KASPERSKY LAB. Kaspersky Anti-Virus for Linux Server PODRĘCZNIK ŻYTKOWNIKA

Transkrypt

1 KASPERSKY LAB Kaspersky Anti-Virus for Linux Server PODRĘCZNIK ŻYTKOWNIKA

2 KASPERSKY ANTI-VIRUS FOR L I N U X S E R V E R Podręcznik Użytkownika Kaspersky Lab Polska Tel. (34) Fax. (34) Marzec

3 Spis treści 1. KASPERSKY TM ANTI-VIRUS FOR LINUX SERVER Wstęp Pakiet dystrybucyjny Elementy pakietu dystrybucyjnego Umowa Licencyjna Karta rejestracyjna Pomoc techniczna Informacje zawarte w tym podręczniku Symbole użyte w dokumentacji INSTALACJA KASPERSKY ANTI-VIRUS FOR LINUX Wymagania systemowe Tworzenie kopii zapasowej dyskietek Instalacja krok po kroku z użyciem narzędzia instalacyjnego bez pomocy narzędzia instalującego Przygotowanie do uruchomienia Redagowanie pliku.ini Redagowanie ścieżki dostępu do plików tymczasowych Dostosowywanie oprogramowania do indywidualnych potrzeb URUCHAMIANIE KASPERSKY ANTI-VIRUS FOR LINUX Modyfikowanie ustawień testowania Uruchamianie testu Uruchamianie uaktualniania antywirusowych baz danych PROGRAM SCANNER: TESTOWANIE I LECZENIE Uruchamianie programu Scanner Wyszukiwanie i usuwanie wirusów

4 SPIS TREŚ CI Ładowanie skanera antywirusowego Obsługa zainfekowanych obiektów Obsługa uszkodzonych obiektów Obsługa podejrzanych obiektów Przeglądanie statystyk dotyczących wydajności SCANNER ORAZ DAEMON: KORZYSTANIE Z PRZEŁĄCZNIKÓW ORAZ PROFILI Ustawienia testowania Jak zmieniać ustawienia? Konfigurowanie lokalizacji obiektów przeznaczonych do testowania Definiowanie lokalizacji obiektów przeznaczonych do testowania Definiowanie obiektów przeznaczonych do testowania Typy obiektów Sektory Pliki Spakowane pliki uruchamialne Archiwa Pocztowe bazy danych oraz pocztowe formaty tekstowe Osadzone obiekty OLE Definiowanie reakcji na wystąpienie zainfekowanych, podejrzanych oraz uszkodzonych obiektów Definiowanie wykorzystania zaawansowanych narzędzi testujących Ustawienia łączne lokalizacji obiektów przeznaczonych do testowania Ustawienia łączne Definiowanie ustawień testu oraz działania: Scanner oraz Daemon Definiowanie reakcji na wystąpienie zainfekowanych i podejrzanych obiektów

5 SPIS TREŚ CI Definiowanie ustawień raportu PROCES DAEMON: INTEGROWANIE OCHRONY ANTYWIRUSOWEJ Z KLIENTAMI Cechy programu Daemon Uruchamianie procesu Daemon Wywoływanie procesu z programu klienckiego KEEPER: WYKRYWANIE I USUWANIE WIRUSÓW W SYSTEMACH POCZTOWYCH: SENDMAIL, QMAIL, POSTFIX ORAZ EXIM Cechy programu Keeper Integrowanie Kaspersky Anti-Virus for Linux z sendmail Integrowanie Kaspersky Anti-Virus for Linux z qmail Integrowanie Kaspersky Anti-Virus for Linux z Postfix Integrowanie Kaspersky Anti-Virus for Linux z Exim Konfigurowanie programu Keeper Wprowadzenie Przetwarzania zainfekowanych wiadomości dla grupy adresów Informacje podstawowe Grupy adresów i adresy To/From Sprawdzać albo nie sprawdzać Definiowanie przetwarzania wiadomości po procesie testowania Filtrowanie poczty ze względu na dołączone pliki Dostarczanie zainfekowanych wiadomości do administratora Powiadamianie nadawcy Definiowanie atrybutów powiadomienia Log Komunikacja pomiędzy programem Keeper a procesem demona Uruchamianie programu Keeper

