Mga virus sa GNU / Linux: Katotohanan o Pabula?

Kailan man ang debate sa paglipas virus y GNU / Linux hindi nagtatagal upang lumitaw ang gumagamit (karaniwang Windows) ano ang sinasabi nito:

«Sa Linux walang mga virus dahil ang mga tagalikha ng mga nakakahamak na program na ito ay hindi nag-aaksaya ng oras sa paggawa ng isang bagay para sa isang Operating System na halos walang gumagamit »

Na lagi kong sinasagot:

"Ang problema ay hindi iyon, ngunit ang mga tagalikha ng mga nakakahamak na program na ito ay hindi mag-aaksaya ng oras sa paglikha ng isang bagay na maitatama sa unang pag-update ng system, kahit na mas mababa sa 24 na oras"

At hindi ako nagkamali, tulad ng mahusay na artikulong ito na nai-publish sa Bilang 90 (Taong 2008) mula sa Todo Linux Magazine. Ang artista niya david santo orcero ay nagbibigay sa amin sa isang teknikal na paraan (ngunit madaling maunawaan) ang paliwanag kung bakit GNU / Linux walang ganitong uri ng nakakahamak na software.

100% inirekomenda Ngayon ay magkakaroon sila ng higit pa sa nakakumbinsi na materyal upang patahimikin ang sinumang nagsasalita nang walang isang matibay na batayan sa paksang ito.

Mag-download ng Artikulo (PDF): Mga Pabula at Katotohanan: Linux at Mga Virus

BINAGO:

Narito ang na-transcript na artikulo, habang isinasaalang-alang namin na mas komportable na basahin sa ganitong paraan:

================================================== ======================

Ang debate sa Linux at virus ay hindi bago. Tuwing madalas na nakikita natin ang isang email sa isang listahan na nagtatanong kung may mga virus para sa Linux; at awtomatiko na may sumasagot na apirmado at inaangkin na kung hindi sila mas sikat ito ay dahil ang Linux ay hindi kasing kalat ng Windows. Mayroon ding mga madalas na press release mula sa mga developer ng antivirus na nagsasabing naglalabas sila ng mga bersyon ng mga virus sa Linux.

Personal na nagkaroon ako paminsan-minsang mga talakayan sa iba't ibang mga tao sa pamamagitan ng koreo, o sa pamamagitan ng listahan ng pamamahagi, patungkol sa isyu kung mayroon o hindi ang mga virus sa Linux. Ito ay isang alamat, ngunit mahirap i-demolish ang isang alamat o, sa halip, isang panloloko, lalo na kung sanhi ito ng interes sa ekonomiya. May isang taong interesado na iparating ang ideya na kung ang Linux ay walang ganitong mga uri ng mga problema, ito ay dahil kakaunti ang mga tao ang gumagamit nito.

Sa oras ng pag-publish ng ulat na ito, nais kong magsulat ng isang tiyak na teksto sa pagkakaroon ng mga virus sa Linux. Sa kasamaang palad, kapag tumatakbo ang pamahiin at interes sa ekonomiya, mahirap na bumuo ng isang bagay na tumutukoy.
Gayunpaman, susubukan naming gumawa ng isang makatwirang kumpletong argumento dito upang maalis ang sandata ng mga pag-atake ng sinumang nais na magtaltalan nito.

Ano ang isang virus?

Una sa lahat, magsisimula tayo sa pamamagitan ng pagtukoy kung ano ang isang virus. Ito ay isang programa na kinopya ang sarili nito at awtomatikong tumatakbo, at naglalayong baguhin ang normal na paggana ng isang computer, nang walang pahintulot o kaalaman ng gumagamit. Upang magawa ito, pinalitan ng mga virus ang mga maipapatupad na file sa iba na nahawahan ng kanilang code. Ang kahulugan ay pamantayan, at isang isang linya na buod ng pagpasok ng Wikipedia sa mga virus.
Ang pinakamahalagang bahagi ng kahulugan na ito, at kung ano ang pinag-iiba-iba ng virus mula sa iba pang malware, ay na-install ng isang virus ang sarili nito, nang walang pahintulot o kaalaman ng gumagamit. kung hindi ito nag-i-install mismo, hindi ito isang virus: maaaring ito ay isang rootkit, o isang Trojan.

