подходит там, где нужен понятный контроль файлов без лицензий и сложной консоли. В документации ClamAV указано, что он сканирует архивы, обнаруживает миллионы вирусов, червей и троянов, поддерживает Linux on-access scanning через ClamOnAcc, а также умеет анализировать разные типы файлов, включая ELF-исполняемые файлы и скрипты внутри контейнеров.
Kaspersky чаще выбирают там, где важны централизованная политика, корпоративное управление и защита серверов в управляемой среде. В документации Kaspersky Endpoint Security for Linux есть поддержка file servers, а также ограничения по файловым системам для fanotify-механизма. Это хороший выбор для инфраструктуры, где уже используется Kaspersky Security Center.
ESET Endpoint Antivirus for Linux актуален и регулярно обновляется. Его разумно рассматривать, если в компании уже используется ESET и нужна единая политика для серверов и рабочих станций. По официальной документации продукта есть отдельные требования к системе и интеграции с AD через SSSD.
Sophos Protection for Linux ориентирован на управление через Sophos Central. В документации есть on-demand antivirus scanner Server Protection и управление политиками threat protection. Это хороший вариант для организаций, которые уже используют экосистему Sophos.
KVRT отличается от перечисленных решений тем, что его обычно используют не как постоянную защиту сервера, а как дополнительный сканер. Он может пригодиться, если появились признаки компрометации и нужно провести отдельную проверку системы другим антивирусным движком.
ImunifyAV+ занимает отдельную нишу. Решение ориентировано на серверы с сайтами и позволяет искать вредоносные PHP-скрипты, web-shell, инъекции и другие зараженные файлы. Поэтому его чаще используют на веб- и хостинг-серверах, чем на VPS, выполняющих одну системную задачу.
|
Решение |
Лицензия |
Сильные стороны |
Сценарии |
Ограничения |
|
ClamAV |
Бесплатно |
Открытый код, on-demand и on-access сканирование |
VPS, shared hosting, mail gateway |
Меньше корпоративных функций, требует ручной настройки |
|
Kaspersky Endpoint Security for Linux |
Платно |
Централизованное управление, корпоративные политики |
Файловые серверы, корпоративные Linux-инсталляции |
Зависимость от совместимости файловых систем и политики управления |
|
ESET Endpoint Antivirus for Linux |
Платно |
Актуальные сборки, интеграция с инфраструктурой ESET |
Корпоративные серверы, смешанная инфраструктура |
Менее удобен как простой бесплатный сканер |
|
Sophos Protection for Linux |
Платно |
Sophos Central, серверная защита, threat protection |
Организации, использующие Sophos |
Нужна экосистема Sophos |
|
KVRT |
Бесплатно |
Дополнительная разовая проверка сервера |
Проверка VPS при подозрении на заражение |
Не заменяет постоянную защиту |
|
ImunifyAV+ |
Платно |
Поиск и очистка вредоносного кода сайтов |
Веб-серверы, shared hosting, много сайтов |
Ориентирован прежде всего на веб-хостинг |
Проверка сервера с помощью ClamAV
Для проверки PHP-файлов ClamAV часто применяют как внешний сканер загрузок и сайтов. Он не понимает PHP как «интерпретатор», но умеет находить вредоносные сигнатуры в текстовых и архивных файлах, а также в данных внутри контейнеров. На практике это полезно для поиска webshell, обфусцированных вставок, подозрительных base64-блоков и архивов с зараженным контентом.
Для проверки бинарников ClamAV особенно полезен, потому что поддерживает Linux ELF-файлы и умеет анализировать вложенные объекты в архивах и исполняемых файлах. Это помогает искать подмененные бинарники, загрузчики, дропперы и следы компрометации в каталогах с пользовательскими программами или в нестандартных местах, где не должно быть исполняемых файлов.
ClamAV также поддерживает постоянный контроль каталогов через clamd и on-access scanning. Это может быть полезно на shared hosting, где опасный файл желательно обнаружить еще до его запуска или раздачи пользователям.
