rpm -V, debsums и rootkit-сканеров нужно сопоставлять с ролью сервера, недавними изменениями и журналами.Средства обнаружения дополняют друг друга, но не являются взаимозаменяемыми.
| Задача | Подходящий класс средства | Что показывает результат | Чего результат не доказывает |
|---|---|---|---|
| Найти или заблокировать известный malware | Антивирусное ПО | Файл, действие или объект совпал с сигнатурой, эвристикой либо поведенческим правилом | Что на сервере нет неизвестного вредоносного кода, бэкдора или следов атаки |
| Связать процессы, входы, сеть и другие события | EDR | Телеметрию и подозрительные цепочки действий, иногда — доступные действия реагирования | Что каждое оповещение является атакой или что отсутствие оповещений исключает инцидент |
| Узнать, изменились ли выбранные файлы и атрибуты | FIM — контроль целостности файлов | Расхождение текущего объекта с доверенной базой | Кто и зачем изменил файл; что эталонная база была создана на чистой системе |
| Сверить файлы с метаданными установленного пакета | Проверка пакетов: RPM или debsums | Несоответствие некоторых файлов данным пакета | Атаку, изменение файлов вне пакетов или корректность конфигурации приложения |
| Искать типичные признаки скрытого закрепления | Rootkit-сканер | Индикатор подозрительного файла, настройки, скрытого объекта или известного шаблона | Наличие или отсутствие rootkit с полной достоверностью |
Когда серверу нужен антивирус
Антималварная защита нужна там, где сервер получает, хранит, передаёт или исполняет недоверенные файлы, а также где возможен интерактивный вход пользователей. Чем больше таких потоков и чем выше ценность сервера, тем важнее сочетание защиты при доступе, проверки по требованию, журналов и процесса разбора тревог.
| Роль сервера | Основной риск | Практичный акцент |
|---|---|---|
| Фай ловое хранилище | Загрузка файлов пользователями, SMB/NFS-обмен, распространение заражённых вложений | Проверка при доступе либо на входе в хранилище, сканирование новых загрузок и плановые проверки в окно обслуживания. Следует оценить влияние на задержку операций с большим числом файлов. |
| Терминальный сервер | Пользовательские профили, браузеры, вложения, запуск программ в сеансах | Постоянная защита и централизованный разбор событий особенно полезны. Исключения нельзя строить по всему профилю пользователя или всему диску. |
| Публичный веб- или API-сервер | Загрузки через приложение, web shell, уязвимости приложения, компрометация учётных данных | Проверять каталоги загрузок и артефакты до публикации или обработки; контролировать файлы приложения и конфигурацию. Антивирус не заменяет обновления, контроль доступа и расследование web shell. |
| Внутренний сервер без интерактивных пользователей | Административный доступ, уязвимые службы, боковое перемещение, подмена конфигурации | Антивирус может оставаться полезным, но приоритет также у FIM критичных путей, проверки пакетов, журналов и ограниченного административного доступа. |
Защита при доступе нужна, когда требуется проверять объект в момент чтения, записи или запуска: например, в пользовательских загрузках и файловых обменах. Проверка по требованию подходит для планового полного сканирования, реакции на новый IOC и проверки конкретного каталога. Полную проверку разумно планировать вне пиков: она может интенсивно использовать CPU, память, дисковую подсистему и файловые блокировки. Проверка одного каталога обычно уместна для очереди загрузок, почтового карантина, временной папки импорта или экспортированного архива.
Антивирус — не единственный слой
Defender Antivirus, Defender for Endpoint, ClamAV и FIM: различия
Microsoft Defender Antivirus — компонент защиты Windows от вредоносного ПО: он использует сигнатуры, эвристику, репутационные и другие механизмы обнаружения. Microsoft Defender for Endpoint — облачная EDR-платформа: она подключает устройство к сервису, собирает телеметрию, помогает расследовать цепочки событий и, в зависимости от лицензии и конфигурации, выполнять ответные действия. EDR не является просто «расширенным антивирусом» и не отменяет необходимость антивирусного движка.
