[Sysadmins] Антивирус + файловый сервер

[Sysadmins] Антивирус + файловый сервер

[Alexander Kuprin]

Добрый день всем.

Ситуация следующая: есть ftp-сервер, необходимо настроить антивирусную
проверку файлов, которые копируются на сервер. Порылся в Интернете,
нашёл два варианта:

Вариант 1-й. Использовать в качестве ftp-сервера proftpd и собирать к
нему модуль, работающий с clamav. Но как оказывается данный проект
(mod_clamav, http://www.uglyboxindustries.com/mod_clamav_new.html)
оттестирован для работы с версией 1.2.10, а последний стабильный релиз
proftpd уже 1.3.1. Получается игра в догонялки.

Вариант 2-й. Второй варинат предполагает использовать связку dazuko +
clamav. В этом случае требуется пересобрать ядро с опцией

CONFIG_SECURITY_CAPABILITIES=m

Всё замечательно работает, но есть одно "но" -- модуль dazuko
обрабатывает только события ON_OPEN и ON_EXEC. Событие ON_WRITE не
обрабатывается. Для получения возможности обрабатывать данное событие
необходимо патчить ядро (устанавливать поддержку RSBAC).

Вопрос такой -- кто-нибудь подобное делал (dazuko+RSBAC)?


-- 
WBR, Alexander Kuprin

Re: [Sysadmins] Антивирус + файловый сервер

[Konstantin A. Lepikhov]

Hi Alexander!

Thursday 20, at 04:26:35 PM you wrote:

> Добрый день всем.
> 
> Ситуация следующая: есть ftp-сервер, необходимо настроить антивирусную
> проверку файлов, которые копируются на сервер. Порылся в Интернете,
> нашёл два варианта:
> 
> Вариант 1-й. Использовать в качестве ftp-сервера proftpd и собирать к
> нему модуль, работающий с clamav. Но как оказывается данный проект
> (mod_clamav, http://www.uglyboxindustries.com/mod_clamav_new.html)
> оттестирован для работы с версией 1.2.10, а последний стабильный релиз
> proftpd уже 1.3.1. Получается игра в догонялки.
> 
> Вариант 2-й. Второй варинат предполагает использовать связку dazuko +
> clamav. В этом случае требуется пересобрать ядро с опцией
> 
> CONFIG_SECURITY_CAPABILITIES=m
> 
> Всё замечательно работает, но есть одно "но" -- модуль dazuko
> обрабатывает только события ON_OPEN и ON_EXEC. Событие ON_WRITE не
> обрабатывается. Для получения возможности обрабатывать данное событие
> необходимо патчить ядро (устанавливать поддержку RSBAC).
> 
> Вопрос такой -- кто-нибудь подобное делал (dazuko+RSBAC)?
Имхо лучший вариант - запатчить proftpd, поскольку в новых ядрах (2.6.24+)
CONFIG_SECURITY_CAPABILITIES=m отменили + переписали весь LSM API, т.е.
там получатся не просто догонялки, а патч с нуля.

-- 
WBR et al.

Re: [Sysadmins] Антивирус + файловый сервер

[Alexander Kuprin]

> Имхо лучший вариант - запатчить proftpd, поскольку в новых ядрах (2.6.24+)
>  CONFIG_SECURITY_CAPABILITIES=m отменили + переписали весь LSM API, т.е.
>  там получатся не просто догонялки, а патч с нуля.

Понятно. Буду пропобовать. Хотя остаётся ещё один вариант -- запускать
clamav по крону, но это не совсем то.

Возможно, есть ещё варианты использования clamav для проверки файлов
на лету, буду признателен, если читающие данную расылку намекнут в
какую сторону двигаться.

-- 
WBR, Alexander Kuprin

Re: [Sysadmins] Антивирус + файловый сервер

[Motsyo Gennadi aka Drool]

Alexander Kuprin пишет:
> Возможно, есть ещё варианты использования clamav для проверки файлов
> на лету, буду признателен, если читающие данную расылку намекнут в
> какую сторону двигаться.

	Если траффик идет через squid - есть у меня пакетик squidclamav, можно 
проверять файлы, проходящие через сквид.

Re: [Sysadmins] Антивирус + файловый сервер

[Konstantin A. Lepikhov]

Hi Alexander!

Thursday 20, at 05:11:50 PM you wrote:

> > Имхо лучший вариант - запатчить proftpd, поскольку в новых ядрах (2.6.24+)
> >  CONFIG_SECURITY_CAPABILITIES=m отменили + переписали весь LSM API, т.е.
> >  там получатся не просто догонялки, а патч с нуля.
> 
> Понятно. Буду пропобовать. Хотя остаётся ещё один вариант -- запускать
> clamav по крону, но это не совсем то.
> 
> Возможно, есть ещё варианты использования clamav для проверки файлов
> на лету, буду признателен, если читающие данную расылку намекнут в
> какую сторону двигаться.
на лету - это inotify(7). В сизифе еще были всякие тулзы для данного
интерфейса.

-- 
WBR et al.

Re: [Sysadmins] Антивирус + файловый сервер

[Alexander Kuprin]

20.03.08, Konstantin A. Lepikhov<lakostis@unsafe.ru> написал(а):
> на лету - это inotify(7). В сизифе еще были всякие тулзы для данного
>  интерфейса.

Нашёл в Сети проект inoclam (http://inoclam.sourceforge.net/).
Насколько работоспособно сказать пока трудно, надо будет посомтреть.

-- 
WBR, Alexander Kuprin