Ang rootkit ay isang kernel patch na nagbibigay-daan sa iyo upang itago ang ilang mga proseso mula sa mga kagamitan sa lugar ng gumagamit. Sa madaling salita, ito ay isang pagbabago ng kernel source code na ang layunin ay ang mga utility na nagpapahintulot sa amin na makita kung ano ang naisasagawa sa lahat ng oras ay hindi nagpapakita ng isang tiyak na proseso, o isang tiyak na gumagamit.

Ang isang Trojan ay magkatulad: ito ay isang pagbabago sa source code ng isang tukoy na serbisyo upang maitago ang ilang mapanlinlang na aktibidad. Sa parehong kaso, kinakailangan upang makuha ang source code ng eksaktong bersyon na naka-install sa makina ng Linux, i-patch ang code, muling kumpunihin ito, kumuha ng mga pribilehiyo ng administrator, i-install ang na-patched na maipapatupad, at simulan ang serbisyo – sa kaso ng Trojan– o ng operating system. kumpleto - sa kaso ng
rootkit–. Ang proseso, tulad ng nakikita natin, ay hindi maliit, at walang sinuman ang makakagawa ng lahat ng ito "nang hindi sinasadya". Kapwa nila hinihiling sa kanilang pag-install na ang sinumang may mga pribilehiyo ng administrator, na sinasadya, ay nagsasagawa ng isang serye ng mga hakbang sa paggawa ng mga desisyon na isang likas na teknikal.

Alin ang hindi isang hindi mahalagang semantiko na pananarinari: para mai-install ng isang virus ang sarili nito, ang kailangan lang nating gawin ay magpatakbo ng isang nahawahan na programa bilang isang karaniwang gumagamit. Sa kabilang banda, para sa pag-install ng isang rootkit o isang Trojan mahalaga na ang isang mapanirang tao ay personal na pumapasok sa root account ng isang makina, at sa isang hindi awtomatikong paraan, nagsasagawa ng isang serye ng mga hakbang na potensyal na napapansin. ang isang virus ay kumakalat nang mabilis at mahusay; isang rootkit o isang trojan ang nangangailangan sa kanila upang tiyak na sundin kami.

Paghahatid ng mga virus sa Linux:

Ang mekanismo ng paghahatid ng isang virus, samakatuwid, ang talagang tumutukoy dito tulad nito, at ang batayan para sa kanilang pag-iral. ang isang operating system ay mas sensitibo sa mga virus mas madali itong makabuo ng isang mahusay at awtomatikong mekanismo ng paghahatid.

Ipagpalagay na mayroon kaming isang virus na nais kumalat mismo. Ipagpalagay na inilunsad ito ng isang normal na gumagamit, inosente, kapag naglulunsad ng isang programa. Ang virus na ito ay may eksklusibong dalawang mekanismo ng paghahatid:

• Kopyahin ang sarili nito sa pamamagitan ng pagpindot sa memorya ng iba pang mga proseso, na-angkla ang sarili nito sa kanila sa runtime.
• Pagbukas ng mga executable ng filesystem, at pagdaragdag ng kanilang code –payload– sa maipapatupad.

Ang lahat ng mga virus na maaari naming isaalang-alang bilang tulad ay mayroong hindi bababa sa isa sa dalawang mekanismo ng paghahatid na ito. O Ang dalawa. Wala nang mga mekanismo.
Tungkol sa unang mekanismo, alalahanin natin ang virtual memory arkitektura ng Linux at kung paano gumagana ang mga intel prosesor. Mayroon itong apat na singsing, na may bilang mula 0 hanggang 3; mas mababa ang numero, mas malaki ang mga pribilehiyo na mayroon ang code na tumatakbo sa singsing na iyon. Ang mga singsing na ito ay tumutugma sa mga estado ng processor, at, samakatuwid, kung ano ang maaaring gawin sa isang system na nasa isang tukoy na singsing. Ginagamit ng Linux ang singsing 0 para sa kernel, at singsing 3 para sa mga proseso. walang proseso ng code na tumatakbo sa singsing 0, at walang code ng kernel na tumatakbo sa singsing 3. Mayroon lamang isang solong punto ng pagpasok sa kernel mula sa singsing 3: ang 80h makagambala, na nagpapahintulot sa paglukso mula sa lugar kung nasaan ito ang code ng gumagamit sa lugar kung nasaan ang kernel code.

