KZoli: Új oldal, tartalma: „A [https://www.sophos.com/en-us/products/free-tools/sophos-antivirus-for-linux.aspx Sophos Antivirus for Linux] egy teljes értékű ''antimalware'' megoldás, elsősor…”

2018-05-29T21:15:33Z

Új oldal, tartalma: „A [https://www.sophos.com/en-us/products/free-tools/sophos-antivirus-for-linux.aspx Sophos Antivirus for Linux] egy teljes értékű ''antimalware'' megoldás, elsősor…”

Új lap

A [https://www.sophos.com/en-us/products/free-tools/sophos-antivirus-for-linux.aspx Sophos Antivirus for Linux] egy teljes értékű ''antimalware'' megoldás, elsősorban Linux munkaállomások számára. Az alábbi leírás célja nem elsősorban magának a kiszolgálónak a védelme, hanem az azon átmenő (pl. email- vagy proxy kiszolgálás), vagy azon tárolt (pl. web- vagy fájlkiszolgálás) adatok ''malware'' szűrése. Ezért:
* a Sophos AV-t nem rutinszerűen, hanem csak olyan kiszolgálóra telepítjük, amelynél a szolgáltatott adatok szűrését szükségesnek gondoljuk;
* ellentétben a munkaállomásokon szokásos eljárással (amikor lényegében nem használjuk az ''on demand'' vizsgálatot, viszont minden fájlműveletet röptében ellenőrzünk), itt az ''on access'' szkennert nem használjuk (vagy adott tárterületre korlátozzuk), a fájlátviteleket ''on demand'' ellenőrizzük.

A Sophos AV munkaállomásra történő telepítését pl. [{{SERVER}}/index.php/Ubuntu_munka%C3%A1llom%C3%A1s_telep%C3%ADt%C3%A9se_%2816.04_LTS_Xenial_Xerus%29#Sophos_Antivirus_for_Linux_.28ingyenes_v.C3.A1ltozat.29 ez a leírás] tartalmazza.

'''Work in progress''' - még ne vedd komolyan!
==Tulajdonságok==
Ingyenesen, mindössze egy email cím megadása ellenében letölthető és használható megoldás, amely ''on-access'' és ''on demand'' szkennelésre is használható. Az [https://www.av-test.org/en/news/news-single-view/linux-16-security-packages-against-windows-and-linux-malware-put-to-the-test/ AV-Test] által (2015 végén, Ubuntu 12.04 LTS munkaállomáson) elvégzett teszten, a Windows elleni fenyegetések detektálásánál [https://www.av-test.org/typo3temp/_processed_/csm_0915_Linux_Tabelle_scanwerte_neu2_en_43e6000a5c.png 99% feletti eredményt ért el].
* Python alapú, ''standalone'' szoftver, amely magával hozza és a ''/opt/sophos-av/'' alá telepíti összes komponensét és könyvtárát.
* Nem tartalmaz adminisztratív GUI-t (nem követel ''Xorg'' hátteret, illetve az ingyenes változat nem tartalmaz webfelületet sem; parancssorból konfigurálható).
* Az ''on-access'' értesítésekre kernel modult használ, amelyet megpróbál [https://www.sophos.com/en-us/support/knowledgebase/13503.aspx helyben lefordítani]. Ha erre nincs lehetősége, megkísérli a (Debian kernelben alapértelmezetten letiltott) [https://www.sophos.com/en-us/support/knowledgebase/118216.aspx Fanotify] használatát; ha ez is sikertelen, az ''on-access'' szkennelés nem lesz elérhető.
* Alapértelmezetten automatikusan, óránként ellenőrzi a program- és szignatúra frissítéseket.
* Minden eseményről email értesítést képes küldeni.
* Alapértelmezetten használati statisztikát(?) küld a Sophosnak, ez azonban letiltható.

==Telepítés==
Az alapértelmezett telepítés során a ''/opt'' alatt létrehozott könyvtárszerkezetben az adat- és kódterületek nincsenek világosan elkülönítve ('''TODO!'''), így talán már az alaptelepítéskor érdemes a ''/opt/sophos-av'' tárterület számára egy önálló (a ''root'' partícióval azonosan csatolt), kb. 4 GB méretű partíciót létrehozni.

A Sophos AV a Debian terjesztésnek jelenleg nem része, így webhelyéről [https://secure2.sophos.com/en-us/products/free-tools/sophos-antivirus-for-linux/download.aspx töltsük le] a telepítőkészletet, és a ''tarball'' kicsomagolása után, a kicsomagolt mappába belépve, rendszergazdaként indítsuk el a (parancssoros) telepítő scriptet:
<pre>mount -o remount,exec /tmp # Itt futnak majd a kibontott telepítő komponensek
mount -o remount,rw /usr # Írni fog ide is
./install.sh </pre>
* olvassuk el és fogadjuk el a licencet;
* az alapértelmezett ''/opt/sophos-av'' célkönyvtár megfelelő;
* ''on-access'' keresés NEM szükséges (''n'');
* az automatikus frissítést adja a Sophos (''s''), ingyenes változatot fogunk használni (''f''), (általában) nem használunk ''proxy''-t a web eléréséhez (''n'').
Ezután a telepítő lefut (eközben létrehozza a ''sophosav'' Linux rendszerfelhasználót és -csoportot), és el is indítja a Sophos AV-t.

