malware-watch 설치기

English | 한국어

malware-watch는 프로세스/네트워크 행위 탐지, abuse.ch ThreatFox/MalwareBazaar IOC 피드, 확인된 위협 자동 격리, IOC 방화벽 차단 유지, 선택적 ClamAV 검사를 결합한 서버용 악성코드 감시 도구입니다.

구성 파일

install.sh — malware-watch, abuse.ch 피드 업데이트, 자동 격리, IOC 방화벽 복원, systemd 타이머 및 선택적 공식 ClamAV를 설치합니다.
verify.sh — 설치 상태가 정상인지 검증합니다.
src/ — 설치 시 /usr/local/sbin/으로 배포되는 실행 스크립트입니다.
.env — 설치 설정 파일입니다. 설치 전에 플레이스홀더 값을 실제 값으로 변경해야 합니다.

저장소의 .env에는 플레이스홀더만 포함되어야 합니다. 실제 Discord Webhook 또는 abuse.ch Auth-Key를 Git에 커밋하지 마십시오.

설치

git clone https://github.com/javara999/malware-watch.git
cd malware-watch
chmod +x install.sh verify.sh
nano .env
sudo ./install.sh

.env에서 최소 다음 두 값을 설정해야 합니다.

DISCORD_WEBHOOK='디스코드웹훅URL'
ABUSECH_AUTH_KEY='abuse.ch api 키'

위 두 플레이스홀더를 실제 값으로 변경한 뒤 설치하십시오.

설치 도중 실패했더라도 install.sh를 다시 실행할 수 있습니다. 기존 malware-watch 파일은 교체 전에 /root/security-evidence/malware-watch/install-backup-* 아래에 백업됩니다.

이번에 수정된 ClamAV 설치 문제

새 Ubuntu 서버에서 아직 clamav 시스템 계정이 존재하지 않는 경우 기존 설치기가 다음 오류로 중단될 수 있었습니다.

install: invalid user 'clamav'

현재 설치기는 다음 순서로 처리합니다.

공식 ClamAV 패키지를 먼저 설치합니다.
clamav 그룹이 없으면 생성합니다.
clamav 시스템 계정이 없으면 생성합니다.
그 다음 /var/lib/clamav를 clamav:clamav 소유로 생성합니다.

따라서 신규 Ubuntu 인스턴스에서도 해당 오류 없이 진행하도록 수정되었습니다.

설치 검증

sudo ./verify.sh

검증 항목:

필수 실행 파일 및 설정 파일 존재 여부
/etc/malware-watch/config 권한
malware-watch 및 abuse.ch systemd 타이머 상태
ThreatFox / MalwareBazaar 피드 로드 상태
ClamAV 설치 및 clamav 계정 존재 여부
ClamAV 시그니처 DB 상태
ClamAV 관련 systemd 타이머 상태
malware-watch.py 실제 1회 실행

정상 상태의 마지막 출력 예시는 다음과 같습니다.

Summary: PASS=<숫자> WARN=0 FAIL=0

설치 직후 ClamAV 시그니처가 아직 다운로드되지 않았다면 DB 관련 WARN 1개가 일시적으로 표시될 수 있습니다. FAIL이 있으면 해당 항목을 수정해야 합니다.

Discord Webhook까지 실제 테스트하려면:

sudo ./verify.sh --test-discord

수동 상태 확인

systemctl status malware-watch.timer --no-pager
systemctl status malware-feed-update.timer --no-pager
systemctl status clamav-freshclam-local.timer --no-pager
systemctl status clamav-risk-scan.timer --no-pager
systemctl status clamav-deep-scan.timer --no-pager
systemctl list-timers --all --no-pager | grep -E 'malware-watch|malware-feed-update|clamav-'

주요 로그 확인:

journalctl -u malware-watch.service -n 100 --no-pager
journalctl -u malware-feed-update.service -n 100 --no-pager
journalctl -u clamav-risk-scan.service -n 100 --no-pager
journalctl -u clamav-deep-scan.service -n 100 --no-pager
journalctl -u clamav-freshclam-local.service -n 100 --no-pager

주요 동작

1분 간격으로 프로세스와 네트워크를 검사합니다.
ThreatFox IOC 및 MalwareBazaar SHA256과 비교합니다.
/tmp, /var/tmp, /dev/shm 실행 파일, 삭제된 실행 파일, 알려진 miner 이름, 비정상적으로 높은 CPU 사용 등을 점수화합니다.
단순 휴리스틱만으로는 자동 삭제하지 않습니다.
MalwareBazaar 해시 일치 등 확인도가 높은 경우에만 자동 격리를 수행합니다.
확인된 IOC IP는 호스트 및 Docker 트래픽에서 차단할 수 있습니다.
증거와 격리 파일은 /root/security-evidence/ 아래에 보관합니다.

보안 주의사항

실제 Discord Webhook과 abuse.ch Auth-Key는 Git에 올리지 마십시오.
설치된 /etc/malware-watch/config 권한은 600이어야 합니다.
.env 실사용 파일을 별도로 관리하려면 .env.local, .env.secret, .env.real 같은 무시 대상 파일명을 사용하는 것을 권장합니다.
자동 격리는 확인된 악성코드에만 적용되며 일반적인 고점수 휴리스틱 탐지는 알림 위주로 처리합니다.

4.8 KiB Raw Blame History