Ang arkitektura ng Unix sa pangkalahatan at partikular ang Linux ay hindi ginagawang magagawa ang pagkalat ng mga virus.

Ang kernel sa pamamagitan ng paggamit ng virtual memory ay pinapaniwalaan ng bawat proseso na mayroon itong lahat ng memorya sa sarili nito. Ang isang proseso –na gumagana sa singsing 3– ay maaari lamang makita ang virtual memory na na-configure para dito, para sa singsing kung saan ito tumatakbo. Ito ay hindi na ang memorya ng iba pang mga proseso ay protektado; ay para sa isang proseso ang memorya ng iba pa ay nasa labas ng address space. Kung ang isang proseso ay talunin ang lahat ng mga address ng memorya, hindi nito magagawang mag-refer sa isang memory address ng isa pang proseso.

Bakit hindi ito maloko?
Upang mabago kung ano ang nagkomento – halimbawa, makabuo ng mga entry point sa singsing 0, baguhin ang mga nakakagambala na mga vector, baguhin ang virtual memory, baguhin ang LGDT… - posible lamang mula sa singsing 0.
Iyon ay, para sa isang proseso upang maabot ang memorya ng iba pang mga proseso o ang kernel, dapat itong ang kernel mismo. At ang katunayan na mayroong isang solong punto ng pagpasok at ang mga parameter ay ipinapasa sa pamamagitan ng mga rehistro na kumplikado sa bitag - sa katunayan, kung ano ang dapat gawin ay naipasa ng rehistro, na pagkatapos ay ipinatupad bilang isang kaso sa gawain ng pansin. ang 80h pagkagambala.
Ang isa pang senaryo ay ang kaso ng mga operating system na may daan-daang mga undocumented na tawag upang mag-ring 0, kung saan posible ito - laging may isang hindi magandang ipinatawang nakalimutang tawag kung saan maaaring magkaroon ng bitag - ngunit sa kaso ng isang operating system na may tulad ng isang simpleng mekanismo ng hakbang, hindi ito.

Para sa kadahilanang ito, pinipigilan ng virtual na arkitektura ng memorya ang mekanismo ng paghahatid na ito; walang proseso - kahit na ang mga may mga pribilehiyo ng ugat - magkaroon ng isang paraan upang ma-access ang memorya ng iba. Maaari tayong magtaltalan na ang isang proseso ay maaaring makita ang kernel; ito ay nai-mapa mula sa lohikal na address ng memorya na 0xC0000000. Ngunit, dahil sa ring ng processor na tumatakbo ito, hindi mo ito mababago; ay bubuo ng isang bitag, dahil ang mga ito ay mga lugar ng memorya na kabilang sa ibang singsing.

Ang "solusyon" ay isang programa na nagbabago ng kernel code kapag ito ay isang file. Ngunit ang katotohanan na ang mga ito ay muling naipon ay ginagawang imposible. Ang binary ay hindi maaaring ma-patch, dahil may milyun-milyong iba't ibang mga binary kernels sa mundo. Kadali lamang na kapag muling pagsasama-sama ay inilagay o naalis nila ang isang bagay mula sa kernel na maipapatupad, o binago nila ang laki ng ilan sa mga label na kinikilala ang bersyon ng pagtitipon - isang bagay na ginagawa kahit hindi sinasadya - ang binary patch ay hindi mailapat. Ang kahalili ay i-download ang source code mula sa Internet, i-patch ito, i-configure ito para sa naaangkop na hardware, i-compile ito, i-install ito, at i-reboot ang makina. Ang lahat ng ito ay dapat gawin ng isang programa, awtomatiko. Medyo isang hamon para sa larangan ng Artipisyal na Katalinuhan.
Tulad ng nakikita natin, hindi kahit isang virus bilang ugat ang maaaring tumalon sa hadlang na ito. Ang natitirang solusyon ay ang paghahatid sa pagitan ng maipapatupad na mga file. Alin ang hindi gagana tulad ng makikita natin sa ibaba.

