AMP para las puntos finales: Opciones de definición de virus de ClamAV en Linux

Introducción

Comenzando con la versión 1.11.0 del conector de Linux, el AMP para las puntos finales ahora ofrece dos opciones de configuración de la definición de virus de ClamAV:

1. Linux-solamente
2. ClamAV lleno

Antes de la opción de Linux-solamente que está disponible, el conector de Linux ficheros analizados usando el conjunto completo de la definición de virus de ClamAV. Este conjunto incluye las firmas del malware para Linux, MaOS, Windows y Android. Aunque esto proporcione a la amplia cobertura, también requiere los recursos significativos del tiempo de ejecución (es decir, hora de la CPU y memoria). Algunos sistemas Linux pueden beneficiarse de configurar el AMP para utilizar el conjunto más pequeño de la definición de virus de Linux-solamente ClamAV.

El tamaño del archivo de definición de virus de Linux-solamente es menos el de 10% del Conjunto completo. Usando un conjunto más pequeño reduce el computar de los gastos indirectos y permite ejecutar el AMP en los sistemas obligados recurso. A pesar de las ventajas del funcionamiento, la cobertura reducida para el malware de no-Linux hace esta configuración solamente conveniente para algunas aplicaciones. E.g., sería conveniente para los servidores que reciben solamente/los ficheros de Linux del almacén (tales como servidores de aplicaciones) pero no sería conveniente para los servidores que también reciben/los ficheros de no-Linux del almacén (tales como FTP, correo y servidores de archivos SMB). El administrador de sistema debe equilibrar este equilibrio para elegir el conjunto apropiado de las definiciones de virus.

¡IMPORTANTE!

Se recomienda altamente que todas las puntos finales estén actualizadas a la versión 1.11.0 posterior del conector antes de usar la nueva opción de definición de virus de Linux-solamente. Mientras que 1.10.x y más viejas versiones del conector validarán la nueva opción, su comportamiento no será en algunos casos intuitivo. Refiera a la sección de la compatibilidad hacia atrás para los detalles.

Compatibilidad hacia atrás

Hay al revés un problema de compatibilidad importante a considerar antes de configurar las puntos finales para utilizar la nueva opción de definición de virus de Linux-solamente: 1.10.x y conectores más viejos continuarán utilizando la definición de virus completa si habían descargado al Conjunto completo ya. Si está configurado para utilizar la nueva opción de definición de virus de Linux-solamente, el conector parará el poner al día de la definición de virus completa fijada y pondrá al día solamente la definición de virus de Linux fijada después de eso. Esto puede dar lugar a la punto final usando las definiciones de virus actualizadas de Linux pero MaOS anticuado, las definiciones de Windows, y de Android.

Hay dos soluciones posibles:

1. Actualice el conector a 1.11.0 o más adelante.
2. Cambie la configuración de la definición de virus de ClamAV de nuevo a ClamAV lleno.

Cambio de la opción de definiciones de virus de ClamAV

La opción de definición de virus de ClamAV se puede configurar usando el AMP para el portal web de las puntos finales. La opción para cada directiva puede ser cambiada navegando a:

La Administración > las directivas > el [Linux Policy] > corrigen > avanzaron las configuraciones > ClamAV

Después de que se cambie la configuración de la directiva de las definiciones sistema de pesos americano, la nueva configuración toma el efecto sobre las puntos finales en la actualización programada siguiente de la definición de virus. Ese retraso es gobernado por la configuración interna de la directiva del `de la actualización del contenido del `.

Los “algunos conectores se deben poner al día para utilizar esta definición de virus” que advierte pueden aparecer en la pantalla avanzada ClamAV de las configuraciones si por lo menos un conector manejado por la directiva está funcionando con una versión incompatible del conector de Linux. Se recomienda altamente para actualizar los conectores y para resolver esta advertencia antes de usar la determinación de las definiciones de Linux-solamente.

Verificar la nueva configuración en la punto final

Cuando está configurado para utilizar las definiciones de Linux-solamente, el tamaño de la memoria residente combinado de los dos procesos del conector AMP debe estar debajo de 100 MB.

Esto se puede examinar usando el comando siguiente:

top -p `pidof ampdaemon` -p `pidof ampscansvc`

A continuación se incluye un ejemplo de salida: