5. Altere todas as variáveis em *group_vars/variables.yml* de acordo com suas necessidades.
6. Ative o acesso root SSH antes de executar os playbooks:  ```
nano /etc/ssh/sshd_config
[...]
PermitRootLogin yes
[...]

ansible-playbook --inventory hosts.yml --ask-pass requirements-playbook.yml

ansible-playbook --inventory hosts.yml --ask-pass main-playbook.yml

ansible-playbook --inventory hosts.yml -e ansible_ssh_port=SSH_PORT --key-file /PATH/TO/SSH/KEY main-playbook.yml

([Índice](#table-of-contents))

## A Rede

### Firewall com UFW (Uncomplicated Firewall)

#### Porquê

Pode me chamar de paranoico, e não precisa concordar, mas eu quero negar todo o tráfego de entrada e saída do meu servidor, exceto o que eu permitir explicitamente. Por que meu servidor estaria enviando tráfego para fora que eu não conheço? E por que o tráfego externo estaria tentando acessar meu servidor se eu não sei quem ou o que é? Quando se trata de boa segurança, minha opinião é rejeitar/negar por padrão e permitir por exceção.

Claro, se você discorda, tudo bem, e pode configurar o UFW de acordo com suas necessidades.

De qualquer forma, garantir que apenas o tráfego que permitimos explicitamente passe é tarefa de um firewall.

#### Como Funciona

O kernel Linux fornece capacidades para monitorar e controlar o tráfego de rede. Essas capacidades são expostas ao usuário final por meio de utilitários de firewall. No Linux, o firewall mais comum é o [iptables](https://en.wikipedia.org/wiki/Iptables). No entanto, o iptables é bastante complicado e confuso (IMHO). É aqui que entra o UFW. Pense no UFW como um front-end para o iptables. Ele simplifica o processo de gerenciamento das regras do iptables que informam ao kernel Linux o que fazer com o tráfego de rede.

**UFW** funciona permitindo configurar regras que:

- **permitir** ou **negar**
- tráfego de **entrada** ou **saída**
- para portas **de** ou **para**

Você pode criar regras especificando explicitamente as portas ou com configurações de aplicação que especificam as portas.

#### Objetivos

- todo o tráfego de rede, entrada e saída, bloqueado, exceto aqueles que permitirmos explicitamente

#### Notas

- À medida que instalar outros programas, precisará ativar as portas/aplicações necessárias.

#### Referências

- https://launchpad.net/ufw

#### Passos

1. Instale o ufw.

   Em sistemas baseados em Debian:

   ``` bash
   sudo apt install ufw
   ```

1. Negue todo o tráfego de saída:

   ``` bash
   sudo ufw default deny outgoing comment 'deny all outgoing traffic'
   ```

   > ```
   > Default outgoing policy changed to 'deny'
   > (be sure to update your rules accordingly)
   > ```

   Se você não é tão paranoico quanto eu e não quer negar todo o tráfego de saída, pode permiti-lo:

   ``` bash
   sudo ufw default allow outgoing comment 'allow all outgoing traffic'
   ```

1. Negue todo o tráfego de entrada:

   ``` bash
   sudo ufw default deny incoming comment 'deny all incoming traffic'
   ```

1. Obviamente, queremos conexões SSH de entrada. Usar limit em vez de allow negará automaticamente conexões de um endereço IP se ele tentar iniciar 6 ou mais conexões em uma janela de 30 segundos:

   ``` bash
   sudo ufw limit in ssh comment 'allow SSH connections in'
   ```

   > ```
   > Rules updated
   > Rules updated (v6)
   > ```

1. Permita tráfego adicional conforme suas necessidades. Alguns casos de uso comuns:

   ``` bash
   # allow traffic out to port 53 -- DNS
   sudo ufw allow out 53 comment 'allow DNS calls out'
   
   # allow traffic out to port 123 -- NTP
   sudo ufw allow out 123 comment 'allow NTP out'

   # allow traffic out for HTTP, HTTPS, or FTP
   # apt might needs these depending on which sources you're using
   sudo ufw allow out http comment 'allow HTTP traffic out'
   sudo ufw allow out https comment 'allow HTTPS traffic out'
   sudo ufw allow out ftp comment 'allow FTP traffic out'

   # allow whois
   sudo ufw allow out whois comment 'allow whois'
   
   # allow mails for status notifications -- choose port according to your provider
   sudo ufw allow out 25 comment 'allow SMTP out'
   sudo ufw allow out 587 comment 'allow SMTP out'

   # allow traffic out to port 68 -- the DHCP client
   # you only need this if you're using DHCP
   sudo ufw allow out 67 comment 'allow the DHCP client to update'
   sudo ufw allow out 68 comment 'allow the DHCP client to update'
   ```
   
   **Nota**: Você precisará permitir HTTP/HTTPS para instalar pacotes e muitas outras coisas.

1. Inicie o ufw:

   ``` bash
   sudo ufw enable
   ```

   > ```
   > Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
   > Firewall is active and enabled on system startup
   > ```

1. Se quiser ver o status:

   ``` bash
   sudo ufw status
   ```

   > ```
   > Status: active
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT       Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT       Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > Mail submission            ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > Mail submission (v6)       ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

   ou

   ``` bash
   sudo ufw status verbose
   ```

   > ```
   > Status: active
   > Logging: on (low)
   > Default: deny (incoming), deny (outgoing), disabled (routed)
   > New profiles: skip
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT IN    Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT IN    Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > 587/tcp (Mail submission)  ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > 587/tcp (Mail submission (v6)) ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

7. Se precisar apagar uma regra
   
   ``` bash
   sudo ufw status numbered
   [...]
   sudo ufw delete 3 #line number of the rule you want to delete
   ```

