Wann ClamAV sinnvoll ist
ClamAV ist ein freier Virenscanner für Linux- und Unix-Umgebungen. Auf Servern ist er besonders sinnvoll, wenn Dateien von Nutzern angenommen, E-Mail-Anhänge verarbeitet oder gemeinsam genutzte Dateiablagen betrieben werden. Er kann Dateien prüfen; er verhindert nicht automatisch die Ausnutzung einer verwundbaren Webanwendung und ersetzt keine Systemhärtung.
Die Anleitung konzentriert sich auf Debian und Ubuntu. Paketaufteilung und Konfigurationspfade variieren je nach Distribution. Die ClamAV-Dokumentation weist darauf hin, dass Distributionspakete häufig eigene Voreinstellungen und Updates enthalten.
Installation und Signaturupdates
sudo apt update
sudo apt install clamav clamav-daemon
sudo systemctl enable --now clamav-freshclam
sudo systemctl enable --now clamav-daemon
sudo systemctl status clamav-freshclam
Die Paketinstallation richtet normalerweise auch den Dienst für Signaturupdates ein. Lassen Sie freshclam regelmäßig laufen, damit die Erkennungsdaten aktuell bleiben. Starten Sie nicht parallel einen manuellen Signatur-Updateprozess, wenn der FreshClam-Dienst bereits die Datenbank sperrt.
Einen kontrollierten Scan ausführen
Für einen ersten gezielten Scan eines Upload-Verzeichnisses:
sudo clamscan --recursive --infected /srv/uploads
Der Befehl meldet gefundene Dateien, löscht oder verschiebt sie aber nicht automatisch. Das ist ein absichtlicher Anfang: Prüfen Sie zuerst, wie Ihr Team mit Funden und möglichen Fehlalarmen umgeht. Für regelmäßige oder größere Scans kann clamd als Hintergrunddienst effizienter sein; konfigurieren Sie ihn entsprechend der offiziellen Anleitung und den Ressourcen Ihrer Umgebung.
Wenn Sie Dateien in einer Webanwendung prüfen, sollte der Scan in einen kontrollierten Upload-Prozess eingebaut werden: Datei zunächst quarantänisieren, Scan-Ergebnis abwarten, erst dann freigeben. Ein Virenscanner sollte nicht mit unnötig weitreichenden Schreibrechten auf Anwendungsdaten laufen.
Grenzen und Betrieb
ClamAV erkennt bekannte Signaturen und bestimmte verdächtige Muster, aber kein Scanner findet jede neue oder gezielt angepasste Schadsoftware. Er schützt nicht vor gestohlenen Zugangsdaten, Fehlkonfigurationen oder ungepatchter Serversoftware. Betrachten Sie ihn als eine zusätzliche Kontrollschicht.
Planen Sie außerdem CPU-, RAM- und Speicherbedarf ein. Bei sehr großen Archiven oder gleichzeitigen Uploads können Scans die Anwendung verlangsamen. Begrenzen Sie Dateigröße und Laufzeit in der Anwendung und überwachen Sie Scan-Fehler, Datenbankaktualität und Warteschlangen.