Ubuntu 22.04 Server / Cómo Instalar y Usar ClamAV

Para instalar ClamAV en Ubuntu 22.04 Server, instala los paquetes clamav y clamav-freshclam, actualiza la base de datos de virus y luego escanea los archivos o directorios deseados usando clamscan. Este método realiza escaneos bajo demanda y no habilita la monitorización en tiempo real solo con la instalación.

ClamAV y Preparación Antes del Escaneo

ClamAV es una colección de herramientas de código abierto para detectar malware. freshclam actualiza la base de datos utilizada para la detección, clamscan lee la base de datos durante la ejecución para escanear objetivos específicos, y clamscan no requiere que el demonio de escaneo separado clamd esté en ejecución.

Este artículo se basa en paquetes y servicios systemd para Ubuntu 22.04 Server. Necesita una conexión de red para acceder a los repositorios de paquetes y las bases de datos de firmas, permisos sudo para la instalación, y espacio en disco y memoria suficientes para la base de datos y los escaneos. En servidores de producción, ejecute durante los momentos de inactividad, considerando el alcance y la carga de los escaneos.

Instalando ClamAV

Actualice la lista de paquetes e instale el escáner y el actualizador.

sudo apt update
sudo apt install clamav clamav-freshclam

Después de completar la instalación, verifique la versión y el estado del servicio de actualizaciones.

clamscan --version
systemctl status clamav-freshclam --no-pager

Si el servicio está en ejecución, está configurado para ejecutar actualizaciones automáticas. Si hay un error en el estado o el servicio falta, consulte la sección de actualizaciones y resolución de problemas a continuación. La salida varía según la versión instalada y el estado de la base de datos.

Actualizando la base de datos de firmas

Necesita una base de datos actualizada antes de escanear. Si el servicio clamav-freshclam está en ejecución, se actualiza en segundo plano, por lo que primero verifique el estado y los registros recientes.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 30 --no-pager

Si se necesitan actualizaciones manuales y el servicio está en ejecución, detenga brevemente el servicio antes de ejecutar la actualización para evitar que ambos procesos de actualización utilicen simultáneamente los mismos registros o bases de datos.

sudo systemctl stop clamav-freshclam
sudo freshclam

Independientemente de si la actualización tiene éxito o falla, reinicie el servicio que estaba en funcionamiento originalmente y verifique su estado. Si el servicio estaba detenido inicialmente, no lo inicie arbitrariamente y siga la configuración operativa existente.

sudo systemctl start clamav-freshclam
systemctl status clamav-freshclam --no-pager

Si una descarga falla o recibe una advertencia sobre una versión desactualizada, verifique su conexión a Internet, configuración de DNS y proxy, así como el estado de actualización del paquete. Para explicaciones sobre límites de solicitudes o errores, consulte el documento de resolución de problemas de FreshClam de ClamAV.

Escaneando archivos y directorios

Por ejemplo, para escanear el directorio de descargas del usuario actual incluyendo subdirectorios, ejecute de la siguiente manera. Reemplace esto con la ruta real que desea escanear.

clamscan -r "$HOME/Downloads"

-r también escanea subdirectorios. Para escanear un solo archivo, especifique la ruta del archivo como en clamscan /path/to/file. Si hay mucha salida, puede agregar --infected para mostrar solo los elementos detectados.

clamscan -r --infected "$HOME/Downloads"

Los archivos que la cuenta de escaneo no puede leer no se pueden escanear, así que verifique errores de permisos. Para áreas que requieren privilegios de administrador, como /home que incluye archivos de otros usuarios, puede escanear después de revisar los permisos y el impacto usando sudo clamscan -r /home. Escanear todo el sistema de archivos lleva mucho tiempo y puede incluir otros sistemas de archivos, así que verifique el alcance primero.

Interpretar los resultados del escaneo

Verifique el número de archivos escaneados y Infected files en SCAN SUMMARY al final del resultado. Los elementos con FOUND indican archivos detectados y nombres de detección. Si hubo elementos que no pudieron ser escaneados debido a errores de lectura o límites de tamaño, no puede asumir que todos los archivos son seguros incluso si el recuento de detecciones es 0.

Inmediatamente después del comando, verifique el estado de salida con echo $?: 0 significa sin detecciones, 1 significa detecciones y 2 significa un error. Si se ejecuta otro comando primero, el valor a verificar cambiará. Opciones detalladas y estados de salida se pueden encontrar en el manual de clamscan de Ubuntu 22.04.

Al Manejar Archivos Detectados

Dado que las detecciones pueden ser falsos positivos, registre la ruta del archivo y el nombre de la detección, y verifique el propósito y la fuente del archivo. Eliminar inmediatamente archivos de servicio importantes o datos de usuario puede causar interrupciones del servicio o pérdida de datos. Se recomienda restringir el acceso y seguir los procedimientos de respuesta a incidentes de su organización para un análisis adicional y la verificación de copias de seguridad antes de tomar medidas.

--move=DIRECTORY mueve los archivos detectados a un directorio especificado, y --remove los elimina. Dado que ambas opciones modifican los archivos reales, no las incluya en un escaneo estándar. Si es necesario moverlos, primero revise una ubicación de cuarentena restringida fuera del rango del escaneo, los permisos de escritura, los métodos de recuperación y los impactos en el servicio. --copy crea una copia pero mantiene el original intacto. documentación de escaneo de ClamAV también recomienda precaución con la eliminación automática debido a la posibilidad de falsos positivos.

Cuando las actualizaciones o escaneos fallan

• Base de datos no encontrada: Revise los registros del servicio de actualización y la conexión de red, y vuelva a escanear una vez que la descarga de la base de datos esté completa.
• error de bloqueo de registro: Verifique si hay otro proceso freshclam en ejecución. Si detuvo el servicio durante una actualización manual, reinícielo después de la tarea.
• error de permisos u omisión de escaneo: Verifique los permisos de lectura de archivos y los mensajes de error, y eleve los permisos solo según sea necesario. Los archivos cifrados o los límites de tamaño establecidos también pueden afectar el rango de escaneo.

ClamAV es una herramienta útil de detección, pero no hay garantía de que encuentre todo el malware. Úselo junto con actualizaciones regulares, copias de seguridad y control de acceso, y si se necesita monitoreo en tiempo real, considere métodos de configuración y operación separados.