邮件网关为每个可用的防病毒扫描引擎附送 30 天的试用版密钥。通过以下方式可启用试用版密钥：访问“系统设置向导”(System Setup Wizard) 或“安全服务”(Security Services) >“Sophos/McAfee 防病毒”(Sophos/McAfee Anti‑Virus) 页面中的许可协议，或者运行 antivirusconfig 或 systemsetup 命令（在 CLI 中）。一旦接受许可协议，默认情况下将为默认传入和外发邮件策略启用防病毒扫描引擎。有关在 30 天试用期过后如何启用该功能的信息，请与思科销售代表联系。可以通过系统管理 (System Administration) > 功能密钥 (Feature Keys) 页面或发出 featurekey 命令来查看评估的剩余时间。（有关详细信息，请参阅 功能密钥。）

AsyncOS 支持使用多个防病毒扫描引擎扫描邮件 - 多层防病毒扫描。您可以将邮件网关配置为：基于每个邮件策略使用一个或两个许可的防病毒扫描引擎。例如，可以为高管创建一个邮件策略，并将该策略配置为同时使用 Sophos 和 McAfee 引擎扫描邮件。

使用多个扫描引擎扫描邮件可结合 Sophos 和 McAfee 防病毒扫描引擎的优势，提供“深度防御”。每个引擎都具有领先的防病毒捕获率，但由于每种引擎依赖不同的技术基础（在McAfee 防病毒过滤和Sophos 防病毒过滤中已讨论）来检测病毒，所以多次扫描方法更为有效。使用多个扫描引擎可能造成系统吞吐量下降，有关详细信息，请与您的思科支持代表联系。

无法配置病毒扫描的顺序。启用多层防病毒扫描时，McAfee 引擎首先扫描病毒，其次 Sophos 引擎再扫描病毒。如果 McAfee 引擎确定某封邮件无病毒，Sophos 引擎再扫描邮件，可添加第二层保护。如果 McAfee 引擎确定某封邮件包含病毒，邮件网关将跳过 Sophos 扫描，并根据您配置的设置对病毒邮件执行操作。

Sophos 病毒检测引擎的核心是 Sophos 防病毒技术。它使用类似于 Microsoft COM（组件对象模型）的专有架构，其中包括许多带有已明确定义接口的对象。该引擎使用的模块化文件系统基于独立、完备的动态库，每个库处理不同的“存储类”，例如文件类型。这种方法允许在通用数据源中应用病毒扫描操作，不考虑类型。

专业的数据加载和搜索技术，支持该引擎实现快速扫描。其中包含：

• 用于检测多态病毒的完整代码仿真程序
• 用于扫描存档文件内部的在线解压程序
• 用于检测和查杀宏病毒的 OLE2 引擎

邮件网关通过 SAV Interface 与病毒引擎集成。

宽泛来讲，引擎的扫描功能由强强联合的两个重要组件来管理：知道查找位置的分类器和知道查找内容的病毒数据库。引擎按类型对文件分类，而不依赖扩展名。

病毒引擎查找系统收到的邮件正文和附件中的病毒；附件的文件类型有助于确定其扫描。例如，如果邮件的附件是可执行文件，引擎将检查信头，从中得知可执行文件代码的开始位置及其外观。如果该文件是 Word 文档，引擎将在宏数据流中查找。如果是 MIME 文件（用于邮件传输的格式），引擎将在存储附件的位置查找。

检测病毒的方式取决于病毒类型。在扫描过程中，引擎将分析每个文件，识别类型，然后应用相关的技术。所有方法的基本原理都是查找特定类型的指令或指令的特定顺序。

Sophos 每个月会与其他可信防病毒公司交换病毒。此外，客户每个月会直接向 Sophos 发送数千个可疑文件，其中大约 30% 被证实是病毒。每个样本都会在高度安全的病毒实验室进行严格分析，以确定其是否为病毒。对于每个新发现的病毒或病毒组，Sophos 将创建描述。

思科建议启用 Sophos 防病毒扫描的客户在 Sophos 站点 (http://www.sophos.com/virusinfo/notifications/) 上订用 Sophos 警报。从 Sophos 直接订用接收警报，可确保您了解最新的病毒爆发及其可用的解决方案。

检测到病毒时，Sophos 防病毒可以修复（查杀）文件。Sophos 防病毒通常可以修复发现病毒的任何文件，在此之后即可毫无风险地使用该文件。具体采取的操作取决于病毒。

提到查杀病毒可能有所限制，因为并不总是能将文件恢复为原始状态。有些病毒会覆盖部分无法恢复的可执行程序。在这种情况下，需要定义如何处理附件可能无法修复的邮件。使用邮件安全功能可基于每个收件人配置这些设置：邮件策略 (Mail Policies) > 传入或外发邮件策略 (Incoming or Outgoing Mail Policies) 页 (GUI) 或 policyconfig -> antivirus 命令 (CLI)。有关配置这些设置的详细信息，请参阅配置面向用户的病毒扫描操作。

McAfee 使用防病毒定义 (DAT) 文件及扫描引擎检测特定病毒、病毒类型或其他可能不需要的软件。同时，它们还可以从文件中的已知位置开始搜索病毒签名，进而检测简单的病毒。通常，它们只需搜索文件的一小部分便可确定该文件是否未受到病毒侵害。

