Компьютеры Linux все чаще подключаются к компьютерам Windows, поэтому они тоже должны иметь антивирусную защиту. Немецкая независимая лаборатория AV-Test провела тестирование 16 антивирусов на платформе Ubuntu, где они сопротивлялись угрозам для Windows и Linux. Результаты некоторых продуктов оказались печальными: отдельные решения пропустили 85 процентов вредоносных программ Windows и не обнаружили до 75 процентов Linux-угроз.

Мир Linux в значительной степени считается безопасной крепостью от вредоносных программ, включая различные виды троянов. Тем не менее, многие машины Linux работают в одной сети с компьютерами Windows. Более половины веб-серверов в мире работает именно на Linux, и они обслуживают миллиарды пользователей Интернета. Вот почему веб-серверы являются привлекательной целью для киберпреступников, которые могут использовать платформу как плацдарм для организации вредоносных атак на Windows.

50 процентов веб-серверов работают на Linux

Было протестировано 16 антивирусов для Linux : Распространение Linux-защит очень мало, но для половины веб-серверов в мире защита жизненно необходима

Успешная атака обычно не затрагивает систему или ядро. Вместо этого, она фокусируется на приложениях, запущенных на компьютерах Linux или веб-серверах. Эти платформы легче взломать и использовать в качестве средства репликации. Основные хакерские атаки проводятся на веб-серверах с помощью SQL-инъекций или межсайтового скриптинга. Тем не менее, компьютеры Linux также являются привлекательной мишенью, ведь на них тоже запускаются приложения с уязвимостями, например, браузер Firefox или просмотрщик Adobe Reader.

Успешно проникнув в систему, вредоносное ПО редко причиняет ущерб системе Linux, а лишь поджидает подключение к системе Windows. Для инициализации атаки обычно бывает достаточно провести операцию копирования файлов со среды Linux в WIndows.

В последнее время зафиксировано увеличение количества троянов, нацеленных на Linux окружение. Они как правило не отличаются высоким качеством исполнения, потому что злоумышленники знают о хороших защитных механизмах, которые предлагает Linux. Угрозы скорее рассчитывают на “двойственность” пользователя, который невольно подстрекает вредоносные программы через операционные ошибки. Самым частым случаем является установка программного обеспечения или обновлений с помощью сторонних пакетов. Во время установки у пользователя обычно запрашивается временный доступ к полным правам. Если пользователь разрешает доступ, важные системные компоненты заменяются модифицированными версиями. Все это позволяет киберпреступнику создать бэкдор в системе и использовать его для атак ботнетами.

Выявлены явные недостатки уровня обнаружения

Уровень обнаружения антивирусов для Linux : в решениях для компьютеров и веб-серверов были выявлены серьезные недостатки уровня обнаружения

В лаборатории AV-TEST проверялись 16 антивирусных решений для Linux. Большинство продуктов были предназначены для защиты компьютеров, остальные предлагали защиту для веб-серверов. В качестве тестовой среды использовался дистрибутив Ubuntu, как наиболее распространенный пакет Linux. В тестах использовалась 64-битная версия 12.04 LTS. В программе тестирования были представлены Linux-защиты от Avast, AVG, Bitdefender, ClamAV, Comodo, Dr. Web, eScan, ESET, F-Prot, F-Secure, G Data, Kaspersky Lab (две версии), McAfee, Sophos и Symantec. Испытание разделялось на три части: обнаружение угроз для Windows, обнаружение угроз для Linux и тестирование на ложные срабатывания.

ESET NOD32 Antivirus для компьютеров Linux : ПК-версия продемонстрировала наилучшие показатели обнаружения вредоносных программ для Windows и Linux

Kaspersky Antivirus для файловых серверов Linux : данное серверное решение надежно защищает данные Windows и Linux

Sophos для Linux : данное решение для компьютеров показало высокую эффективность при обнаружении угроз и в базовой версии может быть использовано бесплатно

Обнаружение вредоносного ПО для Windows

Всего 8 из 16 протестированных продуктов смогли обнаружить от 99,7 до 99,9 процентов угроз из 12 000 тестовых образцов. Среди них: Avast, F-Secure, Bitdefender, ESET, eScan, G Data, Kaspersky Lab (серверная версия) и Sophos. Только антивирусное решение Symantec смогло продемонстрировать 100-процентный уровень обнаружения.

