ClamAV

Size: px

Start display at page:

Download "ClamAV"

あゆみわくや
5 years ago
Views:

1 ClamAV Days In the Internet, open source developers met. Their relation defense the net, and users selects their apps. クラムエーヴイデイズ KOJIMA Hajime

2 ClamAV って何? UNIX/Linux 用のアンチウイルスソフト内容物ウイルススキャナスタンドアロン版 clamscan デーモン版 clamd / clamdscan シグネチャ更新用デーモン freshclam milter デーモン clamav-milter milter sigtool

3 開発開発主体 : ClamAV team SourceFire に買収された今のところはパトロンがついた程度の認識でよい? 開発は活発新たな機能追加もリリース毎に行われているセキュリティホールもときどき見つかるリリース毎に fix されている

5 特徴フリー使い物になる拡張できる

6 フリー

7 フリーライセンス : GNU GPL version 2 ソースとバイナリを再配布できる改変可能ただし改変版を公開する場合は改変部分のソースも要公開

8 フリーなので Windows 移植版 ClamWin: Cygwin を利用したものオンデマンドスキャンのみ安定して動作する Moon Secure AntiVirus: ClamAV エンジンを利用した Windows ネイティブアプリ sourceforge.net/projects/moonav/ オンアクセススキャンにも対応複数エンジン搭載まだ安定していない?

11 使い物になる

12 使い物になる安定して動作ぶっちゃけ検出力は今ひとつエンジンの性能検体採取体制オンアクセススキャンには未対応商用アンチウイルスソフトの補助としてなら十分有用商用ソフトよりも対応がよい場合もある

13 milter 対応 sendmail のメールフィルタリング API 8.10 以降 ( オプション ) 8.12 以降 ( 標準 ) postfix 2.3 以降 ( 標準 ) こんな感じで sendmail.mc に設定する INPUT_MAIL_FILTER(`clmilter', `S=local:/var/run/clamav/clmilter.sock var/run/clamav/clmilter.sock,, F=, T=S:4m;R:4m')dnl define(`confinput_mail_filters', `clmilter` clmilter') postfix なら main.cf に smtpd_milters = unix:/var/run/clamav/clmilter.sock milter_default_action = accept

14 ウイルスシグネチャを自作できる MD5 を利用したシグネチャの例 % sigtool --md5 ossec-agent agent-win exe d4b2e9fcc540bf1ae4bfb00618cf2559:205698:ossec-agent agent-win exe # sigtool --md5 ossec-agent agent-win exe >> /var/db/clamav/test.hdb/ % clamscan ossec-agent agent-win exe ossec-agent agent-win exe: : ossec-agent agent-win exe FOUND % clamdscan ossec-agent agent-win exe /home/kjm/ossec-agent agent-win exe: ossec-agent agent-win exe FOUND

15 ウイルスシグネチャを自作できる特徴抽出したシグネチャの例 % strings withlove.exe ( 中略 ) fppaddingxxpaddingpaddingxxpaddingpaddingxxpaddingpadd INGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXP ADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDING PADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDIN GXXPADDINGPADDINGXXPADDING % echo -n n PADDINGPADDINGXXPADDINGPADDINGXX sigtool --hex hex- dump e e e e %

16 ウイルスシグネチャを自作できる特徴抽出したシグネチャの例 ( つづき ) % cat test.db hoge.hoge-1= e e e e % clamscan --database= database=test.dbtest.db withlove.exe install_flash_player.exe withlove.exe: : hoge.hoge-1 1 FOUND install_flash_player.exe: : OK 他にもいろいろ参照 : docs/signatures.pdf signatures.pdf ClamAV のソース

17 拡張できる

18 拡張できる 3rd party 製シグネチャ SaneSecurity - Phishing and Scam Signatures for ClamAV matcha139/sanesecurity.ppt MTA 用ツール Qmail: Qmail-Scanner scanner.sourceforge.net/ Exim: Exim 4.5 以降でネイティブサポート

19 拡張できる ClamAV 付き http proxy HAVP (HTTP AntiVirus proxy) side.de/index.htm Apache モジュール mod_clamav software.othello.ch/mod_clamav/ mod_streamav streamav.sourceforge.net/

20 拡張できる ClamFS - FUSE を使ったユーザ空間ファイルシステム clamfs.sourceforge.net/ Dazuko - A Virtual Device Driver to Allow Online File Access Control Linux, FreeBSD samba-vscan - samba の VFS (virtual file system) 機能を利用 vscan

21 拡張できるその他にもいろいろ tools/

22 まとめ ClamAV はフリー使い物になる拡張できる使える道具は便利に使おう

23 特許の話

24 ,.=-''' ` - / \./.\ { }. / ""''-=,,,,_,,,,,,==-'''"\.l,.(,. - '.,. -,.} l >,= ニ \ '' _,= ヘ r' {_ /~''i //_\_..`7 l {'' / `> ヽ r`i l.{`./ ヽ二ニゝチ!. ゝ rニ二 r }! i l { {(l { ノヽ :: } ソ / トレンドマイクロの者だがヽヽ.{ / \ i. // \.i /,,.. l._,,. \ i!/ 乂 i / - (,)- ' { 丿.l.!.,.!.,., / 人 \.!''''" ~ `''! / 人./.\,\ '-"" -' / /. ヽノ.{ \. ヽ,.,.:, イ / } ヽ -' l `' `..} ヽ

25 ,.=-''' ` - / \./.\ { }. / ""''-=,,,,_,,,,,,==-'''"\.l,.(,. - '.,. -,.} l >,= ニ \ '' _,= ヘ r' {_ /~''i //_\_..`7 l {'' / `> ヽ r`i l.{`./ ヽ二ニゝチ!. ゝ rニ二 r }! i l { {(l { ノヽ :: } ソ / 特許 No.5,623,600 の件だヽヽ.{ / \ i. // \.i /,,.. l._,,. \ i!/ 乂 i / - (,)- ' { 丿.l.!.,.!.,., / 人 \.!''''" ~ `''! / 人./.\,\ '-"" -' / /. ヽノ.{ \. ヽ,.,.:, イ / } ヽ -' l `' `..} ヽ

26 ゴルゴの話 Barracuda Network を提訴 ClamAV を同梱している製品を販売 Barracuda が敗訴した場合理論的には ClamAV を利用している組織の多くが特許違反?! これまでのターゲットマカフィー WebShield GroupShield シマンテック Norton Antivirus for Internet E-E mail Gateways Fortinet のアプライアンス製品

KASPERSKY ENDPOINT SECURITY FOR BUSINESS IT IT IT IT IT Kaspersky Endpoint Security for Business IT IT IT IT 2013 NAC Advanced 2013 Select Select Work

KASPERSKY ENDPOINT SECURITY FOR BUSINESS IT IT IT IT IT Kaspersky Endpoint Security for Business IT IT IT IT 2013 NAC Advanced 2013 Select Select Workstation Core / + Web Kaspersky Security Center Kaspersky