6 SPIS TREŚ CI 8. ANTI-VIRUS MONITOR: ANTYWIRUSOWE MONITOROWANIE SYSTEMU Możliwości i funkcje Kompilacja i konfiguracja Kompilacja programu Monitor Konfigurowanie programu Monitor Uruchamianie programu Monitor Przeglądanie rezultatów działania Problemy i ich rozwiązywanie SLOGAN: PRZETWARZANIE I SUMOWANIE RAPORTÓW Możliwości i funkcje Uruchamianie programu Slogan Slogan w trybie monitorowania w czasie rzeczywistym TUNER: KONFIGUROWANIE PROGRAMÓW SCANNER I DAEMON Możliwości i funkcje Uruchamianie programu Tuner Interfejs Tworzenie, edytowanie i zapisywanie profilu Strona Location Definiowanie lokalizacji przeznaczonej do testowania Definiowanie ustawień skanowania dla pojedynczego katalogu Okno Property katalogu: wybieranie wymaganego katalogu Okno Property katalogu: obiekty przeznaczone do testowania Okno Property katalogu: definiowanie akcji antywirusowych Okno Property katalogu: definiowanie użycie zaawansowanych narzędzi skanowania. Strona Options Strona Options

7 SPIS TREŚ CI Strona Report Strona ActionWith Strona Customize WEBTUNER: ZDALNA ADMINISTRACJA PROGRAMEM Cechy i funkcje Ogólny opis działania programu Instalacja programu WebTuner: prawa dostępu Komponenty programu WebTuner Konfigurowanie serwera www oraz programu WebTuner Prawa serwera Prawa uruchamiania serwera Prawa uruchamiania programu WebTuner Uruchamianie WebTuner Interfejs Definiowanie konfiguracji programu WebTuner Ustawienia programu WebTuner Strona main: parametry działania programu WebTuner Strona modules: ustawienia zdalnej administracji WebTuner: administracja programem Daemon Ustawienia programu Daemon Zdalna konfiguracja programu Daemon Okno Profile tuning Strona objects: lokalizacja do skanowania Strona options: ustawienia skanowania Strona actions: sposób obsługi obiektów Strona report: ustawienia raportowania Strona customs: zaawansowane ustawienia skanowania Zdalne uruchamianie programu Daemon Przeglądanie pliku raportu WebTuner: administrowanie programem Scanner

8 SPIS TREŚ CI Ustawienia programu Scanner Scanner settings Zdalna konfiguracja programu Scanner Zdalne uruchamianie programu Scanner Przeglądanie pliku raportu WebTuner: administrowanie programem Updater WebTuner: administrowanie programem Keeper Ustawienia programu Keeper Strona main: ustawienia identyfikacji i komunikacji z programem Daemon Definiowanie reguł przetwarzania dla pojedynczej grupy Strona groups: definiowanie grupy Strona masks okna Group: definiowanie nadawców i odbiorców grupy Strona filters okna Group: definiowanie filtru Strona administrator okna Group: powiadomienia dla administratora. Izolowanie zainfekowanych obiektów Strona sender okna Group: powiadomienia dla nadawcy Strona recipient okna Group: wiadomości dla odbiorców grupy Strona users: lista legalnych użytkowników Strona log: dane przeznaczone do raportowania Strona report: definiowanie zawartości powiadomień Lista powiadamianych użytkowników Powiadomienia dla administratora Powiadomienia dla nadawcy Powiadomienia dla odbiorcy Strona restricts: ograniczenia dla programu Keeper UPDATER: UAKTUALNIANIE BAZ DEFINICJI WIRUSÓW Właściwości i funkcje Uruchamianie programu Updater

