Prólogo
Aún no vislumbramos en muchos casos, el cambio que va a suponer en la evolución del ser humano como especie que habita la tierra, la evolución de la inteligencia artificial. La moral y los valores se ven realmente amenazados con este asunto y dado que el ser humano tiende a inclinarse por el lado malo en cada descubrimiento beneficioso para avanzar, nos adentramos en una nueva era de ataques y problemas de ciberseguridad como no se había visto antes.
Más que nunca, el sentido común del usuario que utiliza un sistema informático hará gran parte de la tarea de mantener sus datos seguros y a salvo de ataques y chantajes indeseados. Por otra parte, queda la resistencia de los desarrolladores y mantenedores de las aplicaciones, en el caso que nos ocupa, de código abierto para el universo linux y por ende para nuestra distribución Mageia.
A título personal, como usuario de Mageia desde sus inicios, existen algunas opciones en Mageia, que se han mantenido intactas en el tiempo y que hacen que mi preferencia por la instalación de Mageia en mis equipos prevalezca sobre otras:
- Separación de las particiones “usuario” y “sistema”. Esto se traduce en mejor seguridad y facilidad de reinstalación del sistema.
- Separación de las contraseñas de “administrador/root” y “usuario”. Mageia sigue manteniendo desactivada la opción “sudo” por defecto en la instalación, lo que obliga a tener que introducir diferentes claves de seguridad para ambos usuarios.
- Centro de seguridad con gui. En nuestro Centro de Control de Mageia, disponemos de opciones de seguridad de forma gráfica que no he visto en otros sistemas.
Y aunque Mageia se puede considerar por varias razones una de las distros más estables y seguras del panorama Linux, nunca está de más añadir una capa de seguridad bien configurada a nuestro sistema. Es aquí donde entra ClamAv, un antivirus que podemos instalar desde los repositorios y con una buena configuración proteger aún más nuestros archivos personales. Así que vamos a explicar como configurar este antivirus que dispone de protección en tiempo real para Linux.
Instalación
La instalación de ClamAv es sumamente sencilla en Mageia y se puede hacer tanto por el gestor de software como por línea de comandos en la terminal. Pero primero quiero explicar lo que instalaremos:
- Clamav: Aplicación antivirus, se instalara su base de datos como dependencia.
- Clamd: Servicio multiproceso para el escaneo de virus.
- Clamtk: Interfaz gráfica de usuario para ClamAV para escaneo a demanda.
Para instalar estos paquetes
- Gestor de Software: Primero pondremos todos los filtros del gestor en modo “Todos”, después buscamos los paquetes antes mencionamos e instalamos.
- Comandos en terminal: Abrir una terminal como usuario “root” e instalar con: urpmi clamav clamd clamtk.
Con esto, la instalación quedaría completada.
Configuración
Tenemos dos opciones al respecto, dejar ClamAv como antivirus a con análisis a demanda, o configurar además la protección en tiempo real. Así que vamos a explicar ambos procesos. Pero antes de nada, debemos activar los servicios del antivirus para el siguiente reinicio en el Centro de Control de Mageia:
- Entrar en el Centro de Control de Mageia.
- Entrar al apartado “Sistema” y luego a “Administrar servicios del sistema habilitando o deshabilitándolos”.
- Busca estos servicios y habilita la opción “Al iniciar”:
- clamav-daemon: Es el motor del antivirus. Al estar activo, los escaneos son mucho más rápidos porque la base de datos ya está cargada en memoria.
- clamav-freshclam: Es el servicio que mantiene las firmas actualizadas en segundo plano.
- clamav-clamonacc: Activa la «Protección en tiempo real”. Ten en cuenta que esto consume más recursos del sistema y puede ralentizar la apertura de archivos (más adelante veremos como configurarlo para minimizar esto).
Las secciones en ClamTk:
- Configuración:
- Configuración. Para seleccionar el nivel de escaneo que necesitamos.
