hana_shinのLinux技術ブログ

Linuxの技術情報を掲載しています。特にネットワークをメインに掲載していきます。

Linux Malware Detectの使い方

セキュリティ AlmaLinux 8


1 LMD(Linux Malware Detect)とは

LMDはマルウェアを検出するツールです。さらに、ファイル／ディレクトリ等の作成、変更、削除を検知することができます。これにより、マルウェアが新しいファイルを作成するなどの不審な動きを検出することができます。なお、ファイル／ディレクトリ等の作成、変更、削除は、AIDEの使い方 - hana_shinのLinux技術ブログを使っても検知することができます。

2 検証環境

AlmaLinux版数は以下のとおりです。

[root@server ~]# cat /etc/redhat-release
AlmaLinux release 8.6 (Sky Tiger)

カーネル版数は以下のとおりです。

[root@server ~]# uname -r
4.18.0-372.9.1.el8.x86_64

3 インストール方法

以下の公式ページをもとに、LMDをインストールしました。
Linux Malware Detect – R-fx Networks

公式ページの説明にしたがって、LMDのtar.gzファイルをダウンロードします。

[root@server ~]# wget https://www.rfxn.com/downloads/maldetect-current.tar.gz

ダウンロードしたファイルを確認します。

[root@server ~]# ls -l maldetect-current.tar.gz
-rw-r--r--. 1 root root 1647506  4月 10 21:58 maldetect-current.tar.gz

ダウンロードしたファイルを解凍します。

[root@server ~]# tar xvf maldetect-current.tar.gz

解凍したディレクトリに移動します。

[root@server ~]# cd maldetect-1.6.5/
[root@server maldetect-1.6.5]# ls
CHANGELOG  CHANGELOG.RELEASE  CHANGELOG.VARIABLES  COPYING.GPL  README  cron.d.pub  cron.daily  files  install.sh

install.shを実行してLMDをインストールします。LMVの版数がv1.6.5であることがわかります。

[root@server maldetect-1.6.5]# ./install.sh
Created symlink /etc/systemd/system/multi-user.target.wants/maldet.service → /usr/lib/systemd/system/maldet.service.
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@r-fx.org>
            (C) 2023, Ryan MacDonald <ryan@r-fx.org>
This program may be freely redistributed under the terms of the GNU GPL

installation completed to /usr/local/maldetect
config file: /usr/local/maldetect/conf.maldet
exec file: /usr/local/maldetect/maldet
exec link: /usr/local/sbin/maldet
exec link: /usr/local/sbin/lmd
cron.daily: /etc/cron.daily/maldet
maldet(2681): {sigup} performing signature update check...
maldet(2681): {sigup} local signature set is version 20230331490193
maldet(2681): {sigup} new signature set 202304191182804 available
maldet(2681): {sigup} downloading https://cdn.rfxn.com/downloads/maldet-sigpack.tgz
maldet(2681): {sigup} downloading https://cdn.rfxn.com/downloads/maldet-cleanv2.tgz
maldet(2681): {sigup} verified md5sum of maldet-sigpack.tgz
maldet(2681): {sigup} unpacked and installed maldet-sigpack.tgz
maldet(2681): {sigup} verified md5sum of maldet-clean.tgz
maldet(2681): {sigup} unpacked and installed maldet-clean.tgz
maldet(2681): {sigup} signature set update completed
maldet(2681): {sigup} 17637 signatures (14801 MD5 | 2053 HEX | 783 YARA | 0 USER)

設定ファイル(conf.maldet)を確認すると、ClamAVは、大量のファイルをスキャンする場合、パフォーマンスを向上する、と説明があります。私の環境では、ClamAVがインストールされていなかったので、ClamAVをインストールしました。