9 SPIS TREŚ CI Jak uaktualniać bazy antywirusowe? Uaktualnianie przez Internet Uaktualnianie z katalogu sieciowego Uaktualnianie z archiwum Zapisywanie raportu do pliku INSPECTOR: MONITOROWANIE INTEGRALNOŚCI SYSTEMU PLIKÓW Cechy i funkcje Uruchamianie programu Inspector Wiersz poleceń programu Definiowanie lokalizacji do sprawdzania Obsługa nowych i zmodyfikowanych plików Zapisywanie raportu z działania programu CONTROL CENTRE: PLANOWANIE DZIAŁANIA KASPERSKY ANTI-VIRUS FOR LINUX Cechy i funkcje Uruchamianie Control Centre Planowanie działania zadań komponentów pakietu Zapisywanie raportu z działania programu DODATEK A. GŁÓWNE PLIKI DODATEK B. UZUPEŁNIAJĄCE SZCZEGÓŁY O KASPERSKY ANTI-VIRUS FOR LINUX Pliki z ustawieniami programu Scanner i Daemon: plik inicjalizacyjny (AvpUnix.ini) Scanner oraz Daemon: profil (defunix.prf) Scanner oraz Daemon: przełączniki linii poleceń Scanner oraz Daemon: zgłaszane komunikaty Scanner oraz Daemon: kody wyjścia Slogan: szablony raportów Inspector: przełączniki linii poleceń Control Centre: przełączniki linii poleceń

10 SPIS TREŚ CI Monitor: plik konfiguracyjny (monitor.conf) Updater: przełączniki wiersza poleceń Installer: przełączniki linii poleceń Keeper for sendmail: plik konfiguracyjny (kaspersky-av.mc) Keeper for Postfix: plik konfiguracyjny (master.cf) WebTuner: plik konfiguracyjny (loader.cfg) DODATEK C. KASPERSKY LAB Jak się z nami skontaktować?

11 Uwaga! Nowe wirusy pojawiają się codziennie, dlatego w celu zabezpieczenia systemu należy uaktualniać bazy antywirusowe codziennie (patrz poniżej). Należy także pamiętać o uaktualnieniu baz natychmiast po zainstalowaniu programu! Rozdział 1 1. Kaspersky TM Anti-Virus for Linux Server 1.1. Wstęp Czym jest Kaspersky Anti-Virus for Linux? Kaspersky Anti-Virus for Linux Server (Kaspersky Anti-Virus for Linux) jest kompletnym systemem ochrony antywirusowej dla komputerów pracujących pod kontrolą systemu operacyjnego Linux. Umożliwia wykrywanie i usuwanie wszystkich obecnie znanych typów wirusów oraz niebezpiecznego oprogramowania, włączając: wirusy polimorficzne i szyfrujące się; wirusy ukrywające się i niewidzialne; wirusy dla Windows 9x, Windows NT, UNIX, OS/2; nowe wirusy dla apletów Java; makrowirusy infekujące dokumenty Word, arkusze programu Excel, prezentacje PowerPoint, pliki pomocy itd.; robaki sieciowe; konie trojańskie. 10