#### Aplicações Padrão

o ufw vem com algumas aplicações padrão. Pode vê-las com:``` bash
sudo ufw app list
```
> ```
> Aplicações disponíveis:
>   AIM
>   Bonjour
>   CIFS
>   DNS
>   Deluge
>   IMAP
>   IMAPS
>   IPP
>   KTorrent
>   Kerberos Admin
>   Kerberos Full
>   Kerberos KDC
>   Kerberos Password
>   LDAP
>   LDAPS
>   LPD
>   MSN
>   MSN SSL
>   Mail submission
>   NFS
>   OpenSSH
>   POP3
>   POP3S
>   PeopleNearby
>   SMTP
>   SSH
>   Socks
>   Telnet
>   Transmission
>   Transparent Proxy
>   VNC
>   WWW
>   WWW Cache
>   WWW Full
>   WWW Secure
>   XMPP
>   Yahoo
>   qBittorrent
>   svnserve
> ```

Para obter detalhes sobre a aplicação, como as portas que inclui, digite:``` bash
sudo ufw app info [app name]
```
> ``` bash
> sudo ufw app info DNS
> ```
> 
> ```
> Profile: DNS
> Title: Internet Domain Name Server
> Description: Internet Domain Name Server
> 
> Port:
>   53
> ```

#### Aplicação Personalizada

Se você não quiser criar regras fornecendo explicitamente o(s) número(s) da(s) porta(s), pode criar suas próprias configurações de aplicação. Para isso, crie um arquivo em `/etc/ufw/applications.d`.

Por exemplo, aqui está o que você usaria para [Plex](https://support.plex.tv/articles/201543147-what-network-ports-do-i-need-to-allow-through-my-firewall/):``` bash
cat /etc/ufw/applications.d/plexmediaserver
```
> ```
> [PlexMediaServer]
> title=Plex Media Server
> description=This opens up PlexMediaServer for http (32400), upnp, and autodiscovery.
> ports=32469/tcp|32413/udp|1900/udp|32400/tcp|32412/udp|32410/udp|32414/udp|32400/udp
> ```

Depois, pode ativá-lo como qualquer outra aplicação:```bash
sudo ufw allow plexmediaserver
```
([Table of Contents](#table-of-contents))

### Deteção e Prevenção de Intrusão no iptables com PSAD

#### Porquê

Mesmo que tenha uma firewall para proteger as suas portas, é possível tentar forçar a entrada em qualquer uma das portas protegidas. Queremos monitorizar toda a atividade de rede para detetar potenciais tentativas de intrusão, como tentativas repetidas de entrada, e bloqueá-las.

#### Como Funciona

Não consigo explicar melhor do que o utilizador [FINESEC](https://serverfault.com/users/143961/finesec) do https://serverfault.com/ fez em: https://serverfault.com/a/447604/289829.

> O Fail2BAN analisa ficheiros de log de várias aplicações como apache, ssh ou ftp e bane automaticamente IPs que apresentem sinais maliciosos, como tentativas automatizadas de login. O PSAD, por outro lado, analisa as mensagens de log do iptables e ip6tables (tipicamente /var/log/messages) para detetar e, opcionalmente, bloquear scans e outros tipos de tráfego suspeito, como tentativas de DDoS ou de fingerprinting do SO. É aceitável usar ambos os programas ao mesmo tempo porque operam a níveis diferentes.

E, como já estamos a usar [UFW](#ufw-uncomplicated-firewall), vamos seguir as excelentes instruções do [netson](https://gist.github.com/netson) em https://gist.github.com/netson/c45b2dc4e835761fbccc para fazer o PSAD funcionar com o UFW.

#### Referências

- http://www.cipherdyne.org/psad/
- http://www.cipherdyne.org/psad/docs/config.html
- https://www.thefanclub.co.za/how-to/how-install-psad-intrusion-detection-ubuntu-1204-lts-server
- https://serverfault.com/a/447604/289829
- https://serverfault.com/a/770424/289829
- https://gist.github.com/netson/c45b2dc4e835761fbccc
- Agradecimentos ao [moltenbit](https://github.com/moltenbit) por detetar o problema ([#61](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/61)) com o `psadwatchd`.

#### Passos

1. Instalar o psad.

   Em sistemas baseados em Debian:

   ``` bash
   sudo apt install psad
   ```

1. Criar uma cópia de segurança do ficheiro de configuração do psad `/etc/psad/psad.conf`:

   ``` bash
   sudo cp --archive /etc/psad/psad.conf /etc/psad/psad.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. Rever e atualizar as opções de configuração em `/etc/psad/psad.conf`. Prestar atenção especial a estas:

  |Definição|Definir Para
  |--|--|
  |[`EMAIL_ADDRESSES`](http://www.cipherdyne.org/psad/docs/config.html#EMAIL_ADDRESSES)|o(s) seu(s) endereço(s) de e-mail|
  |`HOSTNAME`|o hostname do seu servidor|
  |`EXPECT_TCP_OPTIONS`|`EXPECT_TCP_OPTIONS Y;`|
  |`ENABLE_PSADWATCHD`|`ENABLE_PSADWATCHD Y;`|
  |[`ENABLE_AUTO_IDS`](http://www.cipherdyne.org/psad/docs/config.html#ENABLE_AUTO_IDS)|`ENABLE_AUTO_IDS Y;`|
  |`ENABLE_AUTO_IDS_EMAILS`|`ENABLE_AUTO_IDS_EMAILS Y;`|

  Consulte a documentação do psad para o ficheiro de configuração em http://www.cipherdyne.org/psad/docs/config.html para mais detalhes.

1. <a name="psad_step4"></a>Agora precisamos de fazer algumas alterações ao ufw para que funcione com o psad, instruindo o ufw a registar todo o tráfego para que o psad o possa analisar. Faça isto editando **dois ficheiros** e adicionando estas linhas **no final, mas antes da linha COMMIT**.

   Fazer cópias de segurança:

   ``` bash
   sudo cp --archive /etc/ufw/before.rules /etc/ufw/before.rules-COPY-$(date +"%Y%m%d%H%M%S")
   sudo cp --archive /etc/ufw/before6.rules /etc/ufw/before6.rules-COPY-$(date +"%Y%m%d%H%M%S")
   ```

   Editar os ficheiros:

   - `/etc/ufw/before.rules`
   - `/etc/ufw/before6.rules`

   E adicionar **no final, mas antes da linha COMMIT**:

   ```
   # log all traffic so psad can analyze
   -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   ```

   **Nota**: Estamos a adicionar um prefixo de log a todos os logs do iptables. Iremos precisar disto para [separar os logs do iptables para o seu próprio ficheiro](#separate-iptables-log-file).