- Lista blanca. Los archivos incluidos en la lista no serán escaneados.
- Red. Nos permite configurar opciones de red, proxy, etc.
- Planificador. Nos permite programar hora de escaneos y actualización de definiciones diarios.
- Histórico:
- Histórico. Permite ver el detalle de escaneos anteriores.
- Cuarentena. Permite ver los archivos detectados llevados a cuarentena.
- Actualizaciones:
- Actualizar. Para actualizar las definiciones de virus.
- Asistente de actualización. Configuración de actualización de definiciones, manual o automática.
- Análisis:
- Analizar un archivo. Análisis de archivos individuales.
- Analizar una carpeta. Análisis por carpetas, por defecto abre el análisis de la carpeta personal.
- Análisis. Permite verificar el análisis anterior de un archivo o volver a analizarlo.
En ClamTk seleccionamos la opción “Configuración” para seleccionar el nivel de escaneo que necesitamos. En mi caso he seleccionado todas las casillas, esto hará que sea un poco más lento pero posiblemente detecte más amenazas en caso de que las hubiera. Hay que tener en cuenta que después tenemos que analizar los archivos encontrados, dado que puede haber falsos positivos. Por ejemplo una hoja de cálculo que contenga macros, puede ser detectada como sospechosa y el antivirus nos recomendará llevar los archivos a cuarentena para después poderlos revisar.
Antivirus a demanda
Si solo queremos hacer escaneos a demanda, activaremos los dos servicios antes mencionados (clamav-daemon y clamav-freshclam), y desde la aplicación ClamTk podemos hacer escaneos a demanda tanto de carpetas como de archivos.
También podemos hacerlo por terminal con las siguientes opciones:
- Para escanear un solo archivo: clamscan /ruta/al/archivo.txt
- Para escanear una carpeta: clamscan /ruta/a/la/carpeta
- Para escanear una carpeta y sus subcarpetas: clamscan -r /ruta/a/la/carpeta
- En la documentación de ClamAv podemos encontrar más opciones de escaneo.
Protección en tiempo real
ClamAv dispone de protección en tiempo real en linux. Mageia durante la instalación ya crea el archivo de configuración necesario para activar esta opción, pero vamos a ver como configurar el archivo para optimizar el escaneo y los recursos del sistema para ello. Para un equipo doméstico vamos a modificar algunas opciones al mismo tiempo que configuramos las rutas que queremos proteger de nuestro equipo.
1.- Activación del servicio clamav-clamonacc
En primer lugar si no lo hemos hecho ya, activaremos el servicio “ clamav-clamonacc” como indicamos anteriormente en el Centro de Control de Mageia. Después de un reinicio del sistema, los servicios necesarios deben estar activos y funcionando. Podemos comprobarlo desde una terminal como root con el siguiente comando “systemctl –no-pager –full status clamav-daemon.service clamav-clamonacc.service clamav-freshclam”.
2.- Creación de la carpeta de cuarentena
El servicio de protección en tiempo real está configurado para llevar los archivos sospechosos a la carpeta /root/quarantine, la carpeta no se crea durante la instalación (se reportará al equipo correspondiente para validar una mejor integración para nuestros usuarios), por lo que debemos crearla. Lo más sencillo es crearla mediante terminal en modo “root” con este comando, que configurará además los permisos necesarios: “install -d -o root -g root -m 700 /root/quarantine”.
3.- Configuración del archivo “clamd.conf”
Para terminar de activar la protección en tiempo real, vamos a modificar el archivo “clamd.conf” que se encuentra en “/etc/”. Podemos editar este archivo con cualquier editor de texto, probamos con kwrite y con featherpad que permiten luego mediante introducción previa de la contraseña de root, guardar las modificaciones directamente.
Para optimizar el consumo de recursos es recomendable modificar estos valores, podemos comentar (esto hará que el valor de desactive) o descomentar (esto hará que el valor se active) con “#”. Ejemplo:
- #OnAccessExcludeUname clamav. Este valor está desactivado para la aplicación.