12 WSTĘ P Pakiet zawiera zestaw aplikacji oraz narzędzi antywirusowych. Program kavscanner (skaner antywirusowy) umożliwia, na żądanie użytkownika, testowanie systemu pod kątem obecności wirusów 1. Proces antywirusowy kavdaemon (demon antywirusowy) umożliwia integrację procesów testowania z programami użytkownika. Monitor antywirusowy kavmonitor (Monitor) monitoruje pliki otwierane i uruchamiane w systemie Linux pod kątem obecności wirusów. Program slogan umożliwia przetwarzanie i podsumowywanie danych zawartych w raportach generowanych przez programy Scanner oraz Daemon. Kavupdater umożliwia uaktualnianie antywirusowych baz danych, które są wykorzystywane przez inne składniki podczas testowania systemu na obecność wirusów.!"podczas testowania w poszukiwaniu wirusów Kaspersky Anti-Virus for Linux korzysta z antywirusowych baz danych, zawierających informacje umożliwiające wykrywanie i usuwanie wielu wirusów. Kaspersky Lab codziennie publikuje uaktualnienia antywirusowych baz danych. W skład pakietu wchodzi także specjalny program konfigurujący kavtuner, który umożliwia zmianę ustawień ochrony antywirusowej skanera i demona antywirusowego. Korzystając z programu kavinspector (inspektor) można kontrolować system plików. Pozwala on na monitorowanie zmian w strukturze pliku oraz poszukiwanie wirusów w plikach z uwzględnieniem metod wnikania wirusów do plików. WebTuner umożliwia zdalne zarządzanie pakietem Kaspersky Anti-Virus for Linux. Serwerowe wersje produktu zawierają również programy: kavkeeper for sendmail, kavkeeper for qmail, kavkeeper for Postfix oraz kavkeeper for Exim umożliwiające testowanie poczty elektronicznej w poszukiwaniu 1 Jeżeli dyski sieciowe innego komputera zostały zamontowane w systemie plików użytkownika, pliki z tych dysków również będą testowane. Proces testowania systemu plików oznacza testowanie wszystkich zamontowanych systemów plików. 11

13 WSTĘ P wirusów. Mogą one być zintegrowane z następującymi systemami pocztowymi: sendmail, qmail, Postfix oraz Exim. Działanie wszystkich komponentów Kaspersky Anti-Virus for Linux może być koordynowane za pomocą programu kavucc (centrum sterowania), pozwalającego użytkownikowi na zaplanowanie automatycznego startu komponentów oraz wyświetlanie informacji o stopniu wykorzystania licencji i użytkownikach Kaspersky Anti-Virus for Linux 1.2. Pakiet dystrybucyjny Co zawiera pakiet dystrybucyjny? Umowa Licencyjna. Karta rejestracyjna Elementy pakietu dystrybucyjnego Pakiet dystrybucyjny zawiera następujące elementy: zapieczętowaną kopertę z instalacyjną płytą CD (lub dyskietkami) zawierającą pliki produktu; plik klucza; kartę rejestracyjną (z numerem seryjnym produktu); Umowę Licencyjną.!"Przed rozpakowaniem zapieczętowanej koperty zawierającej nośnik instalacyjny, należy uważnie przeczytać postanowienia Umowy Licencyjnej Umowa Licencyjna Umowa Licencyjna (UL) jest legalnym porozumieniem pomiędzy użytkownikiem (jako osobą fizyczną lub firmą) a producentem (Kaspersky Lab Ltd.) opisującą warunki zakupu i użytkowania produktu antywirusowego. 12

14 WSTĘ P #"Nie należy otwierać zapieczętowanej koperty przed zapoznaniem się z postanowieniami Umowy Licencyjnej! Jeżeli użytkownik nie zgadza się z postanowieniami Umowy Licencyjnej, może on zwrócić produkt dystrybutorowi i uzyskać pełny zwrot poniesionych kosztów. Należy jednak upewnić się, że koperta zawierająca nośnik instalacyjny nie została naruszona. Odpieczętowanie koperty oznacza zaakceptowanie warunków Umowy Licencyjnej Karta rejestracyjna Aby zostać zarejestrowanym użytkownikiem, należy wypełnić kartę rejestracyjną i wysłać ją do przedstawiciela Kaspersky Lab w Polsce. W przypadku zmiany adresu korespondencji/ lub numeru telefonu, należy powiadomić przedstawiciela, do którego została wysłana karta rejestracyjna. Użytkownik rejestrując się uzyskuje status zarejestrowanego użytkownika Kaspersky Anti-Virus for Linux, oraz otrzymuje wsparcie techniczne i uaktualnienia antywirusowych baz danych przez okres trwania subskrypcji Pomoc techniczna Usługi świadczone zarejestrowanym użytkownikom. Kaspersky Lab oferuje szeroki pakiet usług dla zarejestrowanych użytkowników pakietu Kaspersky Anti-Virus. Użytkownik, który zarejestrował się i wykupił subskrypcję będzie mógł korzystać z poniższych usług przez cały okres ważności umowy licencyjnej: codzienne uaktualnienia antywirusowych baz danych; powiadomienia o nowych wersjach produktów; 13