Для серверов доступность Microsoft Defender Antivirus, его исходное состояние, режимы работы, способы управления и ограничения защиты в реальном времени зависят от выпуска и версии Windows Server, установленных компонентов защиты, групповых политик и наличия другого антивируса. Defender Antivirus может быть отключён политикой, удалён как компонент в применимой конфигурации или перейти в пассивный режим при зарегистрированном стороннем антивирусе; это не следует определять по одному значку или службе. Поддерживаемые версии Windows Server, лицензирование Microsoft Defender for Endpoint и способ подключения сервера также зависят от актуальных условий Microsoft. Перед развёртыванием следует сверить эти условия, порядок onboarding и требования выбранного плана с официальной документацией Microsoft для своей ОС и лицензии.
Get-MpComputerStatusОжидаемый результат: поля состояния согласуются с принятой политикой защиты. Если защита выключена или состояние неожиданно, сначала проверяют политики организации, зарегистрированное защитное ПО, компоненты Windows Server и официальную документацию Microsoft, а не включают или удаляют компоненты на работающем сервере без оценки совместимости.ClamAV — антивирусный движок с открытым исходным кодом, обычно применяемый на Linux для п роверки файлов, почтовых вложений и каталогов по сигнатурным базам. clamscan запускает самостоятельную проверку по требованию и загружает базы в свой процесс. clamd — фоновый демон, который держит базы в памяти; клиент clamdscan передаёт ему задания и обычно удобнее для повторяющихся проверок. Это не делает ClamAV эквивалентом EDR: сам по себе он не строит расследование из телеметрии процессов, учётных записей и сетевых событий.
FIM, например AIDE, не классифицирует файл как вредоносный. Он сравнивает путь, права, владельца, размер, времена и криптографические хеши с эталоном. Поэтому FIM хорошо обнаруживает неожиданные изменения критичных файлов, но не объясняет причину изменения и не защищает сам эталон от подмены.
Проверки Defender и ClamAV: что запус кать и как оценивать нагрузку
На Windows Server обновление security intelligence и запуск проверок выполняют только поддерживаемыми для конкретной версии средствами: PowerShell, Windows Security, политиками либо корпоративной консолью. Способы обновления, типы проверок и доступные параметры нужно сверять с актуальной документацией Microsoft: они меняются вместе с Windows Server и средствами управления.
Update-MpSignatureОжидаемый результат: обновление завершается без ошибки, а сведения о сигнатурах меняются или остаются актуальными. Ошибка требует проверки источника обновлений, прокси, политик и журналов Defender.Start-MpScan -ScanType FullScanОжидаемый результат: сведения о запуске и обнаружениях появляются в доступных журналах и консоли. Отсутствие обнаружений означает только, что на момент проверки движок не сообщил о совпадениях.Start-MpScan -ScanType CustomScan -ScanPath "D:\Uploads"Ожидаемый результат: проверяется выбранная область, а не весь сервер. При ошибке доступа не расширяют исключения: уточняют ACL, политику защиты и журнал события.freshclamОжидаемый результат: обновляются либо подтверждаются актуальными базы сигнатур. При ошибке проверяют сетевой доступ к источнику обновлений, права на каталог баз, настройки прокси и журнал службы.clamscan -r --infected /srv/uploadsОжидаемый результат: выводятся обнаружения, если они есть, и итоговая статистика. Код завершения и формат результата интерпретируют по документации установленной версии ClamAV; отсутствие строк об угрозах не равно доказательству чистоты сервера.Архивы и большие файлы
clamd, clamscan и FreshClam выбирают по официальной документации установленной версии и тестируют на типичных файлах сервиса.Исключения Windows Defender Server: где риск особенно высок
Антивирусное исключение рассматривают при подтверждённой несовместимости или измеримой проблеме производительности, если причину нельзя устранить иначе. Основанием служат применимая документация Microsoft или поставщика приложения либо воспроизводимые измерения, дополненные оценкой риска и согласованием изменения. Исключение должно быть минимальным по пути, процессу, расширению и сроку действия. Рекомендации для SQL Server, Exchange, Hyper-V и других серверных ролей нельзя переносить на другую роль или версию без проверки официальной документации Microsoft и поставщика приложения.
