Ubuntu 22.04 Server / Wie man ClamAV installiert und verwendet

Um ClamAV auf Ubuntu 22.04 Server zu installieren, installieren Sie die Pakete clamav und clamav-freshclam, aktualisieren Sie die Virendatenbank und scannen Sie dann die gewünschten Dateien oder Verzeichnisse mit clamscan. Diese Methode führt Scans auf Abruf durch und aktiviert durch die Installation nicht die Echtzeitüberwachung.

ClamAV und Vorbereitung vor dem Scannen

ClamAV ist eine Sammlung von Open-Source-Tools zur Erkennung von Malware. freshclam aktualisiert die für die Erkennung verwendete Datenbank, clamscan liest die Datenbank während der Ausführung, um angegebene Ziele zu scannen, und clamscan benötigt nicht, dass der separate Scan-Daemon clamd läuft.

Dieser Artikel basiert auf Paketen und Systemd-Diensten für Ubuntu 22.04 Server. Sie benötigen eine Netzwerkverbindung, um auf Paket-Repositories und Signaturdatenbanken zuzugreifen, sudo-Berechtigungen für die Installation sowie ausreichend Speicherplatz und Arbeitsspeicher für die Datenbank und Scans. Auf Produktionsservern sollte der Betrieb in ruhigen Zeiten erfolgen, unter Berücksichtigung des Umfangs und der Last der Scans.

Installation von ClamAV

Aktualisieren Sie die Paketliste und installieren Sie den Scanner und das Update-Tool.

sudo apt update
sudo apt install clamav clamav-freshclam

Nach Abschluss der Installation überprüfen Sie die Version und den Aktualisierungsdienststatus.

clamscan --version
systemctl status clamav-freshclam --no-pager

Wenn der Dienst ausgeführt wird, ist er so konfiguriert, dass automatische Updates durchgeführt werden. Wenn ein Fehler im Status vorliegt oder der Dienst fehlt, beachten Sie bitte den Abschnitt Updates und Fehlerbehebung unten. Die Ausgabe variiert je nach installierter Version und Datenbankstatus.

Aktualisierung der Signaturdatenbank

Sie benötigen eine aktuelle Datenbank, bevor Sie einen Scan durchführen. Wenn der clamav-freshclam-Dienst ausgeführt wird, wird sie im Hintergrund aktualisiert, überprüfen Sie daher zuerst den Status und die letzten Einträge.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 30 --no-pager

Wenn manuelle Updates erforderlich sind und der Dienst läuft, stoppen Sie den Dienst kurz, bevor Sie das Update ausführen, um zu verhindern, dass beide Update-Prozesse gleichzeitig dieselben Protokolle oder Datenbanken verwenden.

sudo systemctl stop clamav-freshclam
sudo freshclam

Unabhängig davon, ob das Update erfolgreich ist oder fehlschlägt, starten Sie den ursprünglich laufenden Dienst neu und prüfen Sie seinen Status. Wenn der Dienst ursprünglich gestoppt war, starten Sie ihn nicht willkürlich und halten Sie sich an die bestehenden Betriebseinstellungen.

sudo systemctl start clamav-freshclam
systemctl status clamav-freshclam --no-pager

Wenn ein Download fehlschlägt oder Sie eine Warnung über eine veraltete Version erhalten, überprüfen Sie Ihre Internet-, DNS- und Proxy-Einstellungen sowie den Status der Paketaktualisierung. Für Erläuterungen zu Anfragelimits oder Fehlern lesen Sie das FreshClam-Fehlerbehebungsdokument von ClamAV.

