Paralleler Malware-Scanner

CREATE TABLE IF NOT EXISTS target_hosts (
    id SERIAL PRIMARY KEY,
    server_name VARCHAR(100) NOT NULL,
    host_ip VARCHAR(50) NOT NULL,
    scan_path VARCHAR(255) NOT NULL,
    ssh_private_key TEXT NOT NULL,
    active BOOLEAN DEFAULT TRUE
);

malware_scan_enabled: true
malware_scan_paths:
  - /opt
  - /home/deploy

ansible-playbook -i inventory/hosts.yml playbooks/sync-malware-targets.yml

• Das Playbook löscht alte Einträge mit:
  docker exec -i n8n-postgres psql -U n8n -d n8n -c "TRUNCATE TABLE target_hosts;"
• Anschließend läuft ein Insert-Loop über die aktiven Hosts.

INSERT INTO target_hosts (server_name, host_ip, scan_path, ssh_private_key, active)
VALUES (
  '{{ target_host }}', 
  '{{ hostvars[target_host].ansible_host }}', 
  '{{ path_item }}', 
  '{{ private_key_content | replace("'", "''") }}', 
  true
);

• ClamAV gibt bei Funden standardmäßig den Exit-Code 1 zurück.
• Um zu verhindern, dass n8n dies als Systemabsturz wertet und den Workflow abbricht, fängt das Skript den Code 1 ab und gibt ihn als normalen Erfolg (0) mit der Liste gefundener Viren aus.

clamscan -r --infected --exclude-dir="^/sys" --exclude-dir="^/dev" /opt

• Verzeichnis-Blacklist: Überspringt Rausch-Ordner wie node_modules, .git, cache, log und dist.
• Dateiendungs-Whitelist: Beschränkt die Analyse auf Klartextdateien zur Vermeidung von Binärübertragungen:

  find /opt -mmin -1440 -type f \( -name "*.py" -o -name "*.js" -o -name "*.sh" -o -name "*.yml" -o -name ".env" -o -name "Dockerfile" \)
  

• Liest maximal die ersten 12 Kilobyte einer geänderten Datei aus (head -c 12000).
• Dies schützt das lokale LLM vor Token-Überläufen und verhindert Timeouts.

• Das Ausleseskript auf den Clients schwärzt sensible API-Tokens, Passwörter und SSH-Keys per Regex, bevor die Daten übertragen werden:

  sed -r 's/(password|passwd|key|token|secret)\s*[:=]\s*\S+/\1: [REDACTED]/gi'
  

• Vorteil: Credentials verlassen niemals unverschlüsselt den Quellhost.

• Modell: google/gemma-3-4b
• Endpoint: http://192.168.1.50:1234/v1/chat/completions

• Der System-Prompt fordert eine strikte Klassifizierung am Anfang der Antwort: [CLEAN], [SUSPICIOUS] oder [MALICIOUS].
• Das Modell liefert maximal 3 aussagekräftige Bulletpoints zur Begründung.

Du bist ein wachsamer, technischer Sicherheits-Auditor.
Analysiere den folgenden Dateiinhalt auf schädliche Verhaltensweisen, Hintertüren, 
Obfuskation oder hartcodierte Credentials.

Antworte zwingend im folgenden Format:
[URTEIL] (Ersetze URTEIL durch CLEAN, SUSPICIOUS oder MALICIOUS)
- Punkt 1 zur Begründung
- Punkt 2 zur Begründung (maximal 3 Punkte)

Antworte kurz, präzise und rein technisch. Keine Einleitung!

• Eine IF-Node im n8n-Workflow prüft die LLM-Klassifizierung.
• Erkenntnisse mit [CLEAN] werden sofort verworfen.
• Nur [SUSPICIOUS] und [MALICIOUS] triggern den Chat-Webhook.

• Übermittelt strukturiertes JSON mit Dateipfad, Host-IP, Erkennungstyp (ClamAV oder Dateiänderung) sowie der Begründung des LLMs.

sudo clamscan -r --infected /opt

docker exec -it n8n-postgres psql -U n8n -d n8n -c "SELECT server_name, host_ip, scan_path, active FROM target_hosts;"

curl -X POST http://192.168.1.50:1234/v1/chat/completions \
  -H "Content-Type: application/json" \
  -d '{"model": "google/gemma-3-4b", "messages": [{"role": "user", "content": "Test"}]}'

1. Öffne die n8n Administrationsoberfläche.
2. Erstelle einen neuen leeren Workflow.
3. Klicke im Menü oben rechts (drei Punkte) auf Import from File.
4. Wähle die Datei malware-scanner-workflow.json aus.
5. Speichere den importierten Workflow ab und verknüpfe die PostgreSQL-Verbindung sowie den SSH-Private-Key.