Ubuntu 22.04 Server / Comment Installer et Utiliser ClamAV

Pour installer ClamAV sur Ubuntu 22.04 Server, installez les packages clamav et clamav-freshclam, mettez à jour la base de données de virus, puis analysez les fichiers ou répertoires souhaités en utilisant clamscan. Cette méthode effectue des analyses à la demande et n'active pas la surveillance en temps réel simplement par l'installation.

ClamAV et Préparation Avant l'Analyse

ClamAV est un ensemble d'outils open-source pour détecter les logiciels malveillants. freshclam met à jour la base de données utilisée pour la détection, clamscan lit la base de données pendant l'exécution pour analyser les cibles spécifiées, et clamscan ne nécessite pas que le démon de scan séparé clamd soit en cours d'exécution.

Cet article est basé sur les paquets et les services systemd pour Ubuntu 22.04 Server. Vous avez besoin d'une connexion réseau pour accéder aux dépôts de paquets et aux bases de signatures, des permissions sudo pour l'installation, ainsi que suffisamment d'espace disque et de mémoire pour la base de données et les analyses. Sur les serveurs de production, exécutez pendant les périodes d'inactivité, en tenant compte de la portée et de la charge des analyses.

Installation de ClamAV

Mettez à jour la liste des paquets et installez le scanner et le programme de mise à jour.

sudo apt update
sudo apt install clamav clamav-freshclam

Après l'installation, vérifiez la version et l'état du service de mise à jour.

clamscan --version
systemctl status clamav-freshclam --no-pager

Si le service est en cours d'exécution, il est configuré pour exécuter des mises à jour automatiques. S'il y a une erreur dans l'état ou si le service est manquant, veuillez vous référer à la section mises à jour et dépannage ci-dessous. La sortie varie en fonction de la version installée et de l'état de la base de données.

Mise à jour de la base de données de signatures

Vous avez besoin d'une base de données à jour avant l'analyse. Si le service clamav-freshclam est en cours d'exécution, il se met à jour en arrière-plan, donc vérifiez d'abord l'état et les enregistrements récents.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 30 --no-pager

Si des mises à jour manuelles sont nécessaires et que le service est en cours d'exécution, arrêtez brièvement le service avant de lancer la mise à jour afin d'éviter que les deux processus de mise à jour n'utilisent simultanément les mêmes journaux ou bases de données.

sudo systemctl stop clamav-freshclam
sudo freshclam

Que la mise à jour réussisse ou échoue, redémarrez le service qui était initialement en cours d'exécution et vérifiez son état. Si le service était initialement arrêté, ne le démarrez pas arbitrairement et respectez les paramètres opérationnels existants.

sudo systemctl start clamav-freshclam
systemctl status clamav-freshclam --no-pager

Si un téléchargement échoue ou si vous recevez un avertissement concernant une version obsolète, vérifiez votre connexion Internet, vos paramètres DNS et proxy ainsi que l'état de la mise à jour du paquet. Pour des explications sur les limites de requêtes ou les erreurs, consultez le document de dépannage FreshClam de ClamAV.

Analyse des fichiers et des répertoires

Par exemple, pour scanner le répertoire de téléchargement de l'utilisateur actuel y compris les sous-répertoires, exécutez comme suit. Remplacez-le par le chemin réel que vous souhaitez scanner.

clamscan -r "$HOME/Downloads"

-r scanne également les sous-répertoires. Pour scanner un seul fichier, spécifiez le chemin du fichier comme dans clamscan /path/to/file. S'il y a beaucoup de résultats, vous pouvez ajouter --infected pour afficher uniquement les éléments détectés.

clamscan -r --infected "$HOME/Downloads"

Les fichiers que le compte de scan ne peut pas lire ne peuvent pas être scannés, donc vérifiez les erreurs de permission. Pour les zones nécessitant des privilèges administratifs, comme /home qui inclut les fichiers d'autres utilisateurs, vous pouvez scanner après avoir examiné les permissions et l'impact en utilisant sudo clamscan -r /home. Scanner l'ensemble du système de fichiers prend beaucoup de temps et peut inclure d'autres systèmes de fichiers, donc vérifiez d'abord la portée.

Lire les résultats de l'analyse

Vérifiez le nombre de fichiers analysés et Infected files à SCAN SUMMARY à la fin de la sortie. Les éléments avec FOUND indiquent les fichiers détectés et les noms de détection. S'il y avait des éléments qui n'ont pas pu être analysés en raison d'erreurs de lecture ou de limites de taille, vous ne pouvez pas supposer que tous les fichiers sont sûrs même si le nombre de détections est de 0.

Immédiatement après la commande, vérifiez le statut de sortie avec echo $? : 0 signifie aucune détection, 1 signifie détections, et 2 signifie une erreur. Si une autre commande est exécutée en premier, la valeur à vérifier changera. Les options détaillées et les statuts de sortie peuvent être trouvés dans le manuel clamscan Ubuntu 22.04.

Lors du traitement des fichiers détectés

Étant donné que les détections peuvent être des faux positifs, enregistrez le chemin du fichier et le nom de la détection, et vérifiez l’objectif et la source du fichier. La suppression immédiate de fichiers de service importants ou de données utilisateur peut provoquer des interruptions de service ou une perte de données. Il est recommandé de restreindre l’accès et de suivre les procédures d’intervention de votre organisation pour une analyse plus approfondie et une vérification des sauvegardes avant d’agir.

--move=DIRECTORY déplace les fichiers détectés vers un répertoire spécifié, et --remove les supprime. Comme les deux options modifient les fichiers réels, ne les incluez pas dans une analyse standard. Si le déplacement est nécessaire, examinez d'abord un emplacement de quarantaine restreint en dehors de la plage d'analyse, les permissions d'écriture, les méthodes de récupération et les impacts sur les services. --copy crée une copie mais conserve l'original intact. La documentation de ClamAV recommande également de faire preuve de prudence avec la suppression automatique en raison de la possibilité de faux positifs.

Lorsque les mises à jour ou les analyses échouent

• Base de données introuvable : Vérifiez les journaux du service de mise à jour et la connexion réseau, puis relancez l'analyse une fois le téléchargement de la base de données terminé.
• Erreur de verrouillage du journal : Vérifiez si un autre processus freshclam est en cours d'exécution. Si vous avez arrêté le service lors d'une mise à jour manuelle, redémarrez-le après la tâche.
• Erreur de permission ou omission d'analyse : Vérifiez les permissions de lecture du fichier et les messages d'erreur, et élevez les permissions uniquement si nécessaire. Les fichiers chiffrés ou les limites de taille définies peuvent également affecter la portée de l'analyse.

ClamAV est un outil de détection utile, mais il n'y a aucune garantie qu'il trouvera tous les logiciels malveillants. Utilisez-le avec des mises à jour régulières, des sauvegardes et le contrôle d'accès, et si une surveillance en temps réel est nécessaire, envisagez des méthodes de configuration et opérationnelles séparées.