☰

如何向 Linux 恶意软件检测 ignore_paths 添加通配符

tag-icon • tag-icon malware
如何向 Linux 恶意软件检测 ignore_paths 添加通配符

我正在使用 Linux Malware Detect 扫描和报告恶意软件，但每天都会收到用户电子邮件（主要是垃圾邮件文件夹）中存在恶意软件的警报。我不想收到这样的警报，垃圾邮件文件夹经常被清理，用户也可能清理它。

我尝试将通配符添加到 /usr/local/maldetect/ignore_paths 中，如下所示，但它们不会被忽略：

/home/*/homes/*/Maildir
/home/?/homes/?/Maildir

是否有人知道如何使用通配符排除文件夹，因为添加每个用户邮件目录的完整路径是不切实际的。

谢谢

答案1

我发现只有

/usr/local/maldetect/ignore_inotify
A line spaced file for regexp paths that are excluded from inotify monitoring
Sample ignore entry:
^/home/user$
^/var/tmp/#sql_.*\.MYD$

http://www.rfxn.com/appdocs/README.maldetect

如果您使用 inotify（flag -m）监控文件，那么它可以帮助您。

根据 maldet 的以下代码：

 if [ "$days" == "all" ]; then
  if [ -z "$setmodsec" ]; then
          eout "{scan} building file list for $spath, this might take awhile..." 1
  fi
  $find $spath $tmpdir_paths -maxdepth $maxdepth -type f -size +${minfilesize}c -size -$maxfilesize $ignore_fext | grep -vf $ignore_paths > $find_results
 else
  if [ -z "$setmodsec" ]; then
          eout "{scan} building file list for $spath of new/modified files from last $days days, this might take awhile..." 1
  fi
  $find $spath $tmpdir_paths -maxdepth $maxdepth -type f -mtime -$days -size +${minfilesize}c -size -$maxfilesize $ignore_fext | grep -vf $ignore_paths > $find_results
 fi

我可以说您可以使用与在 grep 中通常使用的相同的通配符。

但是我已经在我的 maldet 版本上测试过它，并且只有当我像这样指定它时它才有效：

/home/.*/homes/.*/Maildir

尝试在路径表达式中使用点。

相关内容