15 WSTĘ P doradztwo związane z instalacją, konfiguracją oraz działaniem oprogramowania za pośrednictwem telefonu oraz poczty elektronicznej; powiadamianie o pojawieniu się informacji na temat nowych produktów z linii Kaspersky Anti-Virus lub o pojawieniu się nowych wirusów na świecie (dla użytkowników zapisanych na listę mailingową Kaspersky Lab) #"Kaspersky Lab nie udostępnia informacji na temat działania i użytkowania systemów operacyjnych Informacje zawarte w tym podręczniku Co zostało opisane w tym podręczniku i czego on nie zawiera? 1.5. Symbole użyte w dokumentacji Konwencje przyjęte w tym podręczniku. Tekst dokumentacji został różnie sformatowany w zależności od jego znaczenia. Konwencja Pogrubiona czcionka Znaczenie Nazwy menu oraz jego polecenia, tytuły oraz elementy okien dialogowych, etc. 14

16 WSTĘ P Konwencja Znaczenie!"Notatka. #"Uwaga! $"Aby wykonać działanie: 1. Krok Nazwa elementu kontrolnego funkcja elementu kontrolnego. [przełącznik] opis funkcji przełącznika. Tekst wprowadzony przez użytkownika Tekst informacyjny Dodatkowe informacje, notatki Bardzo ważna informacja Sekwencja działań wykonywanych przez użytkownika Opis drzewa ustawień Przełączniki wiersza poleceń Tekst, który powinien zostać wprowadzony przez użytkownika w linii poleceń. Tekst plików konfiguracyjnych oraz wiadomości informacyjnych programu. 15

17 Rozdział 2 2. Instalacja Kaspersky Anti- Virus for Linux 2.1. Wymagania systemowe Wymagania sprzętowe i systemowe. Aby uruchomić program Kaspersky Anti-Virus for Linux muszą zostać spełnione następujące wymagania systemowe: procesor Intel Pentium (lub kompatybilny), minimum 64 MB pamięci RAM; system operacyjny Linux; biblioteka libnss_compat.so.1; jądro w wersji 2.2.x lub 2.4.x. #"Jądra systemowe w wersjach 2.0.x i wcześniejszych nie są obsługiwane! 16

18 INSTALACJA 2.2. Tworzenie kopii zapasowej dyskietek Jeżeli pakiet Kaspersky Anti-Virus for Linux dostarczony został na dyskietkach instalacyjnych (nie na płycie CD), przed rozpoczęciem instalacji programu zalecane jest utworzenie kopii tych dyskietek. W przypadku uszkodzenia dyskietek podczas instalacji możliwe będzie ich odtworzenie z kopii zapasowych Instalacja krok po kroku z użyciem narzędzia instalacyjnego $"Aby zainstalować Kaspersky Anti-Virus for Linux przy pomocy narzędzia instalującego należy wykonać następujące kroki: 1. Skopiować archiwum z nośnika instalacyjnego na dysk twardy komputera. 2. Rozpakować archiwum przy pomocy polecenia tar zxvf <nazwa archiwum>. Z archiwum zostaną rozpakowane następujące pliki: narzędzie instalujące oraz archiwa zawierające pliki produktu. 3. Uruchomić narzędzie instalujące:./kavinstaller. 4. Jeżeli na ekranie pojawi się pytanie Search in current directory_name?, należy wcisnąć klawisz <Y>, a następnie klawisz <Enter>. Na ekranie pojawi się następujący komunikat: gdzie: In package <ścieżka> found <nazwa> version <numer_wersji > <numer_kompilacji> 17