Dateien und Verzeichnisse scannen

Zum Beispiel, um das Download-Verzeichnis des aktuellen Benutzers einschließlich Unterverzeichnissen zu scannen, führen Sie es wie folgt aus. Ersetzen Sie es durch den tatsächlichen Pfad, den Sie scannen möchten.

clamscan -r "$HOME/Downloads"

-r scannt ebenfalls Unterverzeichnisse. Um eine einzelne Datei zu scannen, geben Sie den Dateipfad wie in clamscan /path/to/file an. Wenn es viele Ausgaben gibt, können Sie --infected hinzufügen, um nur erkannte Elemente anzuzeigen.

clamscan -r --infected "$HOME/Downloads"

Dateien, die das Scan-Konto nicht lesen kann, können nicht gescannt werden, daher prüfen Sie auf Berechtigungsfehler. Für Bereiche, die Administratorrechte erfordern, wie /home, das Dateien anderer Benutzer einschließt, können Sie nach Überprüfung der Berechtigungen und Auswirkungen mit sudo clamscan -r /home scannen. Das Scannen des gesamten Dateisystems dauert lange und kann andere Dateisysteme einschließen, daher überprüfen Sie zuerst den Umfang.

Scan-Ergebnisse lesen

Überprüfen Sie die Anzahl der gescannten Dateien und Infected files bei SCAN SUMMARY am Ende der Ausgabe. Elemente mit FOUND zeigen erkannte Dateien und Erkennungsnamen an. Wenn Elemente aufgrund von Lesefehlern oder Größenbeschränkungen nicht gescannt werden konnten, können Sie nicht davon ausgehen, dass alle Dateien sicher sind, selbst wenn die Anzahl der Erkennungen 0 beträgt.

Überprüfen Sie unmittelbar nach dem Befehl den Exit-Status mit echo $?: 0 bedeutet keine Erkennungen, 1 bedeutet Erkennungen und 2 bedeutet einen Fehler. Wenn zuerst ein anderer Befehl ausgeführt wird, ändert sich der Wert, der überprüft werden muss. Detaillierte Optionen und Exit-Status finden Sie im Ubuntu 22.04 clamscan-Handbuch.

Umgang mit erkannten Dateien

Da Erkennungen falsche Positive sein können, zeichnen Sie den Dateipfad und den Namen der Erkennung auf und überprüfen Sie den Zweck und die Quelle der Datei. Das sofortige Löschen wichtiger Dienstdateien oder Benutzerdaten kann zu Dienstunterbrechungen oder Datenverlust führen. Es wird empfohlen, den Zugriff einzuschränken und den Vorfallreaktionsverfahren Ihrer Organisation für weitere Analysen und die Überprüfung von Backups zu folgen, bevor Maßnahmen ergriffen werden.

--move=DIRECTORY verschiebt erkannte Dateien in ein angegebenes Verzeichnis, und --remove löscht sie. Da beide Optionen die tatsächlichen Dateien verändern, sollten sie nicht in einem standardmäßigen Scan enthalten sein. Wenn ein Verschieben erforderlich ist, überprüfen Sie zuerst einen eingeschränkten Quarantäneort außerhalb des Scanbereichs, Schreibberechtigungen, Wiederherstellungsmethoden und Auswirkungen auf den Service. --copy erstellt eine Kopie, behält aber das Original unverändert. ClamAV-Scan-Dokumentation empfiehlt ebenfalls Vorsicht bei automatischem Löschen aufgrund möglicher Fehlalarme.

Wenn Aktualisierungen oder Scans fehlschlagen

• Datenbank nicht gefunden: Überprüfen Sie die Protokolle des Aktualisierungsdienstes und die Netzwerkverbindung, und scannen Sie erneut, sobald der Datenbank-Download abgeschlossen ist.
• Protokoll-Sperrfehler: Überprüfen Sie, ob ein anderer freshclam Prozess läuft. Wenn Sie den Dienst während eines manuellen Updates gestoppt haben, starten Sie ihn nach der Aufgabe neu.
• Berechtigungsfehler oder Scan-Auslassung: Überprüfen Sie die Dateileseberechtigungen und Fehlermeldungen, und heben Sie Berechtigungen nur nach Bedarf an. Verschlüsselte Dateien oder festgelegte Größenlimits können ebenfalls den Scanbereich beeinflussen.

ClamAV ist ein nützliches Erkennungstool, aber es gibt keine Garantie, dass es alle Malware findet. Verwenden Sie es zusammen mit regelmäßigen Updates, Backups und Zugriffskontrollen, und wenn Echtzeitüberwachung erforderlich ist, ziehen Sie eine separate Konfiguration und Betriebsmethoden in Betracht.