[devel] I: clamav

[devel] I: clamav

[Victor Forsyuk]

Hi!

В /incoming/Sisyphus уехал ClamAV - очень хороший почтовый антивирус
для фрюниксов.

Есть два момента, в которых моя сборка отличается от виденных мной
(PLD, Freshrpms, Mdk contrib) и которые хотелось бы отметить.

Первое, пакет собран для работы от юзера mail, а не от новосоздаваемого
"одноименного", как это модно/принято.

Rationale:
Основное предназначения ClamAV - интеграция с почтовыми серверами
для сканирования аттачей. В случае с exim эта интеграция очень
тесная, exim+exiscan делает копию файла полученного письма для
сканирования и передает его имя антивирусу через сокет или порт.
Если MTA и антивирус будут работать от совершенно разных юзеров,
антивирус просто не получит доступа к файлу - он создается отнюдь
не world-readable по совершенно очевидным причинам.

Так что лучшим решением будет работа MTA и антивируса под одним
uid. При этом крайне странно будет смотреться антивирус, работающий
от юзера exim. :-)

Поэтому clamav "заточен" на mail с расчетом на то, что Виктор
Исмакаев не будет особенно возражать против перехода exima'а
с "собственного" юзера на бесхозного по сути после отказа от
sendmail'а юзера mail.



Второе, пакет не включает в себя базу сигнатур вирусов. Вообще.

Rationale:
Главная ценность антивируса - в своевременном обновлении базы.
ClamAV содержит утилиту, которая по крону (как сделано в сборке)
или в режиме демона ходит за обновлениями базы.

Все другие сборки берут некую базу - или ту, которая прямо в архиве,
или более свежую на момент сборки и пакуют ее в отдельный
двоичный rpm, который require'ит сам антивирус. Но это плохо.

Ведь база актуализируется из Интернета, где обновляется очень часто
(раза три-четыре в неделю) и если ее файлы будут числиться за пакетом,
то более "свежий" пакет clamav-database уже через пару дней своего
существования на самом деле будет не обновлять базу, а затирать ее
более старой версией (а apt-get dist-upgrade ее тем не менее
потащит).

Да и "окно" после установки пакета до запуска обновления по крону
(стандартно - daily) когда энное число часов будет использоваться
возможно уже многомесячной давности база сигнатур - совсем не гут.

Поэтому в стартовый скрипт clamd включена проверка на существование
файла базы и закачка ее до запуска демона в случае отсутствия.

 

Re: [devel] I: clamav

[Victor V Ismakaev]

1 Август 2003 21:20, Victor Forsyuk написал:
> Hi!
>
> В /incoming/Sisyphus уехал ClamAV - очень хороший почтовый антивирус
> для фрюниксов.
>
> Есть два момента, в которых моя сборка отличается от виденных мной
> (PLD, Freshrpms, Mdk contrib) и которые хотелось бы отметить.
>
> Первое, пакет собран для работы от юзера mail, а не от новосоздаваемого
> "одноименного", как это модно/принято.
>
> Rationale:
> Основное предназначения ClamAV - интеграция с почтовыми серверами
> для сканирования аттачей. В случае с exim эта интеграция очень
> тесная, exim+exiscan делает копию файла полученного письма для
> сканирования и передает его имя антивирусу через сокет или порт.
> Если MTA и антивирус будут работать от совершенно разных юзеров,
> антивирус просто не получит доступа к файлу - он создается отнюдь
> не world-readable по совершенно очевидным причинам.
А group-readable? Совмещать МТА и сервисные программы по-моему лучше на уровне
груп,а не на уровне UIDов.В этом случае мы имеем страховку от файловых 
конфликтов между различными МТА и большую свободу в их настройках.
 