- OnAccessExcludeUname clamav. Este valor está activado para la aplicación (activarlo posiblemente cambiará el valor de la línea).
Es recomendable indicar las carpetas que queremos tener vigiladas. Esto se realiza en el valor “OnAccessInlcudePath”. Como ejemplo viene indicado “OnAccessIncludePath /home/”. En nuestro caso hemos configurado las carpetas:
- /home/user/Compartidos
- /home/user/Descargas
- /home/user/Documentos
- /home/user/Escritorio
- /home/user/Imágenes
- /home/user/Música
- /home/user/Vídeos
Estas son las principales carpetas en el home personal del usuario. Cubrirán la mayoría de movimientos de archivos. Se pueden añadir otras muchas rutas, pero debes recordar que puede aumentar el consumo de recursos.
Una vez realizada la configuración se recomienda reiniciar el equipo.
Después de estas indicaciones, el resultado es una configuración inicial de optimización del archivo, pero te invitamos a investigar más al respecto y contarnos tu experiencia en la sección de comentarios. Con esta configuración el consumo de ram en varios equipos ronda 1Gb, una cifra que puede parecer excesiva, pero que comparada con otras aplicaciones como por ejemplo los navegadores web u aplicaciones empaquetadas en electron llega a ser ligera teniendo en cuenta que el escaneo está trabajando constantemente en segundo plano.
4.- Prueba final y revisión
Después de realizar toda la configuración vamos a realizar una prueba de análisis de un archivo de ejemplo. La prueba en cuestión se denomina EICAR, desarrollada por el desarrollada por el European Institute for Computer Antivirus Research y consiste en un archivo que sirve para comprobar hasta dónde analiza nuestro antivirus y si este está en funcionamiento.
Para ello hay que crear un archivo de texto plano con el nombre “eicar.txt” y dentro del archivo pegar la siguiente cadena de caracteres (sin las comillas): “X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*”. Este archivo lo podemos guardar por ejemplo en la carpeta de descargas, si el sistema está funcionando correctamente, el archivo desaparecerá y pasará a la carpeta de cuarentena en la ruta “/root/quarantine”.
Después de realizar la prueba, un resumen de revisión:
- Verificar que los servicios indicados están activados desde una terminal como root con “systemctl –no-pager –full status \ clamav-daemon.service clamav-clamonacc.service clamav-freshclam.service”.
- Verificar las rutas configuradas para ser vigiladas por la protección en tiempo real.
- Verificar el consumo de clamav con el monitor de recursos del sistema.
- Ver la unidad efectiva de clamonacc como root: systemctl cat clamav-clamonacc.service
- Ver los mensajes recientes de clamonacc como root: journalctl -u clamav-clamonacc.service -n 30 –no-pager
- Ver el registro de clamonacc como root: tail -n 40 /var/log/clamav/clamonacc.log
- Comprobar la cuarentena como root: ls -la /root/quarantine
- Comprobar las carpetas vigiladas en el registro como root: journalctl -u clamav-clamonacc.service -b –no-pager
Después de la revisión de los archivos en la cuarentena, podemos proceder a su borrado con el gestor de archivos en modo administrador entrando en la carpeta de cuarentena, o mediante terminal como root con:
- “cd /root/quarantine”: para entrar en la carpeta de cuarentena.
- “ls”: muestro los archivos de la carpeta.
- “rm nombre-de-archivo” para borrar un archivo específico.
- “rm -f *”: para borrar todo el contenido de la carpeta.
Con esto terminamos de configurar nuestro antivirus para Mageia, instalado y actualizado desde los repositorios oficiales y con protección en tiempo real y análisis a demanda desde la interfaz gráfica ClamTk.
Esperamos que esta nueva poción te sirva para aumentar la seguridad de tu sistema Mageia!
