Onderwerp: Enkelle ervarings vragen ClamAV

Dag iedereen :-)

Ik was hier wat aan het stoeien met ClamAV. Hieruit komen een aantal vraagen die ik na googelen niet up-to-date kon beantwoorden....
Mogelijk hebben jullie er ervaring mee :-)

Het gaat om een DirectAdmin server met ClamAV en MOD_ClamAV geinstalleerd. Zit eigelijk met de volgende vragen:

• Word de mail ook automatisch gescand?
• De bestanden op de server ook? Automatisch, bij lezen, schrijven?
• Word HTML output ook gefilterd?
• En wat is na jullie mening de prestatie verlies na installatie

en heel belangrijk: Wie gebruikt deze opstelling allemaal

Zie uit naar jullie reactie,
Sven

clamav dien je zelf te integreren met je MTA (sendmail etc)
voor een simpele scan van je mailitems laat je clamav draaien als daemon waarna je mailitems naar de scanner stuurt en hiervan een resultaat terug krijgt.

Bestanden op de server worden standaard niet automatisch gescand, hiervoor dien je gebruik te maken van een aparte daemon/kernel mod bijvoorbeeld dazuko (dit zorgt voor sterk toegenomen load op je box, vergelijkbaar met een windows virusscanner)

HTML output filtering kan bereikt worden met behulp van de apache mod_clamav

prestatieverlies met alleen mailscanning is beperkt naar mijn ervaring, wel dien je goed te configureren welke filetypes en groottes gescand moeten worden, bestanden groter dan 5Mb of grote zip archieven duren anders veel te lang

omdat er maar weinig virussen bestaan voor linux is 99% van het scannen dat je uitvoerd bedoeld als bescherming van windows clients die gebruik maken vna de dinesten op je server. Mocht je dus http en mail scannen, dna is de kans dat een client een virus binnen kan krijgen van jouw server dusdanig klein dat het niet de moeiet waard is om ook on-access scan in te stellen

Dag MMai,

Ja die intensie was er inderdaad ook :-) systeem zit wel goed in elkaar, enkel extra stukje service naar de klant.....

mod_clamav heb ik inmiddels al draaiend. enkel krijg ik hier ook gelijk weer vragen bij:

• files worden ook gescaned bij downloaden?
• is dat eenmalig of bij iedere download?
• op bovenstaande vraag, word het niet een leuke load met een grote foto site (als voorbeeld) op de server?

Over de mail:

• hoe kun je dit het beste kopellen? Mailscanner?
• Wat als ik gebruik maak van imap? En deze inbox is vrij groot, word dan iedere keer dat er een IMAP verbinding opgezet word de inhoud gescaned?

Sven

Oorspronkelijk geplaatst door MortyDot

Over de mail:

• hoe kun je dit het beste kopellen? Mailscanner?
• Wat als ik gebruik maak van imap? En deze inbox is vrij groot, word dan iedere keer dat er een IMAP verbinding opgezet word de inhoud gescaned?

Sven

Integratie in exim bij standaard (directadmin) installatie:

toevoegen aan exim.conf en exim herstarten
av_scanner = clamd:/var/run/clamav/clamd

gebruik clamd op 10tal servers, reeds +- 8 jaar ervaring mee, en is een prima antivirus oplossing voor de mailscanning

wat betreft imap: dat zal enkel de laatste nieuwe mails/acties zijn (heb hier imap accounts van meerdere gigabytes en totaal geen last van load)

voor mod_clamav moet je zelf scannen voor bestandtypes instellen. Voor jpeg/png etc heeft dat vaak weinig zin en dus zet jet daarbij niet aan.
Helaas is er geen functie zover ik weet om te werken met filehashes waardoor bestanden maar eenmalig gescanned worden.

kijk voor alle configuratieopties in de handleiding van mod_clamav en test je hele clamav installatie ene keer met het eicar bestand

mod_clamav onder Apache zou ik niet doen. Zet hem dan in ProFTPD. Een beetje zonde van de resources bij elke pageload, niet waar?

Verder _goede_ rulesets gebruiken voor ClamAV. De standaard configs zijn verre van goed en laten veel virussen door. Testen kan hier: *klik*. Rulesets vind je met de zoekfunctie. Het 'bash BIT virbl'-topic. De ASL website kan je ook helpen.

Ikzelf gebruik AVG in cron/commandline die om de dag enkele userdirs scant en me de output netjes in de mail zet. Doe dit ergens in de nachtelijke uren en niemand heeft er last van.

Oorspronkelijk geplaatst door Randy

mod_clamav onder Apache zou ik niet doen. Zet hem dan in ProFTPD. Een beetje zonde van de resources bij elke pageload, niet waar?

Verder _goede_ rulesets gebruiken voor ClamAV. De standaard configs zijn verre van goed en laten veel virussen door. Testen kan hier: *klik*. Rulesets vind je met de zoekfunctie. Het 'bash BIT virbl'-topic. De ASL website kan je ook helpen.

Ikzelf gebruik AVG in cron/commandline die om de dag enkele userdirs scant en me de output netjes in de mail zet. Doe dit ergens in de nachtelijke uren en niemand heeft er last van.

Beetje laat voor deze reactie, maar ik wou hem toch even plaatsen :-)

Na meer zoeken en andere topics is de obstelling van randy toch het beste. Een goede up-to-date linux met software heeft voor zichzelf geen virusscaner nodig, het is enkel stukje service naar de bezoekers van de shared klanten.

Dit is onze keuze geworden (mocht iemand er interesse in hebben):

• Geinteregeerd in mail
• Geinteregeerd in proftpd
• Geen modclamav (Verschil is inmiddels merkbaar)
• Wel nachtelijks (voor de backups aan) scannen, result naar mail.