Установку, настройку и практические команды для проверки сервера мы подробно рассмотрели в отдельной инструкции — «Установка ClamAV на VPS».
Как пользоваться KVRT на Linux?
Kaspersky Virus Removal Tool имеет смысл использовать для дополнительной проверки, когда есть подозрение, что сервер уже заражен. Например, на сайте появились неизвестные PHP-файлы, редиректы на посторонние ресурсы, подозрительные процессы или неожиданно выросла нагрузка.
На сервере без графического окружения KVRT удобнее запускать из командной строки. Сначала сделаем файл исполняемым и распакуем kvrt.run в каталог /tmp/kvrt:
chmod +x kvrt.run
./kvrt.run --noexec --target /tmp/kvrtПосле этого бинарник будет находиться здесь:
/tmp/kvrt/bin/kvrtПо умолчанию KVRT пытается запустить GUI. Если графического окружения нет, используйте ключ -silent для работы из командной строки.
Справку по использованию можно получить так:
/tmp/kvrt/kvrt_runner.sh -silent -hОсновные параметры:
-h - show help
-d <folder_path> - path to quarantine and reports folder
-accepteula - accept EULA, Privacy Policy and KSN Statement
-trace - enable trace collection
-tracelevel <level> - set the level of traces:
ERR - only error messages
WRN - warnings and errors
INF - information, warnings and errors
DBG - all messages
-processlevel <level> - set the level of danger of object which will be neutralized:
0 - skip objects with high, medium and low danger level
1 - neutralize objects with high danger level
2 - neutralize objects with high and medium danger level
3 - neutralize objects with high, medium and low danger level
-dontencrypt - disable encryption of trace files/reports/dump files
-details - enable detailed reports
-proxyconfig <config_file_path> - path to file with proxy config
-silent - run scan without GUI
-adinsilent - run active disinfection in silent mode
-allvolumes - add all volumes to scan
-custom <folder_path> - path to custom folder for scan
-customlist <file_path> - path to file with custom folders for scan
-exclude <folder_path> - exclude path from custom scan
-excludelist <file_path> - path to file with excludes for custom scan
-customonly - run scan of custom folders onlyДля запуска проверки файлов можно указать сразу несколько директорий:
/tmp/kvrt/kvrt_runner.sh -accepteula -silent -details -processlevel 0 -customonly -custom /etc/ /tmp/В примере проверяются /etc/ и /tmp/. Таким же способом можно указать каталог сайта или несколько директорий.
Параметр -processlevel 0 покажет зараженные файлы без лечения. Функция лечения в KVRT есть, но по опыту при работе с зараженными сайтами она может привести к удалению инфицированных файлов. Поэтому KVRT лучше использовать прежде всего для детектирования вредоносных скриптов, а найденные файлы затем проверять и обрабатывать вручную.
Как пользоваться ImunifyAV+?
ImunifyAV+ в первую очередь рассчитан на поиск вредоносного кода на сайтах. Это особенно удобно на сервере, где размещено несколько сайтов или пользовательских аккаунтов.
