Inhalt

Frage

Frage

Wie decodiere ich den X-IronPort-AV-Header?

Im Rahmen des Anti-Virus-Scans fügt die ESA einen X-IronPort-AV-Header hinzu, der Details des AV-Scanergebnisses codiert. Dieser Header kann bei Bedarf im Rahmen der Virenschutzkonfiguration deaktiviert werden. Hier sind einige Beispiel-Header.

X-Ironport-AV: i=""3.84,87,1091404800"";

d=""scan'217,208""; a=""76:sNHT50174724""

X-Ironport-AV: i=""3.83,108,1088978400"";

d=""scan'208""; a=""0:sNHT0""

X-Ironport-AV: i=""3.83,93,1089000000"";

d=""scan'217,208""; a=""1233:sNHT25086908""

X-Ironport-AV: i="3.81R,139,1083556800"; e="0x80040202'u";

d="scan'217,208?doc'217,208,186,179,178,32";

a="2645030:sNHsT231932724"

Obwohl einige der enthaltenen Codes spezifisch für die Sophos-Engine sind und hier nicht dokumentiert sind, können Sie viele Informationen aus dem Verständnis der Struktur dieses Headers ableiten. Der Schlüssel zum Decodieren des X-IronPort-AV-Headers lautet wie folgt:

Code

Bedeutung

Inhalt

i

Versionsinformationen

- Produktversion

- Idenzahl

- IDE-Serie

o

Fehler

Fehlercode (hex) plus einer der folgenden Werte:

- "i" wird ignoriert

- "u" nicht scanbar

- "e" verschlüsselt

- "t"-Zeitüberschreitung

- ‚f‘ tödlich

- "j" savi-bug (ignoriert)

- "s" savi-bug (nicht scannbar)

- "z" unbekannt

v

Virenliste

- Virusname

- Teilenummer

- infos: "r" Reparatur "d" Drop "u" unscannable "e" verschlüsselte "v" virale

g

Dateidetails

- Verlängerung

- Typencodeliste

a

Nachrichtenaktionen

- mid ':' (Aktionsabschnitt)

- "a" archiviert ?

- "s" gesendet | "d" verworfen | "f" weitergeleitet

- "x" bestimmte Fehler (Timeout, RPC-Verbindung fällt aus usw.)

- 'N' (Abschnitt "Benachrichtigung")

- s-Absender

- Empfänger "r"

- "o" andere

- 'H' (Kopfzeilen-Abschnitt)

- Betreff "s" geändert

- Benutzerdefinierter Header "h" geändert

- ‚T‘ (Zeitabschnitt)

- Verstrichene NNN-Zeit