Ang karanasan ko bilang isang administrator:

Sa higit sa sampung taon na pamamahala ko ng Linux, na may mga pag-install sa daan-daang mga machine sa mga sentro ng data, mga laboratoryo ng mag-aaral, mga kumpanya, atbp.

• Hindi pa ako "nakakakuha" ng isang virus
• Hindi pa ako nakakakilala sa isang tao na mayroon
• Hindi ko pa nakakilala ang isang tao na nakilala ang isang tao na mayroon

Alam ko ang maraming tao na nakakita sa Loch Ness Monster kaysa sa nakakita ng mga virus sa Linux.
Sa personal, inaamin ko na ako ay naging walang ingat, at naglunsad ako ng maraming mga programa na tinawag na "espesyalista" na tinatawag na "mga virus para sa Linux" - mula ngayon, tatawagin ko silang mga virus, hindi upang gawing pedantang ang teksto -, mula sa aking karaniwang account laban sa aking makina, upang makita kung posible ang isang virus: kapwa ang bash virus na kumakalat doon - at kung saan, sa pamamagitan ng paraan, ay hindi ako nahawahan ng anumang mga file - at isang virus na naging tanyag, at lumitaw sa press. Sinubukan kong i-install ito; at pagkatapos ng dalawampung minuto ng trabaho, sumuko ako nang makita ko na ang isa sa kanyang mga hinihingi ay ang magkaroon ng direktoryo ng tmp sa isang pagkahati ng uri ng MSDOS. Sa personal, hindi ko alam ang sinuman na lumilikha ng isang tukoy na pagkahati para sa tmp at i-format ito sa FAT.
Sa katunayan, ang ilang tinatawag na mga virus na nasubukan ko para sa Linux ay nangangailangan ng isang mataas na antas ng kaalaman at mai-install ang root password. Maaari kaming maging karapat-dapat, sa pinakamaliit, bilang "crappy" isang virus kung kailangan nito ang aming aktibong interbensyon upang mahawahan ang makina. Bukod dito, sa ilang mga kaso nangangailangan sila ng malawak na kaalaman sa UNIX at ang root password; na kung saan ay medyo malayo mula sa awtomatikong pag-install na ito ay dapat na.

Inihahawa ang mga maipapatupad sa Linux:

Sa Linux, maaaring gawin ng isang proseso ang pinapayagan ng mabisang gumagamit at mabisang pangkat. Totoo na may mga mekanismo upang palitan ang tunay na gumagamit ng cash, ngunit kaunti pa. Kung titingnan natin kung nasaan ang mga maipapatupad, makikita natin na ang ugat lamang ang may mga pribilehiyo sa pagsulat kapwa sa mga direktoryong ito at sa mga file na nilalaman. Sa madaling salita, ang ugat lamang ang maaaring magbago ng mga naturang file. Ito ang kaso sa Unix mula pa noong dekada 70, sa Linux mula pa sa mga pinagmulan nito, at sa isang file system na sumusuporta sa mga pribilehiyo, wala pang lilitaw na error na nagpapahintulot sa ibang pag-uugali. Ang istraktura ng mga maipapatupad na file ng ELF ay kilala at mahusay na dokumentado, kaya posible na teknikal para sa isang file ng ganitong uri upang mai-load ang payload sa isa pang ELF file ... basta ang mabisang gumagamit ng una o ang mabisang pangkat ng una ay mayroong mga pribilehiyo sa pag-access. pagbabasa, pagsusulat at pagpapatupad sa pangalawang file. Gaano karaming mga executable ng filesystem na maaari itong mahawahan bilang isang karaniwang gumagamit?
Ang tanong na ito ay may isang simpleng sagot, kung nais naming malaman kung gaano karaming mga file ang maaari naming "mahawahan", inilulunsad namin ang utos:

$ find / -type f -perm -o=rwx -o \( -perm -g=rwx -group `id -g` \) -o \( -perm -u=rwx -user `id -u` \) -print 2> /dev/null | grep -v /proc