[root@server ~]# less /usr/local/maldetect/conf.maldet
-snip-
# If installed, use ClamAV clamscan binary as default scan engine which
# provides improved scan performance on large file sets. The clamscan
# engine is used in conjunction with native ClamAV signatures updated
# through freshclam along with LMD signatures providing additional
# detection capabilities.
# [ 0 = disabled, 1 = enabled ]
scan_clamscan="1"

clamavはepelリポジトリに含まれているため、まずepel-releaseパッケージをインストールします。

[root@server ~]# dnf -y install epel-release

次に、clamavパッケージをインストールします。

[root@server ~]# dnf -y install clamav*

インストールしたパッケージを確認します。以下のパッケージがインストールされました。

[root@server ~]# rpm -qa|grep clamav
clamav-update-0.103.8-3.el8.x86_64
clamav-doc-0.103.8-3.el8.noarch
clamav-milter-0.103.8-3.el8.x86_64
clamav-filesystem-0.103.8-3.el8.noarch
clamav-unofficial-sigs-7.2.5-4.el8.noarch
clamav-0.103.8-3.el8.x86_64
clamav-devel-0.103.8-3.el8.x86_64
clamav-lib-0.103.8-3.el8.x86_64
clamav-data-0.103.8-3.el8.noarch

4 オプション一覧

オプションは以下のとおりです。

[root@server ~]# maldet -h
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

signature set: 202304191182804
usage /usr/local/sbin/maldet [ OPTION ]
    -b, --background
      Execute operations in the background, ideal for large scans
      e.g: maldet -b -r /home/?/public_html 7

    -u, --update-sigs [--force]
       Update malware detection signatures from rfxn.com

    -d, --update-ver [--force]
       Update the installed version from rfxn.com

    -f, --file-list
       Scan files or paths defined in line spaced file
       e.g: maldet -f /root/scan_file_list

    -r, --scan-recent PATH DAYS
       Scan files created/modified in the last X days (default: 7d, wildcard: ?)
       e.g: maldet -r /home/?/public_html 2

    -a, --scan-all PATH
       Scan all files in path (default: /home, wildcard: ?)
       e.g: maldet -a /home/?/public_html

    -i, --include-regex REGEX
       Include paths/files from file list based on supplied posix-egrep regular
       expression.
       e.g: To include only paths named wp-content and files ending in .php:
       --include-regex ".*/wp-content/.*|.*.php$"

    -x, --exclude-regex REGEX
       Exclude paths/files from file list based on supplied posix-egrep regular
       expression.
       e.g: To exclude paths containing 'wp-content/w3tc/' and core files:
       --exclude-regex ".*wp-content/w3tc/.*|.*core.[0-9]+$"

    -m, --monitor USERS|PATHS|FILE|RELOAD
       Run maldet with inotify kernel level file create/modify monitoring
       If USERS is specified, monitor user homedirs for UID's > 500
       If FILE is specified, paths will be extracted from file, line spaced
       If PATHS are specified, must be comma spaced list, NO WILDCARDS!
       e.g: maldet --monitor users
       e.g: maldet --monitor /root/monitor_paths
       e.g: maldet --monitor /home/mike,/home/ashton

    -k, --kill-monitor
       Terminate inotify monitoring service

    -c, --checkout FILE
       Upload suspected malware to rfxn.com for review & hashing into signatures

    -l, --log
       View maldet log file events

    -e, --report SCANID email
       View scan report of most recent scan or of a specific SCANID and optionally
       e-mail the report to a supplied e-mail address
       e.g: maldet --report
       e.g: maldet --report list
       e.g: maldet --report 050910-1534.21135
       e.g: maldet --report SCANID user@domain.com

    -s, --restore FILE|SCANID
       Restore file from quarantine queue to orginal path or restore all items from
       a specific SCANID
       e.g: maldet --restore /usr/local/maldetect/quarantine/config.php.23754
       e.g: maldet --restore 050910-1534.21135

    -q, --quarantine SCANID
       Quarantine all malware from report SCANID
       e.g: maldet --quarantine 050910-1534.21135

    -n, --clean SCANID
       Try to clean & restore malware hits from report SCANID
       e.g: maldet --clean 050910-1534.21135

    -U, --user USER
       Set execution under specified user, ideal for restoring from user quarantine or
       to view user reports.
       e.g: maldet --user nobody --report
       e.g: maldet --user nobody --restore 050910-1534.21135

    -co, --config-option VAR1=VALUE,VAR2=VALUE,VAR3=VALUE
       Set or redefine the value of conf.maldet config options
       e.g: maldet --config-option email_addr=you@domain.com,quarantine_hits=1

    -p, --purge
       Clear logs, quarantine queue, session and temporary data.