   Por exemplo:

   > ```
   > ...
   > 
   > # log all traffic so psad can analyze
   > -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > 
   > # don't delete the 'COMMIT' line or these rules won't be processed
   > COMMIT
   > ```

1. Agora precisamos de recarregar/reiniciar o ufw e o psad para que as alterações tenham efeito:

   ``` bash
   sudo ufw reload

   sudo psad -R
   sudo psad --sig-update
   sudo psad -H
   ```

1. Analisar as regras do iptables para detetar erros:

   ``` bash
   sudo psad --fw-analyze
   ```

   > ```
   > [+] Parsing INPUT chain rules.
   > [+] Parsing INPUT chain rules.
   > [+] Firewall config looks good.
   > [+] Completed check of firewall ruleset.
   > [+] Results in /var/log/psad/fw_check
   > [+] Exiting.
   > ```

   **Nota**: Se houver algum problema, receberá um e-mail com o erro.

1. Verificar o estado do psad:

   ``` bash
   sudo psad --Status
   ```

   > ```
   > [-] psad: pid file /var/run/psad/psadwatchd.pid does not exist for psadwatchd on vm
   > [+] psad_fw_read (pid: 3444)  %CPU: 0.0  %MEM: 2.2
   >     Running since: Sat Feb 16 01:03:09 2019
   > 
   > [+] psad (pid: 3435)  %CPU: 0.2  %MEM: 2.7
   >     Running since: Sat Feb 16 01:03:09 2019
   >     Command line arguments: [none specified]
   >     Alert email address(es): root@localhost
   > 
   > [+] Version: psad v2.4.3
   > 
   > [+] Top 50 signature matches:
   >         [NONE]
   > 
   > [+] Top 25 attackers:
   >         [NONE]
   > 
   > [+] Top 20 scanned ports:
   >         [NONE]
   > 
   > [+] iptables log prefix counters:
   >         [NONE]
   > 
   >     Total protocol packet counters:
   > 
   > [+] IP Status Detail:
   >         [NONE]
   > 
   >     Total scan sources: 0
   >     Total scan destinations: 0
   > 
   > [+] These results are available in: /var/log/psad/status.out
   > ```

([Table of Contents](#table-of-contents))

### Deteção e Prevenção de Intrusão em Aplicações com Fail2Ban

#### Porquê

O UFW diz ao seu servidor quais as portas para tapar para que ninguém as veja, e quais as portas para permitir a passagem de utilizadores autorizados. O PSAD monitoriza a atividade de rede para detetar e prevenir potenciais intrusões — tentativas repetidas de entrada.

Mas e quanto às aplicações/serviços que o seu servidor está a executar, como SSH e Apache, onde a sua firewall está configurada para permitir o acesso? Embora o acesso possa ser permitido, isso não significa que todas as tentativas de acesso sejam válidas e inofensivas. E se alguém tentar forçar a entrada numa aplicação web que está a executar no seu servidor? É aqui que entra o Fail2ban.

#### Como Funciona

O Fail2ban monitoriza os logs das suas aplicações (como SSH e Apache) para detetar e prevenir potenciais intrusões. Irá monitorizar o tráfego de rede/logs e prevenir intrusões bloqueando atividade suspeita (ex.: múltiplas falhas de conexão sucessivas num curto espaço de tempo).

#### Objetivos

- monitorização de rede para atividade suspeita com banimento automático de IPs infratores

#### Notas

- Neste momento, a única coisa em execução neste servidor é o SSH, por isso vamos querer que o Fail2ban monitorize o SSH e banir conforme necessário.
- À medida que instalar outros programas, precisará de criar/configurar as jails apropriadas e ativá-las.

#### Referências

- https://www.fail2ban.org/
- https://blog.vigilcode.com/2011/05/ufw-with-fail2ban-quick-secure-setup-part-ii/
- https://dodwell.us/security/ufw-fail2ban-portscan.html
- https://www.howtoforge.com/community/threads/fail2ban-and-ufw-on-debian.77261/

#### Passos

1. Instalar o fail2ban.

   Em sistemas baseados em Debian:

   ``` bash
   sudo apt install fail2ban
   ```

1. Não queremos editar `/etc/fail2ban/fail2ban.conf` ou `/etc/fail2ban/jail.conf` porque uma futura atualização pode sobrescrevê-los, por isso vamos criar uma cópia local. Criar o ficheiro `/etc/fail2ban/jail.local` e adicionar isto, substituindo `[LAN SEGMENT]` e `[your email]` pelos valores apropriados:

   ```
   [DEFAULT]
   # the IP address range we want to ignore
   ignoreip = 127.0.0.1/8 [LAN SEGMENT]

   # who to send e-mail to
   destemail = [your e-mail]

   # who is the email from
   sender = [your e-mail]

   # since we're using exim4 to send emails
   mta = mail

   # get email alerts
   action = %(action_mwl)s
   ```

   **Nota**: O seu servidor precisará de conseguir enviar e-mails para que o Fail2ban possa informá-lo sobre atividade suspeita e quando banir um IP.

1. Precisamos de criar uma jail para o SSH que diga ao fail2ban para olhar para os logs do SSH e usar o ufw para banir/desbanir IPs conforme necessário. Crie uma jail para o SSH criando o ficheiro `/etc/fail2ban/jail.d/ssh.local` e adicionando isto:

   ```
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   ```

   [Para os preguiçosos](#editing-configuration-files---for-the-lazy):

   ``` bash
   cat << EOF | sudo tee /etc/fail2ban/jail.d/ssh.local
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   EOF
   ```

1. No exemplo acima, dizemos ao fail2ban para usar o ufw como `banaction`. O Fail2ban vem com um ficheiro de configuração de ação para o ufw. Pode vê-lo em `/etc/fail2ban/action.d/ufw.conf`

1. Ativar o fail2ban:

   ``` bash
   sudo fail2ban-client start
   sudo fail2ban-client reload
   sudo fail2ban-client add sshd # Isto pode falhar em alguns sistemas se a jail sshd foi adicionada por omissão
   ```

1. Para verificar o estado:

   ``` bash
   sudo fail2ban-client status
   ```

   > ```
   > Status
   > |- Number of jail:      1
   > `- Jail list:   sshd
   > ```

   ``` bash
   sudo fail2ban-client status sshd
   ```

   > ```
   > Status for the jail: sshd
   > |- Filter
   > |  |- Currently failed: 0
   > |  |- Total failed:     0
   > |  `- File list:        /var/log/auth.log
   > `- Actions
   >    |- Currently banned: 0
   >    |- Total banned:     0
   >    `- Banned IP list:
   > ```

#### Jails Personalizadas

Ainda não precisei de criar uma jail personalizada. Assim que precisar e descobrir como, atualizarei este guia. Ou, se souber como, ajude a [contribuir](#contributing).

#### Desbanir um IP

Para desbanir um IP, use este comando:``` bash
fail2ban-client set [jail] unbanip [IP]
```
`[jail]` é o nome da jail que contém o IP banido e `[IP]` é o endereço IP que você deseja desbanir. Por exemplo, para desbanir `192.168.1.100` do SSH você faria:``` bash
fail2ban-client set sshd unbanip 192.168.1.100
```
([Índice](#table-of-contents))

### Detecção e Prevenção de Intrusão em Aplicações com CrowdSec

#### Motivação

O UFW diz ao seu servidor quais portas devem ser fechadas para que ninguém possa vê-las, e quais portas permitir que usuários autorizados passem. O PSAD monitora a atividade de rede para detectar e prevenir potenciais intrusões — tentativas repetidas de entrar.

O CrowdSec é semelhante ao Fail2Ban, pois monitora os logs de suas aplicações (como SSH e Apache) para detectar e prevenir potenciais intrusões. No entanto, o CrowdSec é integrado a uma comunidade que compartilha inteligência de ameaças de volta para a CrowdSec, que então distribui uma Lista de Bloqueio Comunitária para todos os usuários.

#### Como Funciona

O CrowdSec monitora os logs de suas aplicações (como SSH e Apache) para detectar e prevenir potenciais intrusões. Ele monitora o tráfego/logs de rede e previne intrusões bloqueando atividades suspeitas (por exemplo, múltiplas falhas de conexão sucessivas em um curto período de tempo). Uma vez detectado um IP malicioso, ele será adicionado à sua lista de decisão local e as informações de ameaça são compartilhadas com a CrowdSec para atualizar a Lista de Bloqueio Comunitária sobre endereços IP maliciosos. Quando um endereço IP atinge um certo limite de atividade maliciosa, ele é automaticamente propagado para todos os outros usuários do CrowdSec para bloqueio proativo.

#### Objetivos

- monitoramento de rede para atividades suspeitas com banimento automático de IPs infratores

#### Notas

- Atualmente, a única coisa em execução neste servidor é SSH, então queremos que o CrowdSec monitore SSH e bane conforme necessário.
- Conforme você instalar outros programas, será necessário instalar coleções adicionais e configurar as aquisições apropriadas.

#### Referências

- https://www.crowdsec.net/
- [Leia como a CrowdSec administra a Lista de Bloqueio Comunitária](https://www.crowdsec.net/our-data)
- [Leia quais informações de inteligência de ameaças são compartilhadas com a CrowdSec](https://docs.crowdsec.net/docs/next/central_api/intro#signal-meta-data)
- https://docs.crowdsec.net/

#### Passos

1. Instale o Mecanismo de Segurança do CrowdSec. (IDS)

   Em qualquer distribuição Linux (incluindo sistemas baseados em Debian)
   
   Instale o repositório do CrowdSec:
   ``` bash
   curl -s https://install.crowdsec.net | sudo sh
   ```

   Instale o Mecanismo de Segurança do CrowdSec:
   ``` bash
   sudo apt install crowdsec
   ```

> [!TIP]
> se `curl | sh` não é a sua preferência, você pode encontrar métodos de instalação adicionais [aqui](https://docs.crowdsec.net/u/getting_started/installation/linux).

Por padrão, enquanto o CrowdSec está instalando o Mecanismo de Segurança, ele descobrirá automaticamente suas aplicações instaladas e instalará os parsers e cenários apropriados para elas. Como sabemos que a maioria dos servidores Linux está executando ssh pronto para uso, o CrowdSec configurará isso automaticamente para você.

2. Instale um Componente de Remediação. (IPS)

   O CrowdSec por si só é um mecanismo de detecção; como na maioria das infraestruturas modernas você pode ter um firewall upstream ou WAF, o CrowdSec não bloqueará os endereços IP por conta própria. Você pode instalar um Componente de Remediação para bloquear os endereços IP detectados pelo CrowdSec.
   ```bash
   sudo apt install crowdsec-firewall-bouncer-iptables
   ```

> [!TIP]
> Se sua instalação do UFW não estiver usando `iptables` como backend, você pode alternativamente instalar o `crowdsec-firewall-bouncer-nftables`. Não há diferença nos binários instalados, apenas o arquivo de configuração é diferente.

Por padrão, enquanto o Componente de Remediação está sendo instalado, ele configurará automaticamente as configurações necessárias para funcionar com o Mecanismo de Segurança se implantado no mesmo host (e se o mecanismo de segurança não estiver em um ambiente de contêiner).

3. Verifique se a detecção e remediação estão funcionando conforme o esperado:

   ```bash
   sudo cscli metrics
   ```

   ```bash
   Acquisition Metrics:
   ╭────────────────────────┬────────────┬──────────────┬────────────────┬────────────────────────┬───────────────────╮
   │ Source                 │ Lines read │ Lines parsed │ Lines unparsed │ Lines poured to bucket │ Lines whitelisted │
   ├────────────────────────┼────────────┼──────────────┼────────────────┼────────────────────────┼───────────────────┤
   │ file:/var/log/auth.log │ 5          │ 4            │ 1              │ 10                     │ -                 │
   │ file:/var/log/syslog   │ 30         │ -            │ 30             │ -                      │ -                 │
   ╰────────────────────────┴────────────┴──────────────┴────────────────┴────────────────────────┴───────────────────╯

