Ubuntu 22.04 Server / Como Instalar e Usar o ClamAV

Para instalar o ClamAV no Ubuntu 22.04 Server, instale os pacotes clamav e clamav-freshclam, atualize o banco de dados de vírus e, em seguida, escaneie os arquivos ou diretórios desejados usando clamscan. Este método realiza scans sob demanda e não habilita monitoramento em tempo real apenas com a instalação.

ClamAV e Preparação Antes do Escaneamento

ClamAV é uma coleção de ferramentas de código aberto para detectar malware. freshclam atualiza o banco de dados usado para detecção, clamscan lê o banco de dados durante a execução para escanear alvos especificados, e clamscan não requer que o daemon de varredura separado clamd esteja em execução.

Este artigo é baseado em pacotes e serviços systemd para o Ubuntu 22.04 Server. Você precisa de uma conexão de rede para acessar os repositórios de pacotes e bancos de dados de assinatura, permissões de sudo para instalação e espaço em disco e memória suficientes para o banco de dados e as varreduras. Em servidores de produção, execute durante períodos de inatividade, considerando o escopo e a carga das varreduras.

Instalando o ClamAV

Atualize a lista de pacotes e instale o scanner e o atualizador.

sudo apt update
sudo apt install clamav clamav-freshclam

Após a conclusão da instalação, verifique a versão e o status do serviço de atualização.

clamscan --version
systemctl status clamav-freshclam --no-pager

Se o serviço estiver em execução, ele está configurado para executar atualizações automáticas. Se houver um erro no status ou o serviço estiver ausente, consulte a seção de atualizações e solução de problemas abaixo. A saída varia dependendo da versão instalada e do status do banco de dados.

Atualizando o banco de dados de assinaturas

Você precisa de um banco de dados atualizado antes de realizar a varredura. Se o serviço clamav-freshclam estiver em execução, ele atualiza em segundo plano, então primeiro verifique o status e os registros recentes.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 30 --no-pager

Se atualizações manuais forem necessárias e o serviço estiver em execução, pare o serviço temporariamente antes de executar para evitar que ambos os processos de atualização usem os mesmos logs ou bancos de dados simultaneamente.

sudo systemctl stop clamav-freshclam
sudo freshclam

Independentemente de a atualização ter sucesso ou falhar, reinicie o serviço que estava originalmente em execução e verifique seu status. Se o serviço estava originalmente parado, não o inicie arbitrariamente e siga as configurações operacionais existentes.

sudo systemctl start clamav-freshclam
systemctl status clamav-freshclam --no-pager

Se um download falhar ou você receber um aviso sobre uma versão desatualizada, verifique sua internet, configurações de DNS e proxy, bem como o status da atualização do pacote. Para explicações sobre limites de solicitações ou erros, consulte o documento de solução de problemas do FreshClam do ClamAV.

Verificando arquivos e diretórios

Por exemplo, para escanear o diretório de downloads do usuário atual, incluindo subdiretórios, execute da seguinte forma. Substitua pelo caminho real que você deseja escanear.

clamscan -r "$HOME/Downloads"

-r também escaneia subdiretórios. Para escanear um único arquivo, especifique o caminho do arquivo como em clamscan /path/to/file. Se houver muita saída, você pode adicionar --infected para exibir apenas os itens detectados.

clamscan -r --infected "$HOME/Downloads"

Arquivos que a conta de escaneamento não consegue ler não podem ser escaneados, então verifique erros de permissão. Para áreas que exigem privilégios de administrador, como /home, que inclui arquivos de outros usuários, você pode escanear após revisar as permissões e os impactos usando sudo clamscan -r /home. Escanear todo o sistema de arquivos leva muito tempo e pode incluir outros sistemas de arquivos, então verifique o escopo primeiro.

Como interpretar os resultados da varredura

Verifique o número de arquivos escaneados e Infected files em SCAN SUMMARY ao final da saída. Itens com FOUND indicam arquivos detectados e nomes de detecção. Se houver itens que não puderam ser escaneados devido a erros de leitura ou limites de tamanho, você não pode assumir que todos os arquivos estão seguros mesmo se a contagem de detecções for 0.

Imediatamente após o comando, verifique o status de saída com echo $?: 0 significa nenhuma detecção, 1 significa detecções, e 2 significa um erro. Se outro comando for executado primeiro, o valor a ser verificado mudará. Opções detalhadas e status de saída podem ser encontrados no manual do clamscan do Ubuntu 22.04.

Ao Lidar com Arquivos Detectados

Como as detecções podem ser falsos positivos, registre o caminho do arquivo e o nome da detecção e verifique o propósito e a origem do arquivo. Excluir imediatamente arquivos de serviço importantes ou dados do usuário pode causar interrupções no serviço ou perda de dados. É recomendado restringir o acesso e seguir os procedimentos de resposta a incidentes da sua organização para análise adicional e verificação de backup antes de tomar qualquer ação.

--move=DIRECTORY move arquivos detectados para um diretório especificado, e --remove os exclui. Como ambas as opções modificam os arquivos reais, não as inclua em uma verificação padrão. Se a movimentação for necessária, revise primeiro um local de quarentena restrito fora do alcance da verificação, permissões de escrita, métodos de recuperação e impactos no serviço. --copy cria uma cópia, mas mantém o original intacto. a documentação de varredura do ClamAV também recomenda cautela com a exclusão automática devido à possibilidade de falsos positivos.

Quando atualizações ou verificações falham

• Banco de dados não encontrado: Verifique os logs do serviço de atualização e a conexão de rede, e realize a varredura novamente assim que o download do banco de dados for concluído.
• Erro de bloqueio de log : Verifique se outro processo freshclam está em execução. Se você parou o serviço durante uma atualização manual, reinicie-o após a tarefa.
• Erro de permissão ou omissão de varredura : Verifique as permissões de leitura de arquivos e mensagens de erro, e eleve as permissões apenas conforme necessário. Arquivos criptografados ou limites de tamanho definidos também podem afetar o alcance da varredura.

ClamAV é uma ferramenta útil de detecção, mas não há garantia de que encontrará todos os malwares. Use-o juntamente com atualizações regulares, backups e controle de acesso, e se for necessário monitoramento em tempo real, considere métodos separados de configuração e operação.