I sistemi Linux hanno bisogno di antivirus contro il ransomware? [chiuso]

In realtà ci sono più parti della domanda:

1. Linux è affetto da malware e specialmente da ransomware?
2. Esistono prodotti antivirus per Linux?
3. Questi prodotti aiutano contro questa minaccia?

Per rispondere al primo:
Sì, c'è malware per Linux e c'è anche il ransomware. Attualmente viene di solito propagato in modo diverso rispetto a Windows: il malware su Windows è principalmente distribuito tramite posta elettronica e web di phishing e fa uso di vulnerabilità e funzionalità specifiche della piattaforma, ad esempio host di scripting di Windows, macros in office e vulnerabilità in Office. Sui sistemi Linux invece viene solitamente installato attaccando il server, spesso usando problemi di sicurezza in Wordpress e altri CMS. Ma questo è principalmente dovuto al fatto che l'uso server di Linux è grande mentre l'uso desktop è ancora raro. Le capacità e le vulnerabilità necessarie per diffondere il ransomware in un modo simile a Windows esistono spesso anche su Linux anche se alcune differenze (come la necessità di impostare esplicitamente le autorizzazioni dei file eseguibili) rendono più difficili alcuni exploit.

Per quanto riguarda il secondo, ovvero i prodotti antivirus per Linux:
Sono disponibili sia prodotti gratuiti come ClamAV che prodotti commerciali.

E infine, questi antivirus aiutano contro malware / ransomware che si rivolge a Linux?
Per lo più no. Questi prodotti antivirus si occupano principalmente della protezione dagli attacchi indirizzati a Windows e vengono solitamente utilizzati per eseguire la scansione di file o messaggi che potrebbero essere offerti ai sistemi Windows. Pertanto, ad esempio, sono utili su un server di posta o file server e anche su un server Web per assicurarsi che il server non sia utilizzato per diffondere malware. Ma non proteggono nemmeno completamente dagli attacchi rivolti a Windows. Potrebbero avere del codice al suo interno per rilevare alcuni malware ben noti (e talvolta solo di prova del concetto) contro Linux, ma non proteggeranno da cose nuove. Esistono anche prodotti che scansionano le tracce di compromissione del sistema esistente e talvolta sono chiamati antivirus ma spesso no.

Il modo migliore per proteggere dalla manipolazione dei dati è il backup su una macchina che fornisce l'archiviazione solo per le accuse.

Il caso più semplice di questo sono i server dei file di registro: esiste un singolo collegamento seriale su cui è possibile inviare i dati, che viene aggiornato con il timestamp e archiviato; il sistema non interpreta altrimenti i dati e non esiste un'interfaccia di comando sul collegamento seriale.

Per i backup completi, dedicherei una macchina che si connette agli altri, recupera attivamente lo stato corrente e lo archivia direttamente, possibilmente deduplicandolo con le versioni precedenti. I client non hanno modo di contattare questo sistema in alcun modo, tutte le porte TCP sono chiuse dall'esterno.

Questo sistema ha quindi un ottimo punto di osservazione per fornire non solo versioni precedenti, ma può anche essere utilizzato per rilevare le manipolazioni - gli autori di malware possono scegliere di nascondere il malware da questo sistema (in modo da avere un backup pulito) o includendolo (che consente a un sistema antivirus in esecuzione sul server di backup di individuarlo).

Linux è sicuro ma non perfetto.

Il malware Linux esiste e c'è un esempio: WordPress- Delivered Ransomware e Hacked Linux Distributions descrive come può una macchina Linux essere infettata da un ransomware sfruttando una vulnerabilità del programma.

How it work?

A WordPress site is hacked through any method available. That may be a brute force password guessing attack or by exploiting a vulnerability in a plugin, theme or core.

The attacker installs code on the WordPress site that redirects visitors to other infected websites that are running the Nuclear Exploit Kit. The redirects may happen through a series of websites to try and prevent web browsers and Google from warning you that a site is infected. The sites involved in the redirect change frequently.

When a visitor to the infected site is redirected, the nuclear exploit kit searches for vulnerabilities in the site visitor’s Flash Plugin, Microsoft Silverlight, Adobe Reader or Internet Explorer.

If Nuclear finds a vulnerability, it exploits the visitor machine and installs the TeslaCrypt Ransomware.

The ransomware then encrypts all files on the workstation and extorts the owner into paying to get their system decrypted.

Un secondo esempio: Linux.Encoder.1 descovred by Dr.Web

Perché non hai bisogno di un programma antivirus sotto linux?

perché hai installato i tuoi programmi da repository attendibili e il tuo sistema viene frequentemente aggiornato per correggere i difetti dei programmi

con i software open source, i codici sorgente sono disponibili per tutti e possono essere testati, rattoppati da esperti e sviluppatori.

Perché hai bisogno di un antivirus?

L'antivirus può essere utile:

• Per eseguire la scansione dei virus e-mail.

• Se hai installato wine sul tuo sistema per eseguire i tuoi preferiti software di Windows.

• Se hai una macchina Windows sulla tua rete.

• Per eseguire la scansione di un disco rigido di Windows.

• Per eseguire la scansione di alcuni file prima di inviarli a macchine Windows.

Il modo più semplice per sconfiggere il ransomware su qualsiasi sistema operativo è avere un backup regolarmente aggiornato.

Questa risposta è specifica per il tuo scenario e non si applica a tutti i sistemi Linux in generale:

Non è necessaria la protezione anti-virus nella configurazione. Puoi aggiungerlo se ti fa dormire meglio, ma è improbabile che aumenti la tua sicurezza in modo considerevole.

Il tuo sistema è essenzialmente un archivio di file. A meno che tu non abbia menzionato dettagli importanti sul sistema, non ha una superficie di attacco esterna (cioè non è connesso a Internet, non esegue altri servizi e non è utilizzato da nessuno come desktop o macchina da lavoro).

Non vedo i modi realistici che un malware possa essere eseguito su questa macchina. Sì, il tuo servizio di condivisione dei file potrebbe avere un exploit, ma il malware dovrebbe prima infettare un altro computer sulla rete e poi attaccare quell'exploit, e anche se non impossibile, sembra improbabile.

Inoltre, sono sicuro che stai mantenendo un backup secondario esterno al sito se stai pensando a una solida soluzione di backup. Assicurati la leggibilità di quel backup secondario con un test di read-back prima di spedirlo fuori sede e anche se succede qualcosa al tuo server di backup, puoi semplicemente cancellarlo e ottenere il backup fuori sede.