Заметно слабее оказались уровни обнаружения McAfee и Comodo - 85,1 и 83 процента соответственно. Вызывают тревогу результаты Dr. Web - 67,8%, F-Prot - 22.1% и ClamAV - только 15.3%!

Обнаружение вредоносных программ для Linux

Все большее число коварных зловредов разрабатываются для Linux или уже ввдены в обращение. Лаборатория развернула в тестовой системе 900 известных вредоносных угроз для Linux. Результаты испытания существенно отличаются от уровней обнаружения на Windows. Только Kaspersky Endpoint смог достичь 100-процентного уровня обнаружения для Linux. Совсем рядом позади оказались ESET и AVG - 99,7 и 99 процентов соответственно. Серверные версии Kaspersky Lab и Avast на самом деле смогли распознать более 98 процентов зловредов. Symantec, показавший наилучший результат при обнаружении Windows-угроз заблокировал только 97,2 процента вредоносных программ для Linux. А затем начинается серьезное падение.

В самом низу итого списка расположились ClamAV, McAfee, Comodo и F-Prot. Их уровни обнаружения варьируются в широких пределах - от 66,1 до 23 процентов. Это означает, что в худшем случае 77 из 100 зловредов смогут остаться не обнаруженными в системе Linux, несмотря на активную защиту.

Дружественное или вражеское обнаружение?

В качестве дополнительного тестового сегмента, лаборатория проверила реакцию антивирусов на 210 000 надежных безопасных файлов Linux. Таким образом, все тестируемые продукты проверялись на ложные срабатывания. Результат был звездный: только Comodo выдал одно ложное срабатывание на один файл, все остальные решения избежали ошибок.

Linux в целом безопасен, не так ли?

Большинство пользователей Linux убеждены, что они используют одну из наиболее безопасных операционных систем. Данное утверждение действительно справедливо, если Вы пользуетесь только системными возможностями и игнорируете все остальное. Небезопасные стронние приложения или пользовательские ошибки могут превратить компьютеры Linux в рассадник угроз. Это также подтверждается последним исследованием Лаборатории Касперского. в первом квартале 2015 года: более 12 700 атак были запущены с помощью ботнетов, которые использовали за основу системы Linux. Для сравнения, на базе Windows было развернуто 10 300 ботнет-атак. Более того, жизненный цикл ботнетов на базе Linux дольше, чем на Windows-платформе. Это связано с трудностями обнаружения и нейтрализации вредоносных сетей, т.к. сервера Linux редко снабжаются специальными решениями для защиты, в отличие от устройств и серверов на Windows.

На многих форумах Linux бесплатные продукты от Comodo, ClamAV и F-Prot рекомендуются для частных пользователей. Как мы видим, это не очень хорошие советы. Тест показывает, что частные пользователи будут лучше защищены при выборе бесплатных версий Sophos для Linux или Bitdefender Antivirus Scanner для *nix. Для серверных систем есть эффективное бесплатное решение в лице AVG Server Edition для Linux.

В этом тестировании AV-Test лучшие уровни обнаружения угроз для Linux и Windows показали ESET, а также Symantec и Kaspersky Endpoint для рабочих станций. Для защиты серверов рекомендуются Kaspersky Anti-Virus для файловых серверов Linux, AVG Server Edition для Linux и Avast File Server Security.

Устанавливаем Kaspersky Anti-Virus for Linux File Server

• Антивирусная защита

• Tutorial

В последние месяцы меня преследуют проблемы с вирусами на моих файловых серверах. То Nod32 блокирует поддомены, то Касперский вносит сайт в черный список. Меня это никак не может радовать и я принял решение настроить какой нибудь антивирус.

На всех серверах уже установлен и настроен Clam AntiVirus . Его я использовал несколько лет назад, но вирусы класса Trojan-SMS.J2ME он к сожалению не всегда находит.

Изучив результаты Google я толком так ничего и не нашел.

Обращаясь в очередной раз в службу поддержки Касперского с просьбой убрать сайт из списка подозрительных я наткнулся на пунктик kaspersky for linux file server . Его то я и решил протестировать.