   Local API Decisions:
   ╭────────────────────────────────────────────┬────────┬────────┬───────╮
   │ Reason                                     │ Origin │ Action │ Count │
   ├────────────────────────────────────────────┼────────┼────────┼───────┤
   │ crowdsecurity/http-backdoors-attempts      │ CAPI   │ ban    │ 73    │
   │ crowdsecurity/http-bad-user-agent          │ CAPI   │ ban    │ 4836  │
   │ crowdsecurity/http-path-traversal-probing  │ CAPI   │ ban    │ 87    │
   │ crowdsecurity/http-probing                 │ CAPI   │ ban    │ 2010  │
   │ crowdsecurity/thinkphp-cve-2018-20062      │ CAPI   │ ban    │ 88    │
   │ crowdsecurity/CVE-2019-18935               │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/CVE-2023-49103               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-admin-interface-probing │ CAPI   │ ban    │ 91    │
   │ ltsich/http-w00tw00t                       │ CAPI   │ ban    │ 3     │
   │ crowdsecurity/apache_log4j2_cve-2021-44228 │ CAPI   │ ban    │ 18    │
   │ crowdsecurity/nginx-req-limit-exceeded     │ CAPI   │ ban    │ 280   │
   │ crowdsecurity/ssh-slow-bf                  │ CAPI   │ ban    │ 3412  │
   │ crowdsecurity/spring4shell_cve-2022-22965  │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/ssh-cve-2024-6387            │ CAPI   │ ban    │ 24    │
   │ crowdsecurity/CVE-2023-22515               │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/http-cve-2021-41773          │ CAPI   │ ban    │ 172   │
   │ crowdsecurity/netgear_rce                  │ CAPI   │ ban    │ 14    │
   │ crowdsecurity/ssh-bf                       │ CAPI   │ ban    │ 2000  │
   │ crowdsecurity/CVE-2022-35914               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/http-cve-2021-42013          │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/jira_cve-2021-26086          │ CAPI   │ ban    │ 9     │
   │ crowdsecurity/http-sensitive-files         │ CAPI   │ ban    │ 166   │
   │ crowdsecurity/http-wordpress-scan          │ CAPI   │ ban    │ 272   │
   │ crowdsecurity/CVE-2022-26134               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-generic-bf              │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/http-open-proxy              │ CAPI   │ ban    │ 948   │
   │ crowdsecurity/http-crawl-non_statics       │ CAPI   │ ban    │ 339   │
   │ crowdsecurity/http-cve-probing             │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/CVE-2017-9841                │ CAPI   │ ban    │ 117   │
   │ crowdsecurity/CVE-2022-37042               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/fortinet-cve-2018-13379      │ CAPI   │ ban    │ 5     │
   ╰────────────────────────────────────────────┴────────┴────────┴───────╯

   Local API Metrics:
   ╭──────────────────────┬────────┬──────╮
   │ Route                │ Method │ Hits │
   ├──────────────────────┼────────┼──────┤
   │ /v1/alerts           │ GET    │ 2    │
   │ /v1/decisions/stream │ GET    │ 5    │
   │ /v1/usage-metrics    │ POST   │ 2    │
   │ /v1/watchers/login   │ POST   │ 4    │
   ╰──────────────────────┴────────┴──────╯

   Local API Bouncers Metrics:
   ╭────────────────────────────────┬──────────────────────┬────────┬──────╮
   │ Bouncer                        │ Route                │ Method │ Hits │
   ├────────────────────────────────┼──────────────────────┼────────┼──────┤
   │ cs-firewall-bouncer-1729025592 │ /v1/decisions/stream │ GET    │ 5    │
   ╰────────────────────────────────┴──────────────────────┴────────┴──────╯

   Local API Machines Metrics:
   ╭──────────────────────────────────────────────────┬────────────┬────────┬──────╮
   │ Machine                                          │ Route      │ Method │ Hits │
   ├──────────────────────────────────────────────────┼────────────┼────────┼──────┤
   │ <your_machine_id_will_be_here>                   │ /v1/alerts │ GET    │ 2    │
   ╰──────────────────────────────────────────────────┴────────────┴────────┴──────╯

   Parser Metrics:
   ╭─────────────────────────────────┬──────┬────────┬──────────╮
   │ Parsers                         │ Hits │ Parsed │ Unparsed │
   ├─────────────────────────────────┼──────┼────────┼──────────┤
   │ child-crowdsecurity/sshd-logs   │ 41   │ 4      │ 37       │
   │ child-crowdsecurity/syslog-logs │ 35   │ 35     │ -        │
   │ crowdsecurity/dateparse-enrich  │ 4    │ 4      │ -        │
   │ crowdsecurity/sshd-logs         │ 5    │ 4      │ 1        │
   │ crowdsecurity/syslog-logs       │ 35   │ 35     │ -        │
   ╰─────────────────────────────────┴──────┴────────┴──────────╯