Широкое исключение создаёт неконтролируемую зону
Как обосновать минимальное исключение Defender
Это схема принятия решения, а не команда для безусловного добавления исключения.
- 1Зафиксировать симптомСоберите время, имя процесса, путь, тип операции, нагрузку и связанные события Defender или приложения. Нужен воспроизводимый конфликт, а не общее ощущение медленной работы.
- 2Проверить поддерживаемую рекомендациюСопоставьте выпуск Windows Server, версию приложения и роль сервера с официальными рекомендациями Microsoft и поставщика. Если рекомендация относится к другой версии или роли, она не является основанием для исключения.
- 3Сузить областьВыберите конкретный подтверждённый путь или процесс вместо диска, общего каталога или шаблона расширений. Не исключайте исполняемые файлы, загрузки и временные каталоги, если это не является прямо необходимым и документированным условием.
- 4Документировать компенсирующие мерыУкажите владельца, причину, источник рекомендации, затронутые пути, дату пересмотра и способ контроля. Для исключённой области полезны ограниченные права записи, FIM, журналирование и отдельная проверка файлов до помещения в неё.
- 5Проверить эффект и пересмотретьПосле изменения убедитесь, что проблема исчезла, а исключение действительно узкое и применилось через действующую политику. Пересматривайте его после обновления приложения, ОС или изменения роли сервера.
AIDE и file integrity monitoring: доверенная база важнее команды проверки
AIDE рассчитывает характеристики выбранных объектов, включая криптографические хеши, и сравнивает их с базой. Если исходная база создана уже на скомпрометированном сервере, она может закрепить вредоносные изменения как норму. Базу создают после установки доверенного образа, проверки пакетов, применения согласованных изменений и первичного осмотра системы.
Пакеты AIDE, расположение конфигурации и базы, доступные алгоритмы, правила включения путей и способ планового запуска отличаются между дистрибутивами и версиями. На одних системах используются задания cron или systemd timer, на других — механизмы пакета или внешняя система мониторинга. Конфигурацию следует сверять с документацией AIDE и документацией своего дистрибутива; не следует копировать правила, которые без разбора контролируют изменяемые журналы, кэши, базы данных и рабочие каталоги приложения.
aide --checkОжидаемый результат: отчёт разделяет добавленные, удалённые и изменённые объекты либо сообщает об отсутствии отличий. Любое отличие — повод сопоставить его с журналом изменений, обновлениями пакетов и действиями администратора, а не автоматически обновить базу.| Изменение | Когда оно может быть ожидаемым | Как поступить |
|---|---|---|
| Обновился бинарный файл пакета | Была подтверждённая транзакция обновления ОС или приложения | Сверить версию пакета, журнал обновления и подп ись репозитория; после подтверждения обновить эталонную базу контролируемым способом |
| Изменился файл конфигурации | Есть согласованная заявка, запись в системе изменений или автоматизация с известным результатом | Проверить точное содержимое, владельца и время; не принимать изменение только потому, что оно похоже на ожидаемое |
| Появился новый ключ SSH, unit, cron-задание или исполняемый файл | Только если это явно предусмотрено развёртыванием или изменением сервиса | При отсутствии подтверждённого основания считать событие приоритетным для триажа |
| Изменились логи, кэши, временные файлы, база данных приложения | Для рабочих путей приложения это обычно штатно | Исключить или контролировать их отдельным правилом, чтобы не скрыть изменения в действительно критичных путях |
Эталонную базу и конфигурацию AIDE хранят вне контролируемого хоста либо на носителе и в хранилище, где скомпрометированная учётная запись сервера не может их изменить. Доступ на изменение ограничивают, а каждое принятие нового эталона связывают с подтверждённым изменением. Такой процесс также помогает выявлять конфигурационный дрейф.