19 INSTALACJA <ścieżka> ścieżka dostępu do archiwum; <nazwa> nazwa znalezionego oprogramowania; <numer_wersji> numer wersji; <numer_kompilacji> numer seryjny kompilacji programu. 5. Jeżeli pojawi się pytanie Do you want to install it?, należy wcisnąć klawisz <Y>. Po wykonaniu tych czynności instalator zainstaluje Kaspersky Anti-Virus for Linux na komputerze, a następnie spróbuje uruchomić skaner antywirusowy.!"jeżeli z pewnych powodów uruchomienie instalatora nie było możliwe, należy rozpakować archiwa, utworzyć katalog dla programu antywirusowego i skopiować do niego zawartość archiwum (patrz podrozdział 2.3.2). Podczas wykonywania tych czynności należy zignorować komunikat systemu informujący o uszkodzeniu archiwum (system wyświetli ten komunikat, ponieważ archiwum jest podpisane cyfrowo) bez pomocy narzędzia instalującego $"Aby skopiować pliki pakietu Kaspersky Anti-Virus for Linux na dysk komputera należy wykonać następujące czynności: 1. Wybrać katalog systemu plików, w którym ma być zainstalowany Kaspersky Anti-Virus for Linux. 2. W wybranym katalogu utworzyć podkatalog dla programu antywirusowego (przykładowo, /opt/avp lub /usr/lib/avp). 3. Umieścić w napędzie pierwszą dyskietkę instalacyjną lub jej kopię. 4. Zamontować napęd dyskietek w systemie plików. 5. Skopiować wszystkie pliki zapisane na dyskietce do wybranego katalogu. 18

20 INSTALACJA 6. Jeżeli antywirusowe bazy danych mają być przechowywane w oddzielnym katalogu, należy wybrać katalog i utworzyć w nim odpowiedni podkatalog (przykładowo, /opt/avp/bases lub /usr/lib/avp/bases). 7. Umieścić w napędzie drugą dyskietkę instalacyjną i zamontować napęd w systemie plików. 8. Skopiować wszystkie pliki zapisane na dyskietce do utworzonego katalogu (katalog wspólny lub przeznaczony dla antywirusowych baz danych). 9. Powtórzyć kroki 7 i 8 dla pozostałych dyskietek instalacyjnych. 10. Podać ścieżkę dostępu do antywirusowych baz danych w parametrze BasePath znajdującym się w pliku AvpUnix.ini.!"Aby zainstalowane programy mogły być uruchamiane z dowolnego katalogu, należy utworzyć odpowiednie łącza w katalogu /usr/bin lub /usr/local/bin.!"lista plików programu oraz realizowanych przez nie funkcji znajduje się w Dodatku A Przygotowanie do uruchomienia Jak zredagować plik.ini oraz ścieżkę dostępu do katalogu zawierającego pliki tymczasowe? Dostosowywanie oprogramowania do różnych potrzeb Redagowanie pliku.ini Plik inicjacyjny AvpUnix.ini zawiera informacje niezbędne do poprawnej pracy pakietu. Może on znajdować się w jednym z poniższych katalogów: 19

21 INSTALACJA 1. ~/.AVP (katalog użytkownika. Na przykład, /root/.avp lub /home/user1/.avp) 2. /opt/avp/etc 3. /etc/avp #"Podczas uruchamiania, program poszukuje pliku AvpUnix.ini kolejno w katalogach wymienionych powyżej. Jeżeli plik nie zostanie tam znaleziony, program rozpocznie szukanie go w bieżącym katalogu! Jeżeli jest to wymagane, plik AvpUnix.ini może zostać redagowany (szczegółowe informacje dotyczące pliku INI znajdują się w Dodatku В). Redagowanie pliku inicjacyjnego będzie konieczne w następujących przypadkach: Jeżeli antywirusowe bazy danych zostały skopiowane do oddzielnego katalogu, konieczne będzie podanie odpowiedniej ścieżki dostępu w linii BasePath pliku AvpUnix.ini. Jeżeli ścieżka ta nie zostanie podana, program nie odnajdzie antywirusowych baz danych i nie będzie wykrywał żadnych wirusów! Jeżeli zmieniona została nazwa pliku.set (przykładowo, pliku ustawień antywirusowych baz danych), konieczne będzie podanie nowej nazwy w linii SetFile pliku AvpUnix.ini. Jeżeli nazwa ta nie zostanie podana, program nie załaduje antywirusowych baz danych i nie będzie wykrywał żadnych wirusów! #"Podczas redagowania parametru SetFile należy podać tylko nazwę pliku.set. Podawanie ścieżki dostępu do tego pliku nie jest konieczne! Jeżeli pliki kluczy zostały skopiowane do oddzielnego katalogu, konieczne będzie podanie odpowiedniej ścieżki dostępu w linii KeysPath pliku AvpUnix.ini. Jeżeli ścieżka ta nie zostanie podana, wszystkie programy będą pracować w trybie demonstracyjnym (przykładowo, wykryte wirusy nie będą usuwane oraz nie będą testowane archiwa i pocztowe bazy danych).!"zaleca się podawanie bezwzględnych ścieżek dostępu do antywirusowych baz danych oraz do plików kluczy w pliku AvpUnix.ini. 20