   Scenario Metrics:
   ╭─────────────────────────────────────┬───────────────┬───────────┬──────────────┬────────┬─────────╮
   │ Scenario                            │ Current Count │ Overflows │ Instantiated │ Poured │ Expired │
   ├─────────────────────────────────────┼───────────────┼───────────┼──────────────┼────────┼─────────┤
   │ crowdsecurity/ssh-bf                │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-bf_user-enum      │ 1             │ -         │ 1            │ 1      │ -       │
   │ crowdsecurity/ssh-slow-bf           │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-slow-bf_user-enum │ 1             │ -         │ 1            │ 1      │ -       │
   ╰─────────────────────────────────────┴───────────────┴───────────┴──────────────┴────────┴─────────╯
   ```

A saída acima pode ser assustadora, mas é uma boa maneira de verificar se o Mecanismo de Segurança está lendo logs e o Componente de Remediação está bloqueando endereços IP. Então, uma rápida análise de cada seção:

- **Métricas de Aquisição**: Esta seção mostra os logs que o Mecanismo de Segurança está lendo e analisando. Se você vir logs na coluna `Lines unparsed`, significa que o Mecanismo de Segurança não está conseguindo analisar os logs. Isso pode ser devido a uma configuração incorreta ou os logs não estão no formato esperado.
- **Decisões da API Local**: Esta seção mostra as decisões que o Mecanismo de Segurança tem no banco de dados. Se você vir logs na coluna `Count`, significa que o Mecanismo de Segurança detectou atividade maliciosa e bloqueou o endereço IP.
   - Origem: De onde veio a decisão. Neste caso, é da API Central (CAPI).
- **Métricas da API Local**: Esta seção mostra o número de acessos à API Local. Esta é a API que o Mecanismo de Segurança usa para se comunicar com o Componente de Remediação.
- **Métricas dos Bouncers da API Local**: Esta seção mostra o número de acessos à API Local pelo Componente de Remediação.
- **Métricas de Máquinas da API Local**: Esta seção mostra o número de acessos à API Local pelo Mecanismo de Segurança (se você executar vários Mecanismos de Segurança em uma configuração centralizada, poderá ver vários IDs aqui).
- **Métricas de Parsers**: Esta seção mostra os parsers que estão sendo usados pelo Mecanismo de Segurança. Se você vir logs na coluna `Unparsed`, significa que o Mecanismo de Segurança não está conseguindo analisar os logs. Isso pode ser devido a uma configuração incorreta ou os logs não estão no formato esperado.
- **Métricas de Cenários**: Esta seção mostra os cenários que estão sendo usados pelo Mecanismo de Segurança. Se você vir logs na coluna `Current Count`, significa que o Mecanismo de Segurança detectou atividade maliciosa e está rastreando o endereço IP.

#### Desbanir um IP

Para desbanir um IP, use este comando:``` bash
cscli decisions delete --ip [IP]
```
`[IP]` é o endereço IP que deseja desbanir. Por exemplo, para desbanir `192.168.1.100` do SSH você faria:``` bash
cscli decisions delete --ip 192.168.1.100
```
## A Auditoria

### Monitoramento de Integridade de Arquivos/Pastas com AIDE (WIP)

#### Porquê

WIP

#### Como Funciona

WIP

#### Objetivos

WIP

#### Referências

- https://aide.github.io/
- https://www.hiroom2.com/2017/06/09/debian-8-file-integrity-check-with-aide/
- https://blog.rapid7.com/2017/06/30/how-to-install-and-configure-aide-on-ubuntu-linux/
- https://www.stephenrlang.com/2016/03/using-aide-for-file-integrity-monitoring-fim-on-ubuntu/
- https://www.howtoforge.com/how-to-configure-the-aide-advanced-intrusion-detection-environment-file-integrity-scanner-for-your-website
- https://www.tecmint.com/check-integrity-of-file-and-directory-using-aide-in-linux/
- https://www.cyberciti.biz/faq/debian-ubuntu-linux-software-integrity-checking-with-aide/
- https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/83

#### Passos

1. Instalar o AIDE.

   Em sistemas baseados em Debian:
   
   ``` bash
   sudo apt install aide aide-common
   ```
   
1. Fazer um backup do ficheiro de padrões do AIDE:

   ``` bash
   sudo cp -p /etc/default/aide /etc/default/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. Revisar `/etc/default/aide` e definir os padrões do AIDE conforme os seus requisitos. Se quiser que o AIDE seja executado diariamente e lhe envie um e-mail, certifique-se de definir `CRON_DAILY_RUN` como `yes`.

1. Fazer um backup dos ficheiros de configuração do AIDE:

   ``` bash
   sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. Em sistemas baseados em Debian:

   - Os ficheiros de configuração do AIDE estão em `/etc/aide/aide.conf.d/`.
   - Deverá ler a documentação do AIDE e os ficheiros de configuração para os definir conforme os seus requisitos.
   - Se quiser novas definições, por exemplo para monitorizar uma nova pasta, deverá adicioná-las a `/etc/aide/aide.conf` ou `/etc/aide/aide.conf.d/`.
   - Faça um backup dos ficheiros de configuração originais: `sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")`.

1. Criar uma nova base de dados e instalá-la.
  
   Em sistemas baseados em Debian:

   ``` bash
   sudo aideinit
   ```
   
   > ```
   > Running aide --init...
   > Start timestamp: 2019-04-01 21:23:37 -0400 (AIDE 0.16)
   > AIDE initialized database at /var/lib/aide/aide.db.new
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db.new
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:24:45 -0400 (run time: 1m 8s)
   > ```

1. Testar se tudo funciona sem alterações.

   Em sistemas baseados em Debian:

   ``` bash
   sudo aide.wrapper --check
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:24:45 -0400 (AIDE 0.16)
   > AIDE found NO differences between database and filesystem. Looks okay!!
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:26:03 -0400 (run time: 1m 18s)
   > ```

