Antivirus e strumenti di rilevamento su GNU/Linux e BSD: perché servono e quali usare

Chi lavora con sistemi GNU/Linux o BSD spesso dà per scontato che “qui i virus non esistano”. In parte è vero: il modello di permessi, la minore esposizione desktop e una comunità attenta rendono questi sistemi storicamente più sicuri. Ma non esenti da minacce.

Perché ha ancora senso usare un antivirus (libero)?

 Prevenzione e responsabilità

1. Scansione di file condivisi: server NAS, condivisioni Samba/NFS, allegati email.

2. Controllo di sistemi ibridi: ambienti misti con client Windows.

3. Rilevamento di rootkit o compromissioni locali.

4. Hardening e audit: strumenti antivirus integrabili in pipeline CI/CD, scansioni su immagini container, ecc.

5. Difesa da malware specifici per Linux: esempi recenti includono botnet basate su SSH, cryptominer via shell, e ransomware mirati a server Linux.

Strumenti liberi da usare su Linux e BSD

1. ClamAV – Antivirus open source

• Licenza: GPL

• Tipologia: Scanner antivirus generico

• Componenti:

  • clamscan: scansione manuale o automatizzabile

  • clamd: demone ad alte prestazioni (utile per integrazione server-side)

  • freshclam: aggiorna il database delle firme (signature DB)

• Integrazioni:

  • Server mail (Postfix, Exim, Dovecot)

  • Nextcloud (via ClamAV app)

  • CI/CD o cron

• Installazione:

  sudo apt install clamav clamav-daemon
sudo freshclam
clamscan -r /home

• Pro:

  • Completamente libero

  • Attivamente mantenuto

  • Ampio supporto a formati compressi

• Contro:

  • Rilevamento malware limitato rispetto a motori proprietari

  • Nessuna protezione real-time nativa (a meno di integrazioni con fanotify, inotify, ecc.)

• 2. Chkrootkit – Rootkit detector semplice

• Licenza: GPL

• Funzione: Rilevamento rootkit tramite analisi diretta di comandi, binari e processi

• Utilizzo:

  sudo apt install chkrootkit
sudo chkrootkit

• Nota tecnica: rilevamento basato su pattern statici, vulnerabile a falsi positivi/negativi. Va usato con occhio critico.

• Adatto per: controlli periodici post-installazione, immagini container, auditing rapido.

• 3. rkhunter (Rootkit Hunter) – Scanner avanzato per rootkit e modifiche sospette

• Licenza: GPL

• Funzione:

  • Verifica integrità file di sistema

  • Confronto con checksum noti

  • Rilevamento di backdoor e anomalie

• Installazione:

sudo apt install rkhunter
sudo rkhunter --update
sudo rkhunter --checkall

• Può essere integrato con cron o systemd:

  sudo systemctl enable rkhunter.timer

• Pro:

  • Analisi dettagliata

  • Log chiari, test personalizzabili

• Contro:

  • Rilevamento statico, richiede manutenzione (aggiornamenti regole e whitelist)

  • Output da analizzare manualmente

• 4. Linux Malware Detect (LMD / Maldet) – Scanner per ambienti server (opzionale, solo se vuoi includerlo)

• Licenza: GPLv2

• Caratteristiche:

  • Analisi comportamentale basata su signature

  • Compatibile con ClamAV per potenziamento

• Nota: usato in ambienti hosting, ma meno aggiornato. In alternativa si può integrare ClamAV con script su misura.

Approccio BSD: strumenti disponibili

• FreeBSD:

• clamav, chkrootkit, rkhunter disponibili via pkg o Ports:

  sudo pkg install clamav chkrootkit rkhunter

• Integrazione con periodic(8) per schedulare controlli

• OpenBSD:

• Approccio “secure by default” → non offre clamav di default

• Possibilità di compilazione manuale

• Audit tramite strumenti integrati come syspatch, signify, audit log e sandboxing

  ---

  Automatizzare e integrare

• Esempio: scansione settimanale con ClamAV via cron

       sudo crontab -e

Aggiungi:

      0 3 * * 1 clamscan -r -i /home --log=/var/log/clamav/scan.log

Integrazione in sistemi mail:

• Postfix + Amavis + ClamAV

• Oppure clamav-milter per scansioni dirette

Considerazioni finali

• La sicurezza su GNU/Linux o BSD non è un dato di fatto, ma un processo continuo.

• Usare strumenti liberi e trasparenti consente di:

  • sapere cosa accade nel sistema

  • avere controllo sul software utilizzato

  • evitare dipendenze da vendor opachi o con telemetria inclusa

• Anche se nessun antivirus è perfetto, un set minimo di strumenti di rilevamento passivo (ClamAV + rkhunter o chkrootkit) è consigliabile in qualsiasi ambiente responsabile.

Riferimenti tecnici

• ClamAV

• Chkrootkit

• rkhunter

• Guida sicurezza Debian

• FreeBSD Handbook – Security