Ibinubukod namin ang direktoryo / proc dahil ito ay isang virtual filesystem na nagpapakita ng impormasyon tungkol sa kung paano gumagana ang operating system. Ang mga file ng uri ng file na may mga pribilehiyo ng pagpapatupad na mahahanap natin ay hindi nagdudulot ng isang problema, dahil madalas silang mga virtual na link na lilitaw na nabasa, nakasulat at naisakatuparan, at kung susubukan ito ng isang gumagamit, hindi ito gagana. Pinapamahalaan din namin ang mga pagkakamali, marami - dahil, lalo na sa / proc at / home, maraming mga direktoryo kung saan hindi makapasok ang isang karaniwang gumagamit -. Ang script na ito ay matagal. Sa aming partikular na kaso, sa isang makina kung saan nagtatrabaho ang apat na tao, ang sagot ay:

/tmp/.ICE-unix/dcop52651205225188
/tmp/.ICE-unix/5279
/home/irbis/kradview-1.2/src
/kradview

Ipinapakita ng output ang tatlong mga file na maaaring mahawahan kung ang isang hypothetical virus ay pinatakbo. Ang unang dalawa ay ang mga file ng uri ng socket ng Unix na tinanggal sa pagsisimula –at hindi maaaring maapektuhan ng isang virus–, at ang pangatlo ay isang file ng isang programa sa pag-unlad, na tinatanggal sa tuwing muli itong naipon. Ang virus, mula sa isang praktikal na pananaw, ay hindi kumakalat.
Mula sa kung ano ang nakikita natin, ang tanging paraan upang maikalat ang payload ay sa pamamagitan ng pagiging ugat. Sa kasong ito, upang gumana ang isang virus, ang mga gumagamit ay dapat palaging may mga pribilehiyo ng administrator. Sa kasong iyon, maaari itong makahawa sa mga file. Ngunit narito ang nahuli: upang maipadala ang impeksyon, kailangan mong kumuha ng isa pang maipapatupad, ipadala ito sa isa pang gumagamit na ginagamit lamang ang makina bilang ugat, at ulitin ang proseso.
Sa mga operating system kung saan kinakailangan na maging isang administrator para sa mga karaniwang gawain o upang magpatakbo ng maraming pang-araw-araw na mga aplikasyon, maaaring ito ang kaso. Ngunit sa Unix kinakailangan na maging isang administrator upang mai-configure ang makina at baguhin ang mga file ng pagsasaayos, kaya't ang bilang ng mga gumagamit na ginagamit ng root account bilang isang pang-araw-araw na account ay maliit. Ito ay higit pa; ang ilang mga pamamahagi ng Linux ay hindi pinagana ang root account. Sa halos lahat sa kanila, kung na-access mo ang grapikong kapaligiran tulad nito, ang background ay nagbabago sa matinding pula, at patuloy na mga mensahe ay paulit-ulit na nagpapaalala na ang account na ito ay hindi dapat gamitin.
Panghuli, lahat ng dapat gawin bilang ugat ay maaaring gawin sa isang utos ng sudo nang walang peligro.
Para sa kadahilanang ito, sa Linux ang isang maipapatupad ay hindi maaaring makahawa sa iba hangga't hindi namin ginagamit ang root account bilang karaniwang paggamit account; At bagaman pinipilit ng mga kumpanya ng antivirus na sabihin na may mga virus para sa Linux, talagang ang pinakamalapit na bagay na maaaring likhain sa Linux ay isang Trojan sa lugar ng gumagamit. Ang tanging paraan lamang na ang mga Trojan na ito ay maaaring makaapekto sa isang bagay sa system ay sa pamamagitan ng pagpapatakbo nito bilang ugat at sa mga kinakailangang pribilehiyo. Kung karaniwang ginagamit namin ang makina bilang ordinaryong mga gumagamit, hindi posible para sa isang proseso na inilunsad ng isang karaniwang gumagamit na mahawahan ang system.