1. Testar se tudo funciona após fazer algumas alterações.

   Em sistemas baseados em Debian:

   ``` bash
   sudo touch /etc/test.sh
   sudo touch /root/test.sh
   
   sudo aide.wrapper --check
   
   sudo rm /etc/test.sh
   sudo rm /root/test.sh
   
   sudo aideinit -y -f
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:37:37 -0400 (AIDE 0.16)
   > AIDE found differences between database and filesystem!!
   > Verbose level: 6
   > 
   > Summary:
   >   Total number of entries:      25972
   >   Added entries:                2
   >   Removed entries:              0
   >   Changed entries:              1
   > 
   > ---------------------------------------------------
   > Added entries:
   > ---------------------------------------------------
   > 
   > f++++++++++++++++: /etc/test.sh
   > f++++++++++++++++: /root/test.sh
   > 
   > ---------------------------------------------------
   > Changed entries:
   > ---------------------------------------------------
   > 
   > d =.... mc.. .. .: /root
   > 
   > ---------------------------------------------------
   > Detailed information about changes:
   > ---------------------------------------------------
   > 
   > Directory: /root
   >   Mtime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   >   Ctime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   > 
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : qF9WmKaf2PptjKnhcr9z4ueCPTY=
   >   TIGER    : zMo7MvvYJcq1hzvTQLPMW7ALeFiyEqv+
   >   SHA256   : LSLLVjjV6r8vlSxlbAbbEsPcQUB48SgP
   >              pdVqEn6ZNbQ=
   >   SHA512   : Qc4U7+ZAWCcitapGhJ1IrXCLGCf1IKZl
   >              02KYL1gaZ0Fm4dc7xLqjiquWDMSEbwzW
   >              oz49NCquqGz5jpMIUy7UxA==
   >   CRC32    : z8ChEA==
   >   HAVAL    : YapzS+/cdDwLj3kHJEq8fufLp3DPKZDg
   >              U12KCSkrO7Y=
   >   GOST     : 74sLV4HkTig+GJhokvxZQm7CJD/NR0mG
   >              6jV7zdt5AXQ=
   > 
   > 
   > End timestamp: 2019-04-01 21:38:50 -0400 (run time: 1m 13s)
   > ```
   
1. É isso. Se definir `CRON_DAILY_RUN` como `yes` em `/etc/default/aide`, o cron executará `/etc/cron.daily/aide` todos os dias e enviar-lhe-á a saída por e-mail.

#### Atualizar a Base de Dados

Sempre que fizer alterações a ficheiros/pastas que o AIDE monitoriza, precisará de atualizar a base de dados para capturar essas alterações. Para o fazer em sistemas baseados em Debian:``` bash
sudo aideinit -y -f
```
([Table of Contents](#table-of-contents))

### Verificação Antivírus com ClamAV (WIP)

#### Porquê

WIP

#### Como Funciona

- ClamAV é um scanner de vírus
- ClamAV-Freshclam é um serviço que mantém as definições de vírus atualizadas
- ClamAV-Daemon mantém o processo `clamd` em execução para tornar a verificação mais rápida

#### Objetivos

WIP

#### Notas

- Estas instruções **não** lhe dizem como ativar o serviço ClamAV daemon para garantir que o `clamd` está sempre em execução. O `clamd` é apenas se estiver a executar um servidor de correio e não fornece monitorização em tempo real dos ficheiros. Em vez disso, deve digitalizar ficheiros manualmente ou de forma programada.

#### Referências

- https://www.clamav.net/documents/installation-on-debian-and-ubuntu-linux-distributions
- https://wiki.debian.org/ClamAV
- https://www.osradar.com/install-clamav-debian-9-ubuntu-18/
- https://www.lisenet.com/2014/automate-clamav-to-perform-daily-system-scan-and-send-email-notifications-on-linux/
- https://www.howtoforge.com/tutorial/configure-clamav-to-scan-and-notify-virus-and-malware/
- https://serverfault.com/questions/741299/is-there-a-way-to-keep-clamav-updated-on-debian-8
- https://askubuntu.com/questions/250290/how-do-i-scan-for-viruses-with-clamav
- https://ngothang.com/how-to-install-clamav-and-configure-daily-scanning-on-centos/

#### Passos

1. Instalar o ClamAV.

   Em sistemas baseados em Debian:

