Ubuntu 22.04 Server / Come Installare e Usare ClamAV

Per installare ClamAV su Ubuntu 22.04 Server, installare i pacchetti clamav e clamav-freshclam, aggiornare il database dei virus e poi scansionare i file o le directory desiderate usando clamscan. Questo metodo esegue scansioni su richiesta e non abilita il monitoraggio in tempo reale solo con l'installazione.

ClamAV e Preparazione Prima della Scansione

ClamAV è una raccolta di strumenti open-source per rilevare malware. freshclam aggiorna il database utilizzato per il rilevamento, clamscan legge il database durante l'esecuzione per scansionare i bersagli specificati, e clamscan non necessita che il demone di scansione separato clamd sia in esecuzione.

Questo articolo si basa su pacchetti e servizi systemd per Ubuntu 22.04 Server. È necessaria una connessione di rete per accedere ai repository dei pacchetti e ai database delle firme, privilegi sudo per l'installazione, e spazio su disco e memoria sufficienti per il database e le scansioni. Su server di produzione, eseguire durante i periodi di inattività, considerando l'ambito e il carico delle scansioni.

Installare ClamAV

Aggiornare la lista dei pacchetti e installare lo scanner e lo strumento di aggiornamento.

sudo apt update
sudo apt install clamav clamav-freshclam

Dopo il completamento dell'installazione, controllare la versione e lo stato del servizio di aggiornamento.

clamscan --version
systemctl status clamav-freshclam --no-pager

Se il servizio è in esecuzione, è configurato per eseguire aggiornamenti automatici. Se c'è un errore nello stato o il servizio manca, fare riferimento alla sezione sugli aggiornamenti e la risoluzione dei problemi qui sotto. L'output varia a seconda della versione installata e dello stato del database.

Aggiornamento del database delle firme

È necessario un database aggiornato prima della scansione. Se il servizio clamav-freshclam è in esecuzione, si aggiorna in background, quindi verificare prima lo stato e i registri recenti.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 30 --no-pager

Se sono necessari aggiornamenti manuali e il servizio è in esecuzione, sospendere brevemente il servizio prima di eseguire l'aggiornamento per evitare che entrambi i processi di aggiornamento utilizzino contemporaneamente gli stessi log o database.

sudo systemctl stop clamav-freshclam
sudo freshclam

Indipendentemente dal fatto che l'aggiornamento abbia successo o meno, riavviare il servizio che era originariamente in esecuzione e verificare il suo stato. Se il servizio era originariamente fermo, non avviarlo arbitrariamente e seguire le impostazioni operative esistenti.

sudo systemctl start clamav-freshclam
systemctl status clamav-freshclam --no-pager

Se un download fallisce o ricevi un avviso su una versione obsoleta, verifica la connessione internet, le impostazioni DNS e del proxy, nonché lo stato dell'aggiornamento del pacchetto. Per spiegazioni sui limiti delle richieste o sugli errori, fare riferimento al documento di risoluzione dei problemi di FreshClam di ClamAV.

Scansione di file e directory

Ad esempio, per scansionare la directory dei download dell'utente corrente, comprese le sottodirectory, eseguire come segue. Sostituirla con il percorso effettivo che si desidera scansionare.

clamscan -r "$HOME/Downloads"

-r scansiona anche le sottodirectory. Per scansionare un singolo file, specificare il percorso del file come in clamscan /path/to/file. Se l'output è lungo, è possibile aggiungere --infected per visualizzare solo gli elementi rilevati.

clamscan -r --infected "$HOME/Downloads"

I file che l'account di scansione non può leggere non possono essere scansionati, quindi controllare eventuali errori di autorizzazione. Per le aree che richiedono privilegi di amministratore, come /home che include file di altri utenti, è possibile scansionare dopo aver esaminato le autorizzazioni e l'impatto utilizzando sudo clamscan -r /home. La scansione dell'intero file system richiede molto tempo e può includere altri file system, quindi verificare prima l'ambito.

Risultati della Scansione

Controlla il numero di file scansionati e Infected files a SCAN SUMMARY alla fine dell'output. Gli elementi con FOUND indicano i file rilevati e i nomi delle rilevazioni. Se ci sono stati elementi che non possono essere scansionati a causa di errori di lettura o limiti di dimensione, non puoi presumere che tutti i file siano sicuri anche se il conteggio delle rilevazioni è 0.

Subito dopo il comando, controlla lo stato di uscita con echo $?: 0 significa nessuna rilevazione, 1 significa rilevazioni, e 2 significa un errore. Se un altro comando viene eseguito prima, il valore da controllare cambierà. Opzioni dettagliate e stati di uscita possono essere trovati nel manuale di clamscan per Ubuntu 22.04.

Quando gestisci file rilevati

Poiché le rilevazioni potrebbero essere falsi positivi, registra il percorso del file e il nome della rilevazione e verifica lo scopo e la fonte del file. Eliminare immediatamente file di servizio importanti o dati utente può causare interruzioni del servizio o perdita di dati. Si consiglia di limitare l'accesso e seguire le procedure di risposta agli incidenti della tua organizzazione per ulteriori analisi e la verifica del backup prima di intraprendere azioni.

--move=DIRECTORY sposta i file rilevati in una directory specificata, e --remove li elimina. Poiché entrambe le opzioni modificano i file effettivi, non includerle in una scansione standard. Se lo spostamento è necessario, prima esamina una posizione di quarantena ristretta al di fuori dell'intervallo di scansione, i permessi di scrittura, i metodi di recupero e gli impatti sul servizio. --copy crea una copia ma mantiene intatto l'originale. La documentazione di scansione ClamAV consiglia anche cautela con l'eliminazione automatica a causa della possibilità di falsi positivi.

Quando aggiornamenti o scansioni falliscono

• Database non trovato: Controlla i log del servizio di aggiornamento e la connessione di rete, e riesegui la scansione una volta completato il download del database.
• Errore di blocco del registro : Verificare se un altro processo freshclam è in esecuzione. Se avete fermato il servizio durante un aggiornamento manuale, riavviatelo dopo il compito.
• Errore di autorizzazione o omissione di scansione : Controllare i permessi di lettura dei file e i messaggi di errore, e elevare i permessi solo se necessario. File crittografati o limiti di dimensione impostati possono influenzare anche l'ambito della scansione.

ClamAV è uno strumento di rilevamento utile, ma non vi è garanzia che rileverà tutti i malware. Usatelo insieme ad aggiornamenti regolari, backup e controllo degli accessi, e se è necessario il monitoraggio in tempo reale, considerate metodi separati di configurazione e operativi.