Mga alamat at kasinungalingan:

Nakakakita kami ng maraming mga alamat, panlilinlang, at simpleng kasinungalingan lamang tungkol sa mga virus sa Linux. Gumawa tayo ng isang listahan ng mga ito batay sa isang talakayan na naganap ilang oras na ang nakalilipas kasama ang isang kinatawan ng isang tagagawa ng antivirus para sa Linux na napinsala ng isang artikulo na inilathala sa parehong magazine na ito.
Ang talakayang iyon ay isang magandang halimbawa ng sanggunian, dahil hinahawakan nito ang lahat ng aspeto ng mga virus sa Linux. Susuriin namin isa-isa ang lahat ng mga alamat na ito habang tinalakay sa tukoy na talakayan na iyon, ngunit naulit ng maraming beses sa iba pang mga forum.

Pabula 1:
"Hindi lahat ng mga nakakahamak na programa, lalo na ang mga virus, ay nangangailangan ng mga pribilehiyo ng ugat upang mahawahan, lalo na sa partikular na kaso ng mga maipapatupad na virus (format na ELF) na nakahahawa sa iba pang maipapatupad".

Sagot:
Sinumang gumawa ng naturang paghahabol ay hindi alam kung paano gumagana ang Unix privilege system. Upang maapektuhan ang isang file, kailangan ng isang virus ang pribilehiyong mabasa - dapat itong basahin upang mabago ito–, at ang pagsusulat – Dapat itong isulat upang maging wasto ang pagbabago- sa maipapatupad na file na nais nitong isagawa.
Ito ang laging kaso, nang walang mga pagbubukod. At sa bawat isa sa mga pamamahagi, ang mga hindi gumagamit ng ugat ay walang mga pribilehiyong ito. Pagkatapos ay simpleng hindi pag-ugat, imposible ang impeksyon. Empirical test: Sa nakaraang seksyon nakita namin ang isang simpleng script upang suriin ang saklaw ng mga file na maaaring maapektuhan ng isang impeksyon. Kung ilulunsad namin ito sa aming makina, makikita namin kung paano ito bale-wala, at tungkol sa mga file ng system, null. Gayundin, hindi tulad ng mga operating system tulad ng Windows, hindi mo kailangan ng mga pribilehiyo ng administrator upang maisagawa ang mga karaniwang gawain sa mga program na karaniwang ginagamit ng mga normal na gumagamit.

Pabula 2:
"Hindi rin sila kailangang maging ugat upang ipasok ang system nang malayuan, sa kaso ng Slapper, isang bulate na nagsasamantala sa isang kahinaan sa Apache's SSL (ang mga sertipiko na nagpapahintulot sa ligtas na komunikasyon), lumikha ng sarili nitong network ng mga zombie machine noong Setyembre 2002".

Sagot:
Ang halimbawang ito ay hindi tumutukoy sa isang virus, ngunit isang bulate. Napakahalaga ng pagkakaiba: ang isang bulate ay isang programa na nagsasamantala sa isang serbisyo para maipadala ng Internet ang sarili. Hindi ito nakakaapekto sa mga lokal na programa. Samakatuwid, nakakaapekto lamang ito sa mga server; hindi sa mga partikular na makina.
Ang mga bulate ay palaging napakakaunting at ng bale-wala ng insidente. Ang tatlong talagang mahalaga ay ipinanganak noong dekada 80, isang oras kung saan ang Internet ay walang kasalanan, at lahat ay pinagkakatiwalaan ang lahat. Tandaan natin na sila ang nakakaapekto sa sendmail, daliri at rexec. Ngayon mas kumplikado ang mga bagay. Bagaman hindi namin maitatanggi na mananatili sila at, kung hindi makontrol, sila ay lubhang mapanganib. Ngunit ngayon, ang mga oras ng reaksyon sa mga bulate ay napakaikli. Ito ang kaso ng Slapper: isang bulate na nilikha sa isang kahinaan na natuklasan - at na-patch - dalawang buwan bago ang hitsura ng bulate mismo.
Kahit na sa pag-aakalang ang lahat ng gumagamit ng Linux ay may naka-install na Apache at tumatakbo sa lahat ng oras, ang simpleng pag-update ng mga pakete buwan-buwan ay magiging higit sa sapat upang hindi mapatakbo ang anumang mga panganib.
Totoo na ang SSL bug na sanhi ng Slapper ay kritikal - sa katunayan, ang pinakamalaking bug na natagpuan sa buong kasaysayan ng SSL2 at SSL3 - at dahil dito ay naayos sa loob ng ilang oras. Na dalawang buwan matapos ang problemang ito ay natagpuan at malutas, may gumawa ng isang bulate sa isang bug na naitama na, at ito ang pinakamakapangyarihang halimbawa na maaaring ibigay bilang isang kahinaan, kahit papaano ay tiniyak nito.
Bilang isang pangkalahatang tuntunin, ang solusyon sa mga bulate ay hindi bumili ng antivirus, mai-install ito, at sayangin ang oras ng computing na panatilihin itong residente. Ang solusyon ay ang paggamit ng sistema ng pag-update ng seguridad ng aming pamamahagi: pagkakaroon ng na-update na pamamahagi, walang mga problema. Ang pagpapatakbo lamang ng mga serbisyong kailangan namin ay magandang ideya din sa dalawang kadahilanan: pinapabuti namin ang paggamit ng mga mapagkukunan, at iniiwasan namin ang mga problema sa seguridad.