Ellenőrizzük a komponenseket:
<pre>systemctl status sav-protect # A scanner szolgáltatás fut
/opt/sophos-av/bin/savdstatus # Sophos Anti-Virus is active but on-access scanning is not running</pre>
''Megjegyzés:'' a másik két, telepített szolgáltatás közül a távoli vezérlés (''sav-rms.service'') az ingyenes változatban letiltottnak tűnnik ('''TODO!'''), a frissítő szolgáltatást (''sav-update.service'') - úgy tűnik - periodikusan indítja valami ('''TODO!''').

Kérjünk egy teljes frissítést (ha nem tennénk, kb. egy órán belül automatikusan is megtörténne):
<pre>/opt/sophos-av/bin/savupdate</pre>
Ellenőrizzük a frissítést a naplóban:
<pre>/opt/sophos-av/bin/savlog --today # Elmúlt 24 óra eseményei a /opt/sophos-av/log/savd.log állományból</pre>
A sikeres telepítést követően állítsuk vissza a partíciók szigorú csatolását:
<pre>mount -o remount /tmp
mount -o remount /usr</pre>

==Beállítások==
A Sophos AV a saját beállításait a ''/opt/sophos-av/etc'' alatti, XML formátumú állományokban tartja, amelyeket webfelületen ('''TODO!''') vagy a ''savconfig'' parancssori eszközzel kezelhetünk.
===A Sophos AV saját beállításai===
* A Sophos AV - saját naplói mellett - a ''syslog''-ba is küld értesítéseket, amelyeket alapértelmezésben a ''logcheck'' e-mailben továbbít. A nem releváns bejegyzésekről (pl. az óránkénti, sikeres frissítésekről) kapott levelek elkerülésére készíthetünk ''/etc/logcheck/ignore.d.*'' szabályokat ('''TODO!''' - az esetenként több soros logbejegyzések miatt ez nem triviális), vagy (a Sophos AV saját naplóinak megtartásával) egyszerűen letilthatjuk a ''syslog''-ba történő naplózást:
<pre>/opt/sophos-av/bin/savconfig set SyslogNotifier off # Rendszernaplók használata letiltva</pre>
* Vizsgáljuk felül a Sophos AV által küldött email értesítéseket! Mivel nem használunk ''on access'' vizsgálatot, csak azt kell meggondolnunk, hogy az ''on demand'' vizsgálatok esetleges találatairól szeretnénk-e azonnal értesülni. Ha nem, az erre vonatkozó email értesítést kapcsoljuk ki:
<pre>/opt/sophos-av/bin/savconfig set EmailDemandSummaryIfThreat disabled # On demand vizsgálat vírustalálat email kikapcsolva</pre>
* ''Opcionálisan'' kikapcsolhatjuk a ''Sophos Live Protection'' szolgáltatást (amely, ha gyanúsnak tart egy állományt, de helyben nem tudja ''malware''-ként azonosítani, feltölti annak jellemzőit a Sophoshoz, és felhőbeli azonosítást kér). Hacsak nincs rá különös okunk, kikapcsolása általában ''nem javasolt''!
<pre>/opt/sophos-av/bin/savconfig set LiveProtection false # Felhőbeli azonosítás kikapcsolva (nem javasolt!)</pre>
* ''Opcionálisan'' kikapcsolhatjuk a névtelen visszajelzések heti egy alkalommal, a Sophosnak történő elküldését:
<pre>/opt/sophos-av/bin/savconfig set DisableFeedback false # Visszajelzés kikapcsolva</pre>
* '''TODO!'''
===Gyorsteszt===
* Töltsük le és ellenőriztessük az [http://www.eicar.org/85-0-Download.html EICAR] tesztállományt (natívan és tömörítvényben is):
<pre>wget -O /tmp/eicar.com 'http://www.eicar.org/download/eicar.com'
wget -O /tmp/eicar.com.zip 'http://www.eicar.org/download/eicar2com.zip'

savscan -ss -archive /tmp # Mindkettőt meg kell találnia
/opt/sophos-av/bin/savlog --today | less # Látszania kell a naplóban</pre>
Ha nem kapcsoltuk ki az email értesítést az ''on demand'' vírustalálatokról, akkor ellenőrizzük azt is, hogy megérkezett-e ez a levél.
<pre>savscan -ss -archive -remove -nc /tmp</pre>
A fenti paranccsal ismét ellenőrizzük, és le is töröljük a teszt állományokat.

===A Sophos AV bejegyzése a Tiger által ismert démonok közé===
A Sophos AV ''savd'' és ''savscand'' komponenseinek állandóan futniuk kell, így ezeket érdemes bejegyezni a ''tigerrc'' állományba:
<pre>-rw-r--r-- root root /etc/tiger/tigerrc

[...]
Tiger_Running_Procs='[...] /opt/sophos-av/engine/savd /opt/sophos-av/engine/savscand [...]
[...]</pre>
===A Sophos AV monitorozásának engedélyezése a Munin számára===
'''TODO!'''

==Irodalom==
* [https://www.sophos.com/en-us/medialibrary/PDFs/documentation/savl_9_sgeng.pdf Sophos AV Startup Guide] (pdf, angol)
* [https://www.sophos.com/en-us/medialibrary/PDFs/documentation/savl_9_cgeng.pdf Sophos AV Configuration Guide] (pdf, angol)
* [https://www.youtube.com/watch?v=QH9gRThLEag Install, update, and run Sophos Anti-Virus for Linux] (YouTube videó, ~25 perc, angol)

Sophos AV telepítése (Jessie) - Laptörténet

KZoli: Új oldal, tartalma: „A [https://www.sophos.com/en-us/products/free-tools/sophos-antivirus-for-linux.aspx Sophos Antivirus for Linux] egy teljes értékű ''antimalware'' megoldás, elsősor…”