Scanarea fișierelor periculoase cu ClamAV

Scanarea fișierelor periculoase cu ClamAV. ClamAV este un instrument robust, gratuit și eficient pentru scanarea fișierelor compromițătoare pe servere Linux.

Deși nu oferă protecție în timp real, rămâne o soluție excelentă pentru audituri periodice de securitate, verificarea fișierelor încărcate pe server și protejarea infrastructurii împotriva amenințărilor cunoscute.

Ce este ClamAV?

ClamAV este un software antivirus open-source destinat detectării malware-ului, troienilor, rootkit-urilor și altor amenințări cibernetice pe serverele Linux.

Este frecvent utilizat pentru scanarea fișierelor încărcate pe servere web, scanarea emailurilor și protejarea sistemelor de fișiere împotriva codurilor malițioase.

Scanarea fișierelor periculoase

1. Instalarea ClamAV

Instalarea depinde de distribuția Linux folosită. Exemple:

• Debian/Ubuntu:
  sudo apt update && sudo apt install clamav clamav-daemon -y
• CentOS/RHEL:
  sudo yum install epel-release -y && sudo yum install clamav clamav-update -y

2. Actualizarea bazelor de semnături

Pentru ca ClamAV să recunoască cele mai noi amenințări, este esențială actualizarea bazei de date de viruși:

sudo freshclam

Comanda actualizează baza de semnături virale cu cele mai recente definiții oficiale.

3. Comenzi de scanare cu ClamAV

ClamAV oferă unelte precum clamscan și clamdscan pentru a realiza scanări complete sau selective.

• Scanare simplă a unui director:
  clamscan -r /home
• Scanare cu afișare doar a fișierelor infectate:
  clamscan -r --infected /var/www
• Scanare cu ștergerea automată a fișierelor compromise:
  clamscan -r --remove=yes /home
• Scanare fără a include fișierele comprimate:
  clamscan --no-summary /tmp

4. Utilizarea clamd pentru performanță ridicată

clamd este serviciul de fundal care permite scanări mai rapide decât clamscan, deoarece rămâne activ în memorie. Pentru a-l utiliza:

• Porniți daemonul:
  sudo systemctl start clamav-daemon
• Rulați scanarea:
  clamdscan /home
• Opriți serviciul când nu mai este necesar:
  sudo systemctl stop clamav-daemon

5. Integrarea cu cron pentru scanări automate

Pentru a programa scanări regulate, puteți folosi crontab. Exemplu pentru scanare zilnică la ora 3:00 AM:

0 3 * * * /usr/bin/clamscan -r /var/www --log=/var/log/clamav-scan.log

6. Interpretarea rezultatelor scanării

La finalul fiecărei scanări, ClamAV va afișa un sumar cu:

• Numărul total de fișiere scanate
• Fișiere infectate
• Fișierele șterse (dacă a fost activată opțiunea --remove)

Fișierele detectate ca infectate pot fi analizate în continuare manual sau prin trimitere către virustotal.com.

7. Limitări ale ClamAV

• Nu oferă protecție în timp real pe majoritatea distribuțiilor (doar scanări la cerere)
• Frecvența actualizărilor este mai mică decât la soluțiile comerciale
• Poate genera alarme false pozitive – este recomandat să analizați fișierele înainte de a le șterge

8. Recomandări de bune practici

• Actualizați frecvent baza de date cu freshclam
• Programați scanări regulate
• Monitorizați logurile ClamAV în /var/log/clamav
• Evitați utilizarea opțiunii --remove în scripturi automate fără validare manuală