> Так что лучшим решением будет работа MTA и антивируса под одним
> uid. При этом крайне странно будет смотреться антивирус, работающий
> от юзера exim. :-)
Почему? :))) Exim - звучит гордо :))

> Поэтому clamav "заточен" на mail с расчетом на то, что Виктор
> Исмакаев не будет особенно возражать против перехода exima'а
> с "собственного" юзера на бесхозного по сути после отказа от
> sendmail'а юзера mail.
По крайней мере ногами упираться не будет :)), но sendmail до сих пор 
присутвует в Сизифе и выбрасывать его я не считаю очень правильным 
решением(хоть сам его и не использую).
-- 
С уважением
Виктор В Исмакаев
ivv@altlinux.ru

Re: [devel] I: clamav

[Victor Forsyuk]

On Fri, Aug 01, 2003 at 09:51:55PM +0600, Victor V Ismakaev wrote:
> > Rationale:
> > Основное предназначения ClamAV - интеграция с почтовыми серверами
> > для сканирования аттачей. В случае с exim эта интеграция очень
> > тесная, exim+exiscan делает копию файла полученного письма для
> > сканирования и передает его имя антивирусу через сокет или порт.
> > Если MTA и антивирус будут работать от совершенно разных юзеров,
> > антивирус просто не получит доступа к файлу - он создается отнюдь
> > не world-readable по совершенно очевидным причинам.
> А group-readable?

Не суть важно. Почему - см. ниже.

> Совмещать МТА и сервисные программы по-моему лучше на уровне
> груп,а не на уровне UIDов.

Но ведь главное в том, что нужно _совмещать_. Здесь как раз тот
случай, когда задача соcтоит не в priviledge separation, а в
интеграции.

> В этом случае мы имеем страховку от файловых 
> конфликтов между различными МТА и большую свободу в их настройках.

Честно говоря, эту фразу я не понял. :)

> > Так что лучшим решением будет работа MTA и антивируса под одним
> > uid. При этом крайне странно будет смотреться антивирус, работающий
> > от юзера exim. :-)
> Почему? :))) Exim - звучит гордо :))

Я тоже согласен, что гордо :). Но если говорить серьезно, то дело
даже не в "смотреться", не в странности самого имени юзера, от
которого пришлось бы работать clamav.

Юзер exim _создается_ пакетом exim. В таком случае clamav либо должен
хмм... зависеть от пакета exim, либо и сам при установке создавать
юзера exim... Но и это тоже смотрится как минимум странно и, главное -
к чему все эти танцы, если они лишены какого-либо практического смысла?

> > Поэтому clamav "заточен" на mail с расчетом на то, что Виктор
> > Исмакаев не будет особенно возражать против перехода exima'а
> > с "собственного" юзера на бесхозного по сути после отказа от
> > sendmail'а юзера mail.
> По крайней мере ногами упираться не будет :)),

Стало быть, можно надеяться на необходимые изменения в следующей
сборке экзима? ;-)

Я очень надеюсь, что к следующему релизу мы сможем сделать хорошую
связку MTA-antivirus-antispam прямо из коробки - хотя бы для exim.

> но sendmail до сих пор 
> присутвует в Сизифе и выбрасывать его я не считаю очень правильным 
> решением(хоть сам его и не использую).

Me too. То бишь, я тоже за то, чтобы этот legacy MTA присутствовал
хотя бы в Сизифе.

Вот только не понимаю, как связано выбрасывание sendmail'а с
работой экзима от изначально существующего в системе юзера mail.

Re: [devel] I: clamav

[Victor V Ismakaev]

4 Август 2003 22:02, Victor Forsyuk написал:
> On Fri, Aug 01, 2003 at 09:51:55PM +0600, Victor V Ismakaev wrote:
> > > Rationale:
> > > Основное предназначения ClamAV - интеграция с почтовыми серверами
> > > для сканирования аттачей. В случае с exim эта интеграция очень
> > > тесная, exim+exiscan делает копию файла полученного письма для
> > > сканирования и передает его имя антивирусу через сокет или порт.
> > > Если MTA и антивирус будут работать от совершенно разных юзеров,
> > > антивирус просто не получит доступа к файлу - он создается отнюдь
> > > не world-readable по совершенно очевидным причинам.
> >
> > А group-readable?
>
> Не суть важно. Почему - см. ниже.
>
> > Совмещать МТА и сервисные программы по-моему лучше на уровне
> > груп,а не на уровне UIDов.
>
> Но ведь главное в том, что нужно _совмещать_. Здесь как раз тот
> случай, когда задача соcтоит не в priviledge separation, а в
> интеграции.
Это-то как-раз и ясно.Неясно одно,почему нельзя сделать эту интеграцию на 
уровне group-readable файлах, а МТА и антивирус пусть работают от своих  
имен.