Поход в Google за помощью в установке и настройке этого антивируса тоже не дал результата. Все результаты ведут на сайт поддержки Касперского.

Неужели никто не ставил их дистрибутив на своих файловых серверах? Может есть какие то другие решения?

Ответы на эти вопросы для меня останутся тайной. Я остановился на указанном выше продукте и решил его протестировать.

Тестовый файл лицензии запрашиваем на сайте тех поддержки. Ответ приходит через несколько часов.

Приступим к установке

# dpkg -i kav4fs_8.0.1-145_i386.deb dpkg: error processing kav4fs_8.0.1-145_i386.deb (--install): package architecture (i386) does not match system (amd64) Errors were encountered while processing: kav4fs_8.0.1-145_i386.deb

Упс. У нас же amd64. А других дистрибутивов то у Касперского нет. Google тоже не отвечает.

#dpkg -i --force-architecture kav4fs_8.0.1-145_i386.deb (Reading database ... 38907 files and directories currently installed.) Unpacking kav4fs (from kav4fs_8.0.1-145_i386.deb) ... Setting up kav4fs (8.0.1-145) ... Starting Kaspersky Lab Framework Supervisor: kav4fs-supervisor. Kaspersky Anti-Virus for Linux File Server has been installed successfully, but it must be properly configured before using. Please run /opt/kaspersky/kav4fs/bin/kav4fs-setup.pl script manually to configure it.

Прокатило:). Пробуем настроить.

# /opt/kaspersky/kav4fs/bin/kav4fs-setup.pl Kaspersky Anti-Virus for Linux File Server version 8.0.1.145/RELEASE Installing the license The key file (a file with the .key extension) contains information about your license. You need to install it to use the application. To install it now, enter the path to your key file (or enter an empty string to continue without installing the key file): /xxx/xxx.key The license from /xxx/xxx.key has been installed. Configuring the proxy settings to connect to the updates source If you use an HTTP proxy server to access the Internet, you need to specify its address to allow the application to connect to the updates source. Please enter the address of your HTTP proxy server in one of the following formats: proxyIP:port or user:pass@proxyIP:port. If you don"t have or need a proxy server to access the Internet, enter "no" here, or enter "skip" to use current settings without changes. : Downloading the latest application databases The latest databases are an essential part of your server protection. Would you like to download the latest databases now? (If you answer "yes", make sure you are connected to the Internet): : nabling scheduled updates of the application databases Would you like to enable scheduled updates? [N]: Setting up the kernel-level real-time protection Would you like to compile the kernel-level real-time protection module? : no Would you like to disable the real-time protection? : yes Warning: The real-time protection is DISABLED. Error: The kernel-level real-time protection module is not compiled. To manually recompile the kernel-level real-time protection module, start /opt/kaspersky/kav4fs/bin/kav4fs-setup.pl --build[=PATH]. Setting up the Samba server real-time protection Error: The installer couldn"t find a Samba server on your computer. Either it is not installed, or is installed to an unknown location. If the Samba server is installed, specify the server installation details and enter "yes". Otherwise, enter "no" (the Samba server configuration step will be interrupted): : You can configure Samba server protection later by running the initial configuration script again by executing /opt/kaspersky/kav4fs/bin/kav4fs-setup.pl --samba The real-time protection of Samba server was not setup. You can run the initial configuration script again by executing /opt/kaspersky/kav4fs/bin/kav4fs-setup.pl --samba Setting up the Web Management Console Warning: Password file not found, Kaspersky Web Management Console will not be started until correct password is set! Would you like to set password for Kaspersky Web Management Console? : Starting Kaspersky Web Management Console: kav4fs-wmconsole: password file not found! failed! You can change password for Kaspersky Web Management Console by executing /opt/kaspersky/kav4fs/bin/kav4fs-wmconsole-passwd Starting the real-time protection task The task has been started, runtime ID: 1341314367.

Real-time protection меня как бы вообще не интересует. Мне нужно только проверять указанный файл и получать результат проверки.

Пробуем тестовый вирус

Создаем тестовый файл virus с содержимым

X5O!P%@AP}