Проверка целостности пакетов: rpm -V и debsums
Проверка пакетов отвечает на более узкий вопрос, чем AIDE: соответствуют ли файлы, которыми управляет пакетный менеджер, записанным при установке метаданным. Она полезна после подозрительного изменения системног о бинарного файла или для сверки конкретного пакета, но не охватывает все объекты на диске.
rpm -V openssh-serverСтрока вида `S.5....T. c /etc/ssh/sshd_config` означает расхождение размера, контрольной суммы и времени изменения у конфигурационного файла. Символы RPM включают, в частности, размер (`S`), режим (`M`), digest (`5`), устройство (`D`), ссылку (`L`), владельца (`U`), группу (`G`), время (`T`) и capabilities (`P`) — набор проверяемых атрибутов зависит от метаданных пакета и версии RPM.debsums -sОжидаемый результат: при отсутствии сообщений не найдено несоответствий в доступной области проверки. Это не означает, что проверены файлы без контрольных сумм в метаданных, файлы вне пакетов или параметры доступа.В RPM результат rpm -V может быть ожидаемым для локально изменённого конфигурационного файла, но неожиданным для системного исполняемого файла без записи об обновлении. debsums в типичной конфигурации использует контрольные суммы из пакетных метаданных; он не является универсальной проверкой всех файлов и не заменяет проверку происхождения пакета. Для конфигурационных файлов в Debian-подобных системах может применяться debsums -c, но его смысл и покрытие также зависят от наличия метаданных и версии ут илиты.
Несовпадение пакета — не автоматическое доказательство взлома
sudoers, SSH-конфигурации, unit-файла или задания планировщика нельзя исправлять переустановкой пакета до фиксации контекста и триажа.rkhunter и аналогичные rootkit-проверки: как читать результат
Руткит может скрывать файлы, процессы, сетевые соединения или вмешиваться в загрузочную цепочку. Rootkit-сканеры ищут известные сигнатуры, небезопасные настройки, подозрительные свойства файлов и другие признаки. Они полезны как дополнительный источник гипотез, но отрицательный результат не исключает компрометацию: сканер может не знать новый образец, не увидеть скрытый объект или работать в уже недоверенной среде.
rkhunter --check --skОжидаемый результат: проверка завершается итоговым отчётом. Если в нё м есть `Warning` или аналогичные строки, их разбирают по конкретному тесту и пути. Предупреждение не следует трактовать как подтверждённый rootkit без сопоставления с пакетной проверкой, FIM, журналами и известной конфигурацией.- Сначала сохраните строку предупреждения, время проверки, версию сканера и проверяемый путь или настройку.
- Проверьте, относится ли находка к легитимному пакету, особенностям дистрибутива, известному изменению конфигурации или ложноположительному срабатыванию.
- Для файла сопоставьте хеш, владельца, права, время изменения, происхождение пакета и события аудита.
- Для сетевого или процессного признака сопоставьте его с журналами, активными службами и телеметрией EDR, если она есть.
- Не добавляйте находку в allowlist и не обновляйте базу сканера как «нормальную», пока изменение не подтверждено.
Не лечите подозрительный сервер до триажа
Как интерпретировать обнаружение malware или изменение файла
- Зафиксируйте исходный результат: время, имя хоста, роль сервера, путь, имя обнаружения, хеш, пользователя, процесс и действие защитного средства. Если объект помещён в карантин, не восстанавливайте и не удаляйте его до оценки контекста.
- Определите критичность и возможный масштаб: был ли файл доступен извне, исполнялся ли он, имеет ли сервер доступ к секретам, общим ресурсам или другим системам.
- Сопоставьте тревогу с журналами ОС, приложений, EDR и FIM. Один антивирусный детект, одно изменение AIDE или один
Warningrkhunter — это сигнал для триажа инцидента, а не полный диагноз. - Проверьте легитимность изменения через записи о релизе, обновлении пакета или заявке на изменение. Отсутствие такой записи повышает приоритет расследования.