复杂病毒通常使用两种技巧来规避签名扫描检测：

• 加密。对病毒内的数据加密，使防病毒扫描程序看不到邮件或病毒的计算机代码。当激活病毒时，它会将自身转变为运行版本，然后执行。
• 多态。此过程与加密类似，但病毒会自我复制，改变其外观。

为了应对此类病毒，引擎将使用仿真技术。如果引擎怀疑某个文件包含此类病毒，将创建一个人为环境，在此环境下病毒可以毫无危害地运行，直到其自我解码并显示出真正的形式。然后，引擎通常可通过扫描病毒签名识别该病毒。

仅使用病毒签名时，由于签名尚不可知，引擎无法检测新的病毒。因此，引擎可以使用其他技术 - 启发式分析。

携带病毒的计划、文档或邮件通常具有不同的特性。它们可能会尝试对文件进行自发修改、调用邮件客户端，或者通过其他方式进行自我复制。引擎可分析程序代码，以检测这些类型的计算机说明。此外，引擎还可搜索类似无病毒的合法行为（例如在执行操作前提示用户），由此避免引发错误警报。

通过这些技术，引擎可以检测到许多新的病毒。

检测到病毒时，Sophos 防病毒可以修复（查杀）文件。Sophos 防病毒通常可以修复发现病毒的任何文件，在此之后即可毫无风险地使用该文件。具体采取的操作取决于病毒。

提到查杀病毒可能有所限制，因为并不总是能将文件恢复为原始状态。有些病毒会覆盖部分无法恢复的可执行程序。在这种情况下，需要定义如何处理附件可能无法修复的邮件。使用邮件安全功能可基于每个收件人配置这些设置：邮件策略 (Mail Policies) > 传入或外发邮件策略 (Incoming or Outgoing Mail Policies) 页 (GUI) 或 policyconfig -> antivirus 命令 (CLI)。有关配置这些设置的详细信息，请参阅配置面向用户的病毒扫描操作。

邮件网关中集成的病毒扫描引擎可根据您使用邮件安全管理器功能配置的策略（配置选项），处理传入和外发邮件中的病毒。使用“邮件策略”(Mail Policies) >“传入或传出邮件策略”(Incoming or Outgoing Mail Policies) 页面 (GUI) 或 policyconfig > antivirus 命令 (CLI) 基于每个收件人启用防病毒操作。

丢弃附件标记会对防病毒扫描的工作方式产生很大的影响。当系统配置为“发现病毒且病毒无法修复时，丢弃受感染的附件”(Drop infected attachments if a virus is found and it could not be repaired) 时，将从邮件中清除任何病毒或不可扫描的 MIME 部分。然后，防病毒扫描的输出几乎都是正常邮件。GUI 面板中所示的为不可扫描邮件定义的操作几乎不会执行。

在“仅扫描病毒”环境中，这些操作将通过丢弃邮件不安全的部分来“清理”邮件。只有 RFC822 信头本身遭受攻击或遇到一些其他问题，才会执行不可扫描的操作。但是，如果为“仅扫描病毒”(Scan for Viruses only) 配置了防病毒扫描，但未选择“发现病毒且病毒无法修复时，丢弃受感染的附件”(Drop infected attachments if a virus is found and it could not be repaired)，则很可能执行不可扫描操作。

下表列出了一些常用的防病毒配置选项

常用的防病毒配置选项

下图说明防病毒操作和选项对邮件网关处理的邮件有何影响。

Note	如果已配置多层防病毒扫描，则思科设备将首先使用 McAfee 引擎执行病毒扫描，其次是 Sophos 引擎。它将使用两个引擎扫描邮件，除非 McAfee 引擎检测到病毒。如果 McAfee 引擎检测到病毒，邮件网关将执行为邮件策略定义的防病毒操作（修复、隔离等）。

Sophos 和 McAfee 经常根据新确定的病毒更新其病毒定义。必须将这些更新传递到您的邮件网关。

默认情况下，邮件网关配置为每 5 分钟检查一次更新。对于 Sophos 和 McAfee 防病毒引擎，服务器通过动态网站进行更新。

只要将更新有效下载到邮件网关中，系统在更新时就不会超时。如果更新下载由于时间太长而暂停，则下载超时。

系统等待更新完成的最长时间（超过该时间将超时）是一个动态值，定义为比防病毒更新间隔少 1 分钟（在“安全服务”[Security Services] >“服务更新”[Service Updates] 中定义）。对于下载可能超过 10 分钟才能完成的大型更新时连接较慢的设备，此配置值比较有利。

通过“安全服务”(Security Services) >“服务更新”(Service Updates) 页面，可配置病毒更新设置。例如，您可以配置系统接收防病毒更新的方式和检查更新的频率。有关这些其他设置的详细信息，请参阅服务更新。

您可以使用安全服务 (Security Services) > Sophos 或 McAfee 页面（或 antivirusstatus CLI 命令）验证邮件网关是否已安装最新防病毒引擎和身份文件，并确认最后执行更新的时间。

也可以手动执行更新请参阅 手动更新防病毒引擎

您可以查看更新程序日志，验证是否已成功下载、提取或更新防病毒文件。使用 tail 命令可显示更新程序日志订用的最后条目，确保已获取病毒更新。