    --web-proxy IP:PORT
       Enable use of HTTP/HTTPS proxy for all remote URL calls.

5 設定ファイルの編集

次の設定項目をデフォルト値から変更しました。

設定項目 意味
scan_ignore_root rootが所有者のファイルもスキャンします。ただし、スキャン対象のファイルが多くなるため、スキャン完了までの時間が増えます
quarantine_hits ウィルスに感染したファイルを検出すると、そのファイルをユーザがアクセスできないディレクトに移動します(ここでは検疫と呼びます）

デフォルトの設定ファイルを保存します。

[root@server ~]# cp /usr/local/maldetect/conf.maldet /usr/local/maldetect/conf.maldet.org

デフォルト値から変更した値を確認します。scan_ignore_rootは1から0、quarantine_hitsは0から1に変更しました。

[root@server ~]# diff -Nur /usr/local/maldetect/conf.maldet.org /usr/local/maldetect/conf.maldet
--- /usr/local/maldetect/conf.maldet.org        2023-04-20 21:11:35.472656234 +0900
+++ /usr/local/maldetect/conf.maldet    2023-04-20 21:12:18.022149296 +0900
@@ -191,7 +191,7 @@
 # and as such it makes sense to ignore files that are root owned. It is
 # recommended to leave this enabled for best performance.
 # [ 0 = disabled, 1 = enabled ]
-scan_ignore_root="1"
+scan_ignore_root="0"

 # This allows for specific user or groups to be ignored entirely from scan
 # file lists. This option should be used with care and is not ideal for
@@ -225,7 +225,7 @@
 ##
 # The default quarantine action for malware hits
 # [0 = alert only, 1 = move to quarantine & alert]
-quarantine_hits="0"
+quarantine_hits="1"

 # Try to clean string based malware injections
 # [NOTE: quarantine_hits=1 required]

6 LMDのバージョンをアップデートする方法(-d)

"-d"はLMDのバージョンをアップデートするオプションです。以下の実行結果より、”latest version already installed"が出力されているので、LMDの最新バージョンがインストールされていることがわかります。

[root@server ~]# maldet -d
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(3243): {update} checking for available updates...
maldet(3243): {update} hashing install files and checking against server...
maldet(3243): {update} latest version already installed.

7 署名をアップデートする方法(-u)

"-u"は署名をアップデートするオプションです。署名の最新は202304191182804であることがわかります。署名は簡単に言うとスキャン対象のマルウェア一覧のことです。

[root@server ~]# maldet -u
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(3406): {sigup} performing signature update check...
maldet(3406): {sigup} local signature set is version 202304191182804
maldet(3406): {sigup} latest signature set already installed

8 指定したパスをスキャンする方法(-a)

"-a"は指定したパスをスキャンするオプションです。ここでは、/root/bashdb-4.4-1.0.1配下のファイルをスキャンしてみます。

[root@server ~]# maldet -a /root/bashdb-4.4-1.0.1
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(11704): {scan} signatures loaded: 17637 (14801 MD5 | 2053 HEX | 783 YARA | 0 USER)
maldet(11704): {scan} building file list for /root/bashdb-4.4-1.0.1, this might take awhile...
maldet(11704): {scan} setting nice scheduler priorities for all operations: cpunice 19 , ionice 6
maldet(11704): {scan} file list completed in 0s, found 593 files...
maldet(11704): {scan} found clamav binary at /usr/bin/clamscan, using clamav scanner engine...
maldet(11704): {scan} scan of /root/bashdb-4.4-1.0.1 (593 files) in progress...

maldet(11704): {scan} scan completed on /root/bashdb-4.4-1.0.1: files 593, malware hits 0, cleaned hits 0, time 59s
maldet(11704): {scan} scan report saved, to view run: maldet --report 230420-2214.11704

スキャンを実行している間、プロセスの状態を確認するために ps コマンドを使用します。maldet コマンドを実行すると、clamscan プロセスが動作していることが分かります。

[root@server ~]# ps -p 12064 -o comm,pid,ppid,%cpu,args
COMMAND             PID    PPID %CPU COMMAND
bash              12064    2924  0.0 bash /usr/local/sbin/maldet -a /root/bashdb-4.4-1.0.1

[root@server ~]# ps -C clamscan -o comm,pid,ppid,%cpu,args
COMMAND             PID    PPID %CPU COMMAND
clamscan          12280   12064 96.9 /usr/bin/clamscan --max-filesize=6947618 --max-scansize=13895236 -d /usr/local/maldetect/tmp/.runtime.user.12064.hdb -d

実行結果の最後の行に"run :maldet --report 230420-2214.11704"とあるので、そのとおり実行してみます。マルウェアは存在しなかったことがわかります(TOTAL HITS: 0)。

[root@server ~]# maldet --report 230420-2214.11704
HOST:      server
SCAN ID:   230420-2214.11704
STARTED:    4月 20 2023 22:14:51 +0900
COMPLETED:  4月 20 2023 22:15:50 +0900
ELAPSED:   59s [find: 0s]

PATH:          /root/bashdb-4.4-1.0.1
TOTAL FILES:   593
TOTAL HITS:    0
TOTAL CLEANED: 0

===============================================
Linux Malware Detect v1.6.5 < proj@rfxn.com >

9 ログを確認する方法(-l)

"-l"はLMDが出力するログを確認するオプションです。

[root@server ~]# maldet -l
-snip-
 4月 20 2023 22:14:52 server maldet(11704): {scan} scan of /root/bashdb-4.4-1.0.1 (593 files) in progress...
 4月 20 2023 22:15:50 server maldet(11704): {scan} scan completed on /root/bashdb-4.4-1.0.1: files 593, malware hits 0, cleaned hits 0, time 59s
 4月 20 2023 22:15:50 server maldet(11704): {scan} scan report saved, to view run: maldet --report 230420-2214.11704

10 ログをクリアする方法(-p)

"-p"はログをクリアするオプションです。

[root@server ~]# maldet -p
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

/usr/bin/wc: /usr/local/maldetect/logs/inotify_log: そのようなファイルやディレクトリはありません
cat: /usr/local/maldetect/tmp/inotify: そのようなファイルやディレクトリはありません
maldet(12241): {glob} logs and quarantine data cleared by user request (-p)

ログを確認します。ログがクリアされたことがわかります。

[root@server ~]# maldet -l
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

Viewing last 50 lines from /usr/local/maldetect/logs/event_log:
 4月 20 2023 22:18:40 server maldet(12241): {mon} inotify log file trimmed
 4月 20 2023 22:18:40 server maldet(12241): {glob} logs and quarantine data cleared by user request (-p)

11 スキャン対象のパスをファイルで指定する方法(-f)

"-f"はスキャン対象のパスをファイルで指定するオプションです。今回は、/sbinと/usr/binをスキャン対象に指定するためのファイル（ここではリストファイルと呼びます）を作成します。

[root@server ~]# cat scan_file_list
/sbin/
/usr/bin

"-f"オプションに続けて、リストファイルの絶対パスを指定します。

[root@server ~]# maldet -f /root/scan_file_list
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(19372): {scan} signatures loaded: 17637 (14801 MD5 | 2053 HEX | 783 YARA | 0 USER)
maldet(19372): {scan} user supplied file list '/root/scan_file_list', found 2 files...
maldet(19372): {scan} found clamav binary at /usr/bin/clamscan, using clamav scanner engine...
maldet(19372): {scan} scan of  (2 files) in progress...

maldet(19372): {scan} scan completed on : files 2, malware hits 0, cleaned hits 0, time 96s
maldet(19372): {scan} scan report saved, to view run: maldet --report 230422-2126.19372

12 スキャンの結果を確認する方法(-e)

maldet -eを実行すると、最後に実行したスキャンのレポートが表示されます。

[root@server ~]# maldet -e
HOST:      server
SCAN ID:   230422-2126.19372
STARTED:    4月 22 2023 21:26:37 +0900
COMPLETED:  4月 22 2023 21:28:13 +0900
ELAPSED:   96s [find: s]

