Antivirensoftware

Die Antivirensoftware ClamAV ist standardmäßig auf allen Cryptshare-Appliances installiert . Alle ClamAV-Versionen sowie die Datenbank mit den Virensignaturen werden automatisch aktualisiert.

Status prüfen

ClamAV-Daemon „clamd“

Um den aktuellen Status des ClamAV-Dienstes zu überprüfen, führen Sie den Befehl „systemctl status clamd.service“ aus.

45517532

Der Dienst muss standardmäßig aktiviert und aktiv sein. Ist dies nicht der Fall, können Sie den Dienst mit dem Befehl „systemctl enable clamd.service“ für den automatischen Start aktivieren und den Dienst mit dem Befehl „systemctl start clamd.service“ starten.

45517533

Update-Daemon freshclam

Der Update-Daemon freshclam sorgt dafür, dass die Virensignaturdatenbank von ClamAV auf dem neuesten Stand bleibt, und wird alle zwei Stunden ausgeführt. Sie können den Daemon auch manuell mit dem Befehl „freshclam“ starten.

45517534

Protokollierung

Die Ergebnisse der Ausführung von „freshclam“ und eines Selbsttests von „clamd“ werden in der Datei „/var/log/mail“ protokolliert:

45517535

Erstellen eigener Signaturen

Wenn Sie Dateien eines bestimmten Typs bei Transfers blockieren möchten, können Sie eigene Signaturen erstellen.

Allgemeines

Eine Signatur für ClamAV ist eine Textdatei, deren Inhalt und Dateiendung je nach Art der Signatur variieren.

Dateityp

ClamAV unterscheidet zwischen den folgenden Dateitypen:

  • 0 alle Dateien

  • 1 ausführbare Dateien (Portable Executable, 32-Bit und 64-Bit)

  • 2 Dateien im OLE2-Container, der bei Microsoft verwendet wird (MS Office, MSI-Dateien, VBS)

  • 3 HTML-Dateien

  • 4 E-Mail-Dateien

  • 5 Bilder und Grafiken

  • 6 ELF (Executable and Linkable Format, .o, .so, .elf, .prx)

  • 7 ASCII-Textdateien

  • 8 nicht verwendet

  • 9 Mach-O-Dateien

Der Dateityp wird anhand der Informationen im Dateikopf erkannt. Unter Linux lässt sich der Hexadezimalwert eines Headers über „hexdump <Datei> | head -1“ anzeigen. Beispiel: Der Header für die Dateien .exe, .dll, .sys und .drv lautet 00000 4D5A 9000 0300 0000 0400 0000 FFFF 0000

Signatur erstellen

Um eine Signatur zur Erkennung bestimmter Dateien zu erstellen, kann das Format „Erweitertes Signaturformat“ verwendet werden: MalwareName:TargetType:Offset:HexSignature

  • MalwareName – die Information, die bei der Erkennung der Datei angezeigt wird, beispielsweise in der Konsole beim Öffnen von „clamscan <Datei>“

  • TargetType – Dateityp

  • Offset – gibt an, wie „HexSignature“ verarbeitet wird, zum Beispiel \* steht für jedes Vorkommen

  • HexSignature ist der Hexadezimalwert eines Ausdrucks, der in allen gescannten Dateien gesucht wird, zum Beispiel 4d5a90000300 aus dem Header von Portable Executable-Dateien.

Beispiel

Signaturen werden unter openSUSE im Verzeichnis „/var/lib/clamav“ gespeichert. Wenn Sie „Portable Executable“-Dateien als gefährlich einstufen möchten:

  • Erstellen Sie eine Signaturdatei „forbid\_portable\_executable.ndb“ in /var/lib/clamav

  • Kopieren Sie den folgenden Inhalt in diese Datei

„ExecutableNotAllowed:1:\*:4d5a90000300“

  • Starten Sie den Dienst „clamd“ neu: „/etc/init.d/clamd restart“

  • Beim Öffnen von „clamscan“ erscheint folgende Meldung:

45517536