Pabula 3:
"Sa palagay ko ang core ay hindi mapapatay. Sa katunayan, mayroong isang pangkat ng mga nakakahamak na programa na tinatawag na LRK (Linux Rootkits Kernel), na tiyak na nakabatay sa pagsasamantala sa mga kahinaan sa mga module ng kernel at pagpapalit ng mga binary system.".

Sagot:
Ang isang rootkit ay karaniwang isang kernel patch na nagbibigay-daan sa iyo upang itago ang pagkakaroon ng ilang mga gumagamit at proseso mula sa karaniwang mga tool, salamat sa katunayan na hindi sila lilitaw sa direktoryo / proc. Ang normal na bagay ay ginagamit nila ito sa pagtatapos ng isang pag-atake, una, gagamitin nila ang isang remote na kahinaan upang makakuha ng pag-access sa aming makina. Pagkatapos ay magsasagawa sila ng isang pagkakasunud-sunod ng mga pag-atake, upang mapataas ang mga pribilehiyo hanggang sa magkaroon sila ng root account. Ang problema kapag nakuha nila ito ay kung paano mag-install ng isang serbisyo sa aming makina nang hindi napansin: doon pumapasok ang rootkit. Nilikha ang isang gumagamit na magiging mabisang gumagamit ng serbisyo na nais naming maitago, na-install nila ang rootkit, at itinatago nila ang parehong gumagamit at lahat ng proseso na pagmamay-ari ng gumagamit na iyon.
Kung paano itago ang pagkakaroon ng isang gumagamit ay kapaki-pakinabang sa isang virus ay isang bagay na maaari nating pag-usapan sa haba, ngunit ang isang virus na gumagamit ng isang rootkit upang mai-install mismo ay tila nakakatuwa. Isipin natin ang mekanika ng virus (sa pseudocode):
1) Ang virus ay pumapasok sa system.
2) Hanapin ang code ng mapagkukunan ng kernel. Kung hindi, siya mismo ang nag-install.
3) I-configure ang kernel para sa mga pagpipilian sa hardware na nalalapat sa pinag-uusapang machine.
4) Tipunin ang kernel.
5) I-install ang bagong kernel; pagbabago ng LILO o GRUB kung kinakailangan.
6) I-reboot ang makina.

Ang mga Hakbang (5) at (6) ay nangangailangan ng mga pribilehiyo sa ugat. Medyo kumplikado na ang mga hakbang (4) at (6) ay hindi napansin ng mga nahawahan. Ngunit ang nakakatawa ay mayroong isang tao na naniniwala na mayroong isang programa na maaaring awtomatikong gawin ang hakbang (2) at (3).
Bilang isang paghantong, kung may nahahanap kaming isang tao na nagsasabi sa amin na "kapag maraming mga makina ng Linux magkakaroon ng maraming mga virus", at inirerekumenda na "magkaroon kami ng isang antivirus na nai-install at patuloy na ina-update ito", maaaring nauugnay ito sa kumpanya na nagbebenta ng antivirus at mga pag-update . Maghinala, posibleng pareho ang may-ari.

