Security/clamav の履歴(No.7)

履歴一覧
差分を表示
現在との差分を表示
ソースを表示
Security/clamav へ行く。
- 1 (2021-11-19 (金) 19:26:24)
- 2 (2021-11-19 (金) 20:22:14)
- 3 (2021-12-17 (金) 08:54:09)
- 4 (2021-12-26 (日) 22:31:07)
- 5 (2021-12-30 (木) 18:03:53)
- 6 (2022-03-31 (木) 00:29:43)
- 7 (2023-11-18 (土) 23:42:16)
- 8 (2023-11-23 (木) 11:04:18)

Top/Security/clamav

ClamAV†

アンチウイルスソフト

↑

↑

準備†

↑

インストール†

幾つか設定の仕方があるが、定期自動実行をしたい為、 daemon をインストールする：
```
# apt-get install clamav-daemon
```

↑

設定†

素でとりあえず実行してみると、エラーになる：

# clamdscan --multiscan --verbose --move=/var/log/clama
action_setup: Failed to get realpath of /var/log/clama
ERROR: Could not connect to clamd on LocalSocket /var/run/clamav/clamd.sock: No such file or directory

----------- SCAN SUMMARY -----------
Infected files: 0
Total errors: 1
Time: 0.000 sec (0 m 0 s)
Start Date: 2021:12:26 09:04:45
End Date:   2021:12:26 09:04:45

これは apparmor というカーネル拡張機能が clamav の動作を制限している為に起きる。

apparmor の設定を変更する
1. apparmor-utils をインストールする（デフォルトでは入っていない）
```
# apt-get install apparmor-utils
```
2. clamav を root で実行出来るように設定変更する
```
# aa-complain clamd
```
  - これによって、以下のファイルが変更される：
```
/etc/apparmor.d/usr.sbin.clamd
```
3. apparmor の設定を反映させる為、apparmor と clamd を再起動する
```
# /etc/init.d/clamav-daemon stop
# /etc/init.d/apparmor restart
# /etc/init.d/clamav-daemon start
```

root 権限で実行させる
1. /etc/clamav/clamd.conf
```
# User clamav
User root
```
  - この設定ファイルは、行の途中からコメントを書くことは出来ない（書くとエラーになる）ので注意。
2. 変更を反映させる為、daemon を再起動する
```
# /etc/init.d/clamav-daemon restart
# /etc/init.d/clamav-daemon status
```

自動実行させる

自動実行用のスクリプトを用意する

/root/bin/clamav-run.sh

#!/bin/bash

PATH=/usr/bin:/bin
TITLE=""
TO="To: root\n"
SENDMAIL=/usr/sbin/sendmail
CLAMDSCAN=/usr/bin/clamdscan
#SENDMAIL=echo

# EXCLUDES=( /proc /sys /run /dev );
# OPT_EXCLUDES=( $(for e in "${EXCLUDES[@]}"; do echo "--excludes-dir=${e}"; done) );
# OPT_MULTI_THREAD=
OPT_MULTI_THREAD=--multiscan

VIRUS_MOVE_PATH=/var/log/clamav/virus


function err_print {
    local msg="${@}";
    printf "\x1b[31mclamav-run.sh: ${msg}\x1b[0m\n";
}


if [ ! -d ${OPT_VIRUS_MOVE_PATH} ]; then
    mkdir -p ${OPT_VIRUS_MOVE_PATH};
fi

# update definition
# freshclam > /dev/null

# full scan (multi-thread)
# ${CLAMDSCAN} --multiscan --verbose --move=/var/log/clamav/virus /

# full scan (single-thread)
${CLAMDSCAN} ${OPT_MULTI_THREAD} --verbose --move=${VIRUS_MOVE_PATH} /
STATUS=$?;

# report
case ${STATUS} in
    0 )
	err_print "virus not found"
	TITLE="Subject: ClamAV scan OK"
	;;
    1 )
	err_print "virus found (status = ${STATUS})"
	TITLE="Subject: ClamAV scan NG"
	;;
    * )
	err_print "error occured (status = ${STATUS})"
	TITLE="Subject: ClamAV scan Error"
	;;
esac
echo -e ${TO}${TITLE} | cat - /var/log/clamav/clamav.log | ${SENDMAIL} -t
unset err_print

cron に登録する

# crontab -e
-----------------------------------------------------
0 0 * * * /root/bin/clamav-run.sh
-----------------------------------------------------

↑

リアルタイムスキャンの設定†

稼働中のカーネルが FANOTIFY をサポートしていることを確認する

以下の２行が確認出来ればOK

CONFIG_FANOTIFY=y
CONFIG_FANOTIFY_ACCESS_PERMISSIONS=y

確認結果（例）

/boot/config-6.1.0-12-amd64  /boot/config-6.1.0-13-amd64
# uname -a
Linux martinu 6.1.0-13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.55-1 (2023-09-29) x86_64 GNU/Linux
# ls /boot/config-6.1.0-13-*
/boot/config-6.1.0-13-amd64
# rg FANOTIFY /boot/config-6.1.0-13-amd64 
9380:CONFIG_FANOTIFY=y
9381:CONFIG_FANOTIFY_ACCESS_PERMISSIONS=y

↑

手動スキャン†

コマンド書式

$ clamscan  --infected --recursive <path-to-scan>

option

option	description	remark
-v, --verbose	verbose mode
-V, --version	バージョン応報を表示
-i, --infected	感染ファイル名を表示
-o, --suppress-ok-results	OK名ファイルは表示しない
--bell	ウイルス検出時にベルを鳴らす
--gen-json	検査したファイルをJSONに出力

↑

Security/clamav の履歴(No.7)

ClamAV†

目次†

準備†

インストール†

設定†

リアルタイムスキャンの設定†

手動スキャン†

参考リンク†