   ``` bash
   sudo apt install clamav clamav-freshclam clamav-daemon
   ```

1. Faça uma cópia de segurança do ficheiro de configuração do `clamav-freshclam` `/etc/clamav/freshclam.conf`:

   ``` bash
   sudo cp --archive /etc/clamav/freshclam.conf /etc/clamav/freshclam.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```
   
1. As predefinições do `clamav-freshclam` provavelmente são suficientes, mas se quiser alterá-las, pode editar o ficheiro `/etc/clamav/freshclam.conf` ou usar o `dpkg-reconfigure`:

   ``` bash
   sudo dpkg-reconfigure clamav-freshclam
   ```
   
   **Nota**: As predefinições atualizam as definições 24 vezes por dia. Para alterar o intervalo, verifique a definição `Checks` em `/etc/clamav/freshclam.conf` ou use `dpkg-reconfigure`.

1. Inicie o serviço `clamav-freshclam`:

   ``` bash
   sudo service clamav-freshclam start
   ```
   
1. Pode verificar se o `clamav-freshclam` está em execução:

   ``` bash
   sudo service clamav-freshclam status
   ```
   
   > ```
   > ● clamav-freshclam.service - ClamAV virus database updater
   >    Loaded: loaded (/lib/systemd/system/clamav-freshclam.service; enabled; vendor preset: enabled)   Active: active (running) since Sat 2019-03-16 22:57:07 EDT; 2min 13s ago
   >      Docs: man:freshclam(1)
   >            man:freshclam.conf(5)
   >            https://www.clamav.net/documents
   >  Main PID: 1288 (freshclam)
   >    CGroup: /system.slice/clamav-freshclam.service
   >            └─1288 /usr/bin/freshclam -d --foreground=true
   > 
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> ^Local version: 0.100.2 Recommended version: 0.101.1
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> DON'T PANIC! Read https://www.clamav.net/documents/upgrading-clamav
   > Mar 16 22:57:15 host freshclam[1288]: Sat Mar 16 22:57:15 2019 -> Downloading main.cvd [100%]
   > Mar 16 22:57:38 host freshclam[1288]: Sat Mar 16 22:57:38 2019 -> main.cvd updated (version: 58, sigs: 4566249, f-level: 60, builder: sigmgr)
   > Mar 16 22:57:40 host freshclam[1288]: Sat Mar 16 22:57:40 2019 -> Downloading daily.cvd [100%]
   > Mar 16 22:58:13 host freshclam[1288]: Sat Mar 16 22:58:13 2019 -> daily.cvd updated (version: 25390, sigs: 1520006, f-level: 63, builder: raynman)
   > Mar 16 22:58:14 host freshclam[1288]: Sat Mar 16 22:58:14 2019 -> Downloading bytecode.cvd [100%]
   > Mar 16 22:58:16 host freshclam[1288]: Sat Mar 16 22:58:16 2019 -> bytecode.cvd updated (version: 328, sigs: 94, f-level: 63, builder: neo)
   > Mar 16 22:58:24 host freshclam[1288]: Sat Mar 16 22:58:24 2019 -> Database updated (6086349 signatures) from db.local.clamav.net (IP: 104.16.219.84)
   > Mar 16 22:58:24 host freshclam[1288]: Sat Mar 16 22:58:24 2019 -> ^Clamd was NOT notified: Can't connect to clamd through /var/run/clamav/clamd.ctl: No such file or directory
   > ```
   
   **Nota**: Não se preocupe com essa linha `Local version`. Consulte https://serverfault.com/questions/741299/is-there-a-way-to-keep-clamav-updated-on-debian-8 para mais detalhes.

1. Faça uma cópia de segurança do ficheiro de configuração do `clamav-daemon` `/etc/clamav/clamd.conf`:

   ``` bash
   sudo cp --archive /etc/clamav/clamd.conf /etc/clamav/clamd.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```
   
1. Pode alterar as definições do `clamav-daemon` editando o ficheiro `/etc/clamav/clamd.conf` ou usando `dpkg-reconfigure`:

   ``` bash
   sudo dpkg-reconfigure clamav-daemon
   ```

#### Digitalizar Ficheiros/Pastas

- Para digitalizar ficheiros/pastas, use o programa `clamscan`.
- O `clamscan` é executado como o utilizador que o executa, por isso precisa de permissões de leitura para os ficheiros/pastas que está a digitalizar.
- Usar `clamscan` como `root` é perigoso porque, se um ficheiro for de facto um vírus, existe o risco de poder usar os privilégios de root.
- Para digitalizar um ficheiro: `clamscan /caminho/para/ficheiro`.
- Para digitalizar um diretório: `clamscan -r /caminho/para/pasta`.
- Pode usar a opção `-i` para mostrar apenas ficheiros infetados.
- Consulte as páginas `man` do `clamscan` para outras opções/opções.

([Table of Contents](#table-of-contents))

### Deteção de Rootkits com Rkhunter (WIP)

#### Porquê

WIP

#### Como Funciona

WIP

#### Objetivos

WIP

#### Referências

- http://rkhunter.sourceforge.net/
- https://www.cyberciti.biz/faq/howto-check-linux-rootkist-with-detectors-software/
- https://www.tecmint.com/install-rootkit-hunter-scan-for-rootkits-backdoors-in-linux/

#### Passos

1. Instalar o Rkhunter.

   Em sistemas baseados em Debian:
   
   ``` bash
   sudo apt install rkhunter
   ```

1. Faça uma cópia de segurança do ficheiro de predefinições do rkhunter:

   ``` bash
   sudo cp -p /etc/default/rkhunter /etc/default/rkhunter-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. O ficheiro de configuração do rkhunter é `/etc/rkhunter.conf`. Em vez de fazer alterações a este, crie e use o ficheiro `/etc/rkhunter.conf.local`:

   ``` bash
   sudo cp -p /etc/rkhunter.conf /etc/rkhunter.conf.local
   ```
   
1. Percorra o ficheiro de configuração `/etc/rkhunter.conf.local` e defina de acordo com os seus requisitos. As minhas recomendações:

   |Definição|Nota|
   |--|--|
   |`UPDATE_MIRRORS=1`||
   |`MIRRORS_MODE=0`||
   |`MAIL-ON-WARNING=root`||
   |`COPY_LOG_ON_ERROR=1`|para guardar uma cópia do registo se houver um erro|
   |`PKGMGR=...`|defina para o valor apropriado conforme a documentação|
   |`PHALANX2_DIRTEST=1`|leia a documentação para saber porquê|
   |`WEB_CMD=""`|isto é para resolver um problema com o pacote Debian que desativa a capacidade do rkhunter de se auto-atualizar.|
   |`USE_LOCKING=1`|para evitar problemas com o rkhunter a ser executado várias vezes|
   |`SHOW_SUMMARY_WARNINGS_NUMBER=1`|para ver o número real de avisos encontrados|