- Если компрометация подтверждена или обоснованно подозревается, действуйте по процедуре реагирования: ограничьте доступ атакующего, сохраните артефакты, оцените затронутые секреты и не считайте хост доверенным после удаления одного файла.
Для постоянной эксплуатации полезно заранее определить владельца каждой категории тревог, допустимое время реакции, контролируемые пути FIM, окно полных проверок, правила пересмотра исключений и хранение результатов. Настройка подробного аудита и централизованная корреляция событий рассматриваются отдельно: для Linux, для Windows Server и в материале о сборе журналов.
Термины в статье
- ClamAV
- ClamAV — антивирусный движок с открытым исходным кодом, предназначенный главным образом для проверки файлов и почтовых вложений по обновляемым сигнатурным базам.
- IOC
- IOC — наблюдаемый технический признак возможной или подтверждённой компрометации: хеш файла, IP-адрес, домен, путь, ключ реестра или иной артефакт.
- Microsoft Defender Antivirus
- Microsoft Defender Antivirus — антивирусный компонент защиты Windows, выявляющий вредоносные файлы и действия по сигнатурам, эвристике и облачной репутации.
- Microsoft Defender for Endpoint
- Microsoft Defender for Endpoint — облачная EDR-платформа Microsoft для защиты конечных точек, анализа телеметрии, расследования инциденто в и выполнения ответных действий.
- Антивирусное ПО
- Антивирусное ПО — средство защиты конечных систем, выявляющее и блокирующее вредоносные объекты по сигнатурам, эвристике и поведенческим признакам.
- Антивирусное исключение
- Антивирусное исключение — правило, выводящее объекты или операции из-под механизмов проверки по пути, расширению, процессу либо иному критерию.
- Антималварная защита
- Антималварная защита — комплекс средств безопасности для выявления, блокирования и удаления вредоносного ПО на конечных устройствах, серверах и в почтовом трафике.
- Карантин
- Карантин — режим изоляции подозрительного или вредоносного объекта защитным средством, при котором его обычный запуск и доступ к нему ограничиваются.
- Компрометация
- Компрометация — нарушение защищённости актива, при котором произошли несанкционированный доступ или воздействие на его конфиденциальность, целостность либо доступность.
- Контроль целостности файлов
- Контроль целостности файлов — механизм выявления изменений файлов и атрибутов сравнением с эталоном или регистрацией операций файловой системы.
- Конфигурационный дрейф
- Конфигурационный дрейф — накопившееся отклонение фактической конфигурации системы от утверждённого эталона вследствие несогласованных или незафиксированных изменений.
- Криптографическая хеш-функция
- Криптографическая хеш-функция — функция, преобразующая данные произвольной длины в хеш фиксированной длины с практической стойкостью к поиску прообраза, второго прообраза и коллизий.
- Ложноположительное срабатывание
- Ложноположительное срабатывание — результат контроля безопасности, ошибочно отмечающий безопасное событие, файл или конфигурацию как угрозу либо нарушение.
- Проверка по требованию
- Проверка по требованию — запуск антивирусного сканирования администратором, заданием или API для выбранных объектов, в отличие от автоматической проверки при доступе.
- Проверка при доступе
- Проверка при доступе — режим антивирусной защиты, при котором файл, объект или поток данных анализируется в момент обращения к нему системой или приложением.
- Руткит
- Руткит — набор компонентов, скрывающих присутствие и действия на скомпрометированной системе путём вмешательства в ОС, загрузочную цепочку или механизмы мониторинга.
- Сигнатура вредоносного ПО
- Сигнатура вредоносного ПО — машиночитаемый шаблон или правило для распознавания известного вредоносного объекта, его семейства либо характерной активности.
- Триаж инцидента
- Триаж инцидента — первичная оценка события безопасности для подтверждения инцидента, определения его приоритета, масштаба, потенциального ущерба и необходимых действий реагирования.