> > В этом случае мы имеем страховку от файловых
> > конфликтов между различными МТА и большую свободу в их настройках.
>
> Честно говоря, эту фразу я не понял. :)
>
> > > Так что лучшим решением будет работа MTA и антивируса под одним
> > > uid. При этом крайне странно будет смотреться антивирус, работающий
> > > от юзера exim. :-)
> >
> > Почему? :))) Exim - звучит гордо :))
>
> Я тоже согласен, что гордо :). Но если говорить серьезно, то дело
> даже не в "смотреться", не в странности самого имени юзера, от
> которого пришлось бы работать clamav.
>
> Юзер exim _создается_ пакетом exim. В таком случае clamav либо должен
> хмм... зависеть от пакета exim, либо и сам при установке создавать
> юзера exim... Но и это тоже смотрится как минимум странно и, главное -
> к чему все эти танцы, если они лишены какого-либо практического смысла?
Да.Согласен,об этом не подумал.

> > > > > > Поэтому clamav "заточен" на mail с расчетом на то, что Виктор
> > > Исмакаев не будет особенно возражать против перехода exima'а
> > > с "собственного" юзера на бесхозного по сути после отказа от
> > > sendmail'а юзера mail.
> >
> > По крайней мере ногами упираться не будет :)),
>
> Стало быть, можно надеяться на необходимые изменения в следующей
> сборке экзима? ;-)
>
> Я очень надеюсь, что к следующему релизу мы сможем сделать хорошую
> связку MTA-antivirus-antispam прямо из коробки - хотя бы для exim.
Я тоже :)
Я в отпуске до середины сентября,поэтому в дискуссии учавствовать не могу.
Но за это время попробую разобраться в связке exim-clamav,составить более 
четкую картину по этому поводу и подготовить,если буду уверен в правильности 
перевода exim под пользователя mail,новую сборку. 
-- 
С уважением
Виктор В Исмакаев
ivv@altlinux.ru

Re: [devel] I: clamav

[Victor Forsyuk]

On Fri, Aug 08, 2003 at 05:42:03PM +0600, Victor V Ismakaev wrote:
> > > Совмещать МТА и сервисные программы по-моему лучше на уровне
> > > груп,а не на уровне UIDов.
> >
> > Но ведь главное в том, что нужно _совмещать_. Здесь как раз тот
> > случай, когда задача соcтоит не в priviledge separation, а в
> > интеграции.
> Это-то как-раз и ясно.Неясно одно,почему нельзя сделать эту интеграцию на 
> уровне group-readable файлах, а МТА и антивирус пусть работают от своих  
> имен.

Вопрос не с той стороны поставлен :). Почемя нельзя - можно. Но вот
нужно ли и осмысленно ли вообще? Создание новых юзеров осмысленно,
когда цель - priviledge separation, _разграничение_ доступа к файлам.
В связке exim-clamav задача как раз обратная - обеспечение общего
доступа к файлам. Создание нового юзера clamav, поэтому, просто
лишено какого-либо практического смысла.

> > Стало быть, можно надеяться на необходимые изменения в следующей
> > сборке экзима? ;-)
> >
> > Я очень надеюсь, что к следующему релизу мы сможем сделать хорошую
> > связку MTA-antivirus-antispam прямо из коробки - хотя бы для exim.
> Я тоже :)
> Я в отпуске до середины сентября,поэтому в дискуссии учавствовать не могу.
> Но за это время попробую разобраться в связке exim-clamav,составить более 
> четкую картину по этому поводу и подготовить,если буду уверен в правильности 
> перевода exim под пользователя mail,новую сборку. 

Не хотелось бы ждать больше месяца. Как Вы смотрите на NMU или
совместное ментейнерство?