Configurar Clamav para varreduras diárias do sistema e notificação por e-mail no Debian

Hoje, vamos dar uma olhada no software antivírus ClamAV e como usá-lo para proteger seu servidor ou desktop. Vou mostrar como configurar o ClamAV para escanear todos os arquivos do sistema, site e e-mail diariamente e notificá-lo por e-mail caso um vírus seja detectado. Para aqueles que não conhecem o ClamAV, o ClamAV é uma solução de software antivírus de código aberto disponível em todas as distribuições Linux. Um dos requisitos deste guia é que seu servidor já tenha um serviço de e-mail funcionando.

Este tutorial funciona bem em sistemas Debian, mas deve ser compatível com sistemas Ubuntu também.

Instalação e configuração

Primeiro, executamos o comando para instalar o Clamav e uma ferramenta para enviar notificações por e-mail.

apt-get update && apt-get install clamav clamav-freshclam heirloom-mailx

Certifique-se de que a definição de vírus será atualizada com o comando:

service ClamAV-freshclam start

Por padrão, o ClamAV fará uma verificação de novas definições de vírus a cada hora; se você quiser mudar esse parâmetro, pode editar o arquivo /etc/clamav/freshclam.conf.

nano /etc/clamav/freshclam.conf

E mude a seguinte linha:

# Check for new database 24 times a day
Checks 24

para

# Check for new database 1 times a day
Checks 1

neste caso, a verificação será feita apenas uma vez por dia. Sugiro que você deixe 24 vezes por dia.

Para fazer uma atualização manual das definições de vírus, você pode executar:

freshclam -v

Habilitar notificação e agendar a varredura

No script a seguir, modifique a variável DIRTOSCAN para especificar os diretórios que você deseja escanear.

Criamos o arquivo /root/clamscan_daily.sh

nano /root/clamscan_daily.sh

e colamos o seguinte código:

#!/bin/bash
LOGFILE="/var/log/clamav/clamav-$(date +'%Y-%m-%d').log";
EMAIL_MSG="Por favor, veja o arquivo de log anexado.";
EMAIL_FROM="[email protected]";
EMAIL_TO="[email protected]";
DIRTOSCAN="/var/www /var/vmail";

for S in ${DIRTOSCAN}; do
 DIRSIZE=$(du -sh "$S" 2>/dev/null | cut -f1);

 echo "Iniciando uma varredura diária do diretório "$S".
 A quantidade de dados a ser escaneada é "$DIRSIZE".";

 clamscan -ri "$S" >> "$LOGFILE";

 # obter o valor de "Linhas Infectadas"
 MALWARE=$(tail "$LOGFILE"|grep Infected|cut -d" " -f3);

 # se o valor não for igual a zero, envie um e-mail com o arquivo de log anexado
 if [ "$MALWARE" -ne "0" ];then
 # usando heirloom-mailx abaixo
 echo "$EMAIL_MSG"|mail -a "$LOGFILE" -s "Malware Encontrado" -r "$EMAIL_FROM" "$EMAIL_TO";
 fi 
done

exit 0

Você pode mudar as duas variáveis EMAIL_FROM e EMAIL_TO para refletir os endereços de e-mail desejados e mudar a lista de diretórios a serem escaneados na variável DIRTOSCAN.

Salve o arquivo com ( ctrl+o ), e mude a permissão da seguinte forma:

chmod 0755 /root/clamscan_daily.sh

Agora habilite a execução diária do script criando um symlink no diretório /etc/cron.daily/:

ln /root/clamscan_daily.sh /etc/cron.daily/clamscan_daily

Agora você deve ser capaz de receber a notificação por e-mail uma vez por dia para vírus ou malware em seus arquivos de e-mail ou sites. O ClamAV também escaneia o conteúdo de arquivos PHP em busca de malware ou outro conteúdo potencialmente malicioso.

Testar o script

Nesta configuração, o ClamAV não fará nenhuma ação sobre os vírus encontrados, ele apenas os relatará. Portanto, não se preocupe, nada será deletado ou alterado. Para testar o script, basta executar:

/root/clamscan_daily.sh

Após o comando ser finalizado, haverá dois estados possíveis:

• Clamav encontrou algum vírus: neste caso, você receberá um e-mail na sua caixa de entrada com o log anexado.

• Clamav não encontrou nada, ou algo deu errado. Neste caso, você precisará verificar o que o log diz. Para verificar os logs, você deve checar em /var/log/clamav/

Vou anexar um pequeno exemplo de log para saber o que você deve ler:

Iniciando uma varredura diária do diretório /var/www. A quantidade de dados a ser escaneada é 36G.
Mon Jun 15 13:17:14 CEST 2015

----------- RESUMO DA VARREDURA -----------
Vírus conhecidos: 3841819
Versão do motor: 0.98.4
Diretórios escaneados: 47944
Arquivos escaneados: 316827
Arquivos infectados: 0
Dados escaneados: 17386.77 MB
Dados lidos: 34921.59 MB (razão 0.50:1)
Tempo: 1432.747 seg (23 m 52 s)
Mon Jun 15 13:41:06 CEST 2015
------------------------------------------------------
------------------------------------------------------
Iniciando uma varredura diária do diretório /var/vmail. A quantidade de dados a ser escaneada é 7.0G.
Mon Jun 15 13:41:27 CEST 2015
/var/vmail/domain.tld/info/Maildir/.Cestino/cur/1386677288.M361286P15524.domain.tld,W=2675,S=2627:2,S: Heuristics.Phishing.Email.SpoofedDomain ENCONTRADO
/var/vmail/domain.tld/info/Maildir/.Cestino/cur/1371451873.M697795P19793.domain.tld,W=5421,S=5353:2,S: Heuristics.Phishing.Email.SpoofedDomain ENCONTRADO
/var/vmail/domain.tld/info/Maildir/.Cestino/cur/1390203133.M981287P17350.domain.tld,W=3223,S=3157:2,S: Heuristics.Phishing.Email.SpoofedDomain ENCONTRADO
/var/vmail/domain.tld/info/Maildir/.Cestino/cur/1386677288.M361285P15524.domain.tld,W=2270,S=2227:2,S: Heuristics.Phishing.Email.SpoofedDomain ENCONTRADO

Neste caso, o ClamAV encontrou algum e-mail de phishing em [email protected], então, neste caso, você também receberá o e-mail.

É isso!