Antivirus para sa Linux:

Totoo na may mahusay na antivirus para sa Linux. Ang problema ay, hindi nila ginawa kung ano ang pinagtatalunan ng mga tagapagtaguyod ng antivirus. Ang pag-andar nito ay upang salain ang mail na dumadaan mula sa malware at mga virus sa Windows, pati na rin upang mapatunayan ang pagkakaroon ng mga Windows virus sa mga folder na na-export sa pamamagitan ng SAMBA; kaya kung gagamitin namin ang aming makina bilang isang gat gateway o bilang isang NAS para sa mga makina ng Windows, mapoprotektahan namin sila.

Clam-AV:

Hindi namin tatapusin ang aming ulat nang hindi pinag-uusapan ang pangunahing antivirus para sa GNU / Linux: ClamAV.
Ang ClamAV ay isang napakalakas na GPL antivirus na nag-iipon para sa karamihan ng magagamit na Unix sa merkado. Dinisenyo ito upang suriin ang mga kalakip sa mga mensahe sa email na dumadaan sa istasyon at salain ang mga ito para sa mga virus.
Ang application na ito ay ganap na isinasama sa sendmail upang payagan ang pag-filter ng mga virus na maaaring maimbak sa mga server ng Linux na nagbibigay ng mail sa mga kumpanya; pagkakaroon ng isang database ng virus na nai-update araw-araw, na may digital na suporta. Ang database ay nai-update ng maraming beses sa isang araw, at ito ay isang buhay at napaka-kagiliw-giliw na proyekto.
Ang makapangyarihang programa na ito ay may kakayahang pag-aralan ang mga virus kahit na sa mga kalakip na mas kumplikadong mga format upang buksan, tulad ng RAR (2.0), Zip, Gzip, Bzip2, Tar, MS OLE2, mga file ng MS Cabinet, MS CHM (HTML Coprinted), at MS SZDD.
Sinusuportahan din ng ClamAV ang mga mbox, Maildir, at RAW mail files, at Portable Executable na mga file na naka-compress sa UPX, FSG, at Petite. Ang pares ng AV AV at spamassassin ay ang perpektong pares upang maprotektahan ang aming mga kliyente sa Windows mula sa mga server ng Unix mail.

KASUNDUAN

Sa tanong Mayroon bang mga kahinaan sa mga system ng Linux? ang sagot ay tiyak na oo.
Walang sinumang nasa kanilang tamang pag-iisip ang nagdududa dito; Ang Linux ay hindi OpenBSD. Ang isa pang bagay ay ang window ng kahinaan na mayroon ang isang sistema ng Linux na maayos na na-update. Kung tatanungin natin ang ating sarili, may mga tool ba upang samantalahin ang mga butas sa seguridad na ito, at pagsamantalahan ang mga ito? Sa gayon, oo, ngunit ang mga ito ay hindi mga virus, sila ay pagsasamantala.

Kailangang mapagtagumpayan ng virus ang maraming iba pang mga paghihirap na palaging inilalagay bilang isang kamalian / problema ng Linux ng mga tagapagtanggol ng Windows, at na kumplikado ang pagkakaroon ng mga tunay na virus - mga kernel na pinagsasama-sama, maraming mga bersyon ng maraming mga application, maraming mga pamamahagi, mga bagay ang mga ito ay hindi awtomatikong naipasa sa gumagamit, at iba pa–. Ang kasalukuyang teoretikal na "mga virus" ay dapat na manu-manong mai-install mula sa root account. Ngunit hindi ito maituturing na isang virus.
Tulad ng lagi kong sinasabi sa aking mga mag-aaral: huwag kayong maniwala, mangyaring. Mag-download at mag-install ng isang rootkit sa makina. At kung nais mo ng higit pa, basahin ang source code ng "mga virus" sa merkado. Ang katotohanan ay nasa source code. Mahirap para sa isang "nagpahayag ng sarili" na virus na panatilihin itong pangalanan sa ganoong paraan pagkatapos basahin ang code nito. At kung hindi mo alam kung paano basahin ang code, isang solong simpleng hakbang sa seguridad na inirerekumenda ko: gamitin lamang ang root account upang pangasiwaan ang makina, at panatilihing napapanahon ang mga pag-update sa seguridad.
Sa pamamagitan lamang nito imposibleng pumasok sa iyo ang mga virus at malabong malamang na ang mga bulate o ang isang tao ay matagumpay na umatake sa iyong makina.