PATH:
RANGE:         /root/scan_file_list days
TOTAL FILES:   2
TOTAL HITS:    0
TOTAL CLEANED: 0

===============================================
Linux Malware Detect v1.6.5 < proj@rfxn.com >

maldet -eコマンドの引数にlistを指定すると、スキャンの実行履歴一覧を表示することができます。

[root@server ~]# maldet -e list
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

4月  22  2023  21:26:37  |  SCANID:  230422-2126.19372  |  RUNTIME:  96s   |  FILES:  2       |  HITS:  0   |  CLEANED:  0
4月  22  2023  21:09:33  |  SCANID:  230422-2109.17242  |  RUNTIME:  102s  |  FILES:  2       |  HITS:  0   |  CLEANED:  0
-snip-

maldet -eコマンドの引数にSCANIDを指定することで、特定のスキャンの詳細情報を表示することができます。

[root@server ~]# maldet -e 230422-2109.17242
HOST:      server
SCAN ID:   230422-2109.17242
STARTED:    4月 22 2023 21:09:33 +0900
COMPLETED:  4月 22 2023 21:11:15 +0900
ELAPSED:   102s [find: s]

PATH:
RANGE:         /root/scan_file_list days
TOTAL FILES:   2
TOTAL HITS:    0
TOTAL CLEANED: 0

===============================================
Linux Malware Detect v1.6.5 < proj@rfxn.com >

13 検疫したファイルを元の場所に戻す方法(-s)

"-s"は検疫したファイルを元のディレクトリに戻すためのオプションです。もしマルウェアに感染していないファイルを誤って検疫してしまった場合には、このオプションを使ってファイルを元の場所に戻すことができます。

テスト用のマルウェアを/tmpにダウンロードします。

[root@server ~]# wget -P /tmp https://secure.eicar.org/eicar.com

ダウンロードしたテスト用のマルウェアを確認します。

[root@server ~]# ls -l /tmp/eicar.com
-rw-r--r--. 1 root root 68  7月  2  2020 /tmp/eicar.com

/tmpディレクトリ以下のファイルをスキャンしたところ、1つのマルウェアが検出されたというメッセージ(malware hits 1)が表示されました。

[root@server ~]# maldet -a /tmp
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(6017): {scan} signatures loaded: 17637 (14801 MD5 | 2053 HEX | 783 YARA | 0 USER)
maldet(6017): {scan} building file list for /tmp, this might take awhile...
maldet(6017): {scan} setting nice scheduler priorities for all operations: cpunice 19 , ionice 6
maldet(6017): {scan} file list completed in 0s, found 2 files...
maldet(6017): {scan} found clamav binary at /usr/bin/clamscan, using clamav scanner engine...
maldet(6017): {scan} scan of /tmp (2 files) in progress...
maldet(6017): {scan} processing scan results for hits: 1 hits 0 cleaned
maldet(6017): {scan} scan completed on /tmp: files 2, malware hits 1, cleaned hits 0, time 39s
maldet(6017): {scan} scan report saved, to view run: maldet --report 230423-1930.6017
[root@server ~]# maldet --report 230423-1930.6017

実行結果の詳細を確認すると、/tmpのテスト用マルウェアが検疫されたことがわかります。

[root@server ~]# maldet --report 230423-1930.6017
HOST:      server
SCAN ID:   230423-1930.6017
STARTED:    4月 23 2023 19:30:09 +0900
COMPLETED:  4月 23 2023 19:30:48 +0900
ELAPSED:   39s [find: 0s]

PATH:          /tmp
TOTAL FILES:   2
TOTAL HITS:    1
TOTAL CLEANED: 0

FILE HIT LIST:
{HEX}EICAR.TEST.3 : /tmp/eicar.com => /usr/local/maldetect/quarantine/eicar.com.2599910771
===============================================
Linux Malware Detect v1.6.5 < proj@rfxn.com >

/tmpにダウンロードしたテスト用のマルウェアを確認すると、検疫されたため/tmpには存在しないことがわかります。

[root@server ~]# ls -l /tmp/eicar.com
ls: '/tmp/eicar.com' にアクセスできません: そのようなファイルやディレクトリはありません