Сначала подготовим конфигурацию integration.conf. В примере используется пользователь www-root. Создадим необходимые каталоги и назначим владельца:
mkdir -p /etc/sysconfig/imunify360
mkdir -p /var/www/www-root/data/www/imunifyav
chown www-root:www-root /var/www/www-root/data/www/imunifyavСоздадим файл /etc/sysconfig/imunify360/integration.conf:
cat > /etc/sysconfig/imunify360/integration.conf <<'EOF'
[paths]
ui_path = /var/www/www-root/data/www/imunifyav
ui_path_owner = www-root:www-root
#[pam]
#service_name = system-auth
EOFПосле подготовки конфигурации устанавливаем ImunifyAV:
cd /root
wget https://repo.imunify360.cloudlinux.com/defence360/imav-deploy.sh -O imav-deploy.sh
chmod +x imav-deploy.sh
bash imav-deploy.shПосле установки проверим утилиту, версию и состояние службы:
which imunify-antivirus
imunify-antivirus version
systemctl status imunify-antivirus --no-pagerДля активации AV+ после покупки, чтобы была доступна функция лечения, зарегистрируйте ключ:
imunify-antivirus register 'ТВОЙ_КЛЮЧ'Проверить состояние лицензии:
imunify-antivirus rstatus --json -vВ выводе должны быть:
license_type: imunifyAVPlus
status: trueЗапуск сканирования конкретного сайта:
imunify-antivirus malware on-demand start --path '/var/www/www-root/data/www/test123.com/'Узнать статус:
imunify-antivirus malware on-demand statusПосмотреть до 100 найденных вредоносных объектов:
imunify-antivirus malware malicious list --limit 100Найденные вредоносные объекты по определенному пути:
Тот же результат в JSON-формате:
imunify-antivirus malware malicious list --search '/var/www/www-root/data/www/test123.com/' --jsonДля лечения одного найденного файла используется его ID. ID можно взять из JSON-вывода предыдущей команды:
imunify-antivirus malware malicious cleanup --items 39В примере 39 — ID найденного объекта. Перед лечением файлов рабочего сайта желательно иметь актуальную резервную копию.
Проверка на трояны и руткиты
Трояны и руткиты — это не только вопрос сигнатурного антивируса. Трояны обычно маскируются под полезные файлы, а руткиты пытаются скрыть свое присутствие на уровне системы. ClamAV заявляет обнаружение trojans и других malware, но для поиска руткитов лучше сочетать антивирус с отдельными инструментами аудита, такими как chkrootkit или rkhunter. Антивирус поможет найти известные образцы, а специализированные утилиты — аномалии в системе, скрытые процессы и следы подмены.
Для Kaspersky и ESET команды зависят от конкретной версии и дистрибутива, поэтому в боевой статье корректнее привязываться к официальной документации и актуальному пакету. Общая логика одинакова: устанавливается агент/движок, включается защита файловой системы или по требованию, затем настраиваются политики исключений, расписание и действия при обнаружении угроз. У Kaspersky отдельно следует учитывать ограничения файловых систем fanotify.
Для обычного VPS оптимальный выбор чаще всего — ClamAV плюс базовая система hardening. Такой набор дешевле, проще и достаточно полезен для проверки web-каталога, загрузок и архивов. При подозрении на заражение сервер можно дополнительно проверить с помощью KVRT.
Если VPS обслуживает много пользовательских сайтов или почту, ClamAV уже можно дополнить регулярным сканированием, автоматической выгрузкой отчетов и отдельными проверками на руткиты. Для сервера с большим количеством сайтов также имеет смысл рассмотреть ImunifyAV+, поскольку он ориентирован непосредственно на поиск и очистку вредоносного кода в веб-файлах.
Для хостинг-сервера с большим числом аккаунтов и панелью управления лучше смотреть в сторону ClamAV как массового сканера контента, ImunifyAV+ для проверки сайтов, а при наличии бюджета — корпоративного решения с централизованной политикой. Kaspersky, ESET или Sophos подойдут, если нужна единая админ-консоль, аудит, политика реагирования и интеграция с уже используемым стеком безопасности.
Итог простой: на Linux антивирус не является обязательным для каждого сервера, но на VPS с веб-контентом, на файловом сервере и особенно на хостинге он дает практическую пользу. Если нужен бесплатный и понятный инструмент — выбирают ClamAV. KVRT подойдет для дополнительной разовой проверки при подозрении на заражение, а ImunifyAV+ — для серверов, где основная задача заключается в защите сайтов. Если важны корпоративные функции — рассматривают Kaspersky Endpoint Security for Linux, ESET или Sophos. Если задача выходит за рамки сигнатурного поиска и есть подозрение на руткит, антивирус нужно дополнять системным аудитом и ручной проверкой целостности.
Предыдущая статья:
Установка платного SSL-сертификата на VPSСледующая статья:
Выпуск и настройка сертификата Let`s Encrypt на VPS
Комментарии ()