一方、検疫したファイルを格納するディレクトリを確認すると、テスト用のマルウェアが存在していることがわかりました。

[root@server ~]# ls -l /usr/local/maldetect/quarantine/eicar.com.2599910771
----------. 1 root root 68  4月 23 19:30 /usr/local/maldetect/quarantine/eicar.com.2599910771

検疫したファイルを元のディレクトリに戻します。

[root@server ~]# maldet -s 230423-1930.6017
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(6743): {restore} quarantined file '/usr/local/maldetect/quarantine/eicar.com.2599910771' restored to '/tmp/eicar.com'

/tmpを確認すると、検疫したファイルが存在することがわかります。

[root@server ~]# ls -l /tmp/eicar.com
-rw-r--r--. 1 root root 68  7月  2  2020 /tmp/eicar.com

14 リアルタイムモニタリングを開始／終了する方法

リアルタイムモニタリングは、ファイルやディレクトリの作成、変更、削除をリアルタイムで監視する機能です。これにより、マルウェアが新しいファイルを作成するなどの不審な動きを検出することができます。

14.1 開始方法(--monitor)

”--monitor"はリアルタイムモニタリングを有効にするオプションです。この機能を実現するために、maldetはinotifywaitコマンドを使用します。例えば、/tmpディレクトリをリアルタイムでモニタリングするには、以下のようにコマンドを入力します。

[root@server ~]# maldet --monitor /tmp
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(12999): {mon} added /tmp to inotify monitoring array
maldet(12999): {mon} starting inotify process on 1 paths, this might take awhile...
maldet(12999): {mon} inotify startup successful (pid: 13140)
maldet(12999): {mon} inotify monitoring log: /usr/local/maldetect/logs/inotify_log
[root@server ~]#

psコマンドを実行してプロセスの状態を確認します。リアルタイムモニタリングを有効にすると、inotifywaitプロセスが起動します。このプロセスが/tmp配下のファイルの作成、削除等を監視します。なお、inotifywaitコマンドについては、inotifywaitコマンドの使い方 - hana_shinのLinux技術ブログを参照してください。

[root@server ~]# ps -C inotifywait -o comm,pid,ppid,args
COMMAND             PID    PPID COMMAND
inotifywait       13140       1 /usr/bin/inotifywait -r --fromfile /usr/local/maldetect/sess/inotify.paths.12999 --exclud

inotifywaitプロセスが監視しているパスを確認すると、/tmpディレクトリであることがわかります。

[root@server ~]# cat /usr/local/maldetect/sess/inotify.paths.12999
/tmp

リアルタイムモニタリングのログを確認するため、tail -fコマンドを実行します。

[root@server ~]# tail -f /usr/local/maldetect/logs/inotify_log

/tmp配下にファイルを作成します。

[root@server ~]# touch /tmp/test.txt

ファイルを作成すると、inotify_logに以下のログが記録されることがわかります。

[root@server ~]# tail -f /usr/local/maldetect/logs/inotify_log
-snip-
/tmp/test.txt CREATE 21 Apr 22:46:08

14.2 終了方法(--kill-monitor)

"--kill-monitor"はリアルタイムモニタリングを終了するオプションです。リアルタイムモニタリングを終了するには、以下のようにコマンドを入力します。

[root@server ~]# maldet --kill-monitor
Linux Malware Detect v1.6.5
            (C) 2002-2023, R-fx Networks <proj@rfxn.com>
            (C) 2023, Ryan MacDonald <ryan@rfxn.com>
This program may be freely redistributed under the terms of the GNU GPL v2

maldet(14243): {mon} sent kill to monitor service (pid: 13140)

psコマンドを実行すると、inotifywaitプロセスが終了していることがわかります。

[root@server ~]# ps -C inotifywait -o comm,pid,ppid,args
COMMAND             PID    PPID COMMAND

Z 参考情報

私が業務や記事執筆で参考にした書籍を以下のページに記載します。
Linux技術のスキルアップをしよう！ - hana_shinのLinux技術ブログ

How to use Linux Malware Detect (LMD) on Linux | LinTut