22 INSTALACJA Redagowanie ścieżki dostępu do plików tymczasowych Jeżeli pliki tymczasowe skanera oraz procesu demona mają być tworzone w katalogu innym niż /tmp (domyślny katalog, w którym przechowywane są pliki tymczasowe), należy zdefiniować go wykonując poniższe czynności: 1. Utworzyć katalog dla plików tymczasowych, przykładowo /TEMP). 2. Dodać katalog do zmiennej środowiskowej TEMP lub TMP. #"Aby zdefiniować nowy katalog dla plików tymczasowych tworzonych przez inne programy, należy zmienić ustawienia w odpowiednich plikach konfiguracyjnych tych programów Dostosowywanie oprogramowania do indywidualnych potrzeb Jeżeli skaner oraz demon mają być uruchamiane przez różnych użytkowników z innymi, indywidualnymi ustawieniami, należy wykonać poniższe czynności: 1. Utworzyć podkatalog.avp (przykładowo, /root/.avp) w katalogach domowych użytkowników. 2. Skopiować do utworzonych podkatalogów plik AvpUnix.ini oraz defunix.prf. 3. Jeżeli jest to konieczne, zmodyfikować profil (patrz Załącznik B). Jeżeli w linii poleceń programu kavtuner lub programu kavinstaller wykorzystany zostanie przełącznik ua=nazwa (gdzie nazwa jest nazwą użytkownika), programy automatycznie wykonają opisane powyżej czynności. 21

23 Rozdział 3 3. Uruchamianie Kaspersky Anti- Virus for Linux 3.1. Modyfikowanie ustawień testowania Jak zmienić ustawienia testowania? Korzystanie z przełączników linii poleceń oraz z profili. Aby korzystanie z funkcji programu Kaspersky Anti-Virus for Linux było możliwe, konieczne jest zdefiniowanie: obiektów, które będą testowane; sposobu traktowania tych obiektów; sposobu wykorzystania zaawansowanych narzędzi testujących. Program ładuje ustawienia testowania z profilu (plik posiadający rozszerzenie.prf), który zdefiniowany jest w linii DefaultProfile pliku AvpUnix.ini. Profil może być również określony przy użyciu przełączników linii poleceń (patrz podrozdział 4.1). W celu redagowania profilu można: 22

24 URUCHAMIANIE skorzystać z programu kavtuner (patrz rozdział 10) lub z programu WebTuner (patrz rozdział 11). otworzyć i zmodyfikować profil w dowolnym edytorze tekstu (patrz podrozdział 5.2). Możliwe jest zdefiniowanie oddzielnych ustawień dla różnych zadań realizowanych przez program. Przykładowo, jeżeli program ma regularnie wykonywać test zapobiegawczy, nie jest konieczne uruchamianie zaawansowanych narzędzi testujących. Jeżeli jednak istnieje podejrzenie zainfekowania komputera, narzędzia te powinny zostać wykorzystane. Na przykład:./kavscanner V H- /root Powyższa linia poleceń uruchamia skaner antywirusowy w celu przetestowania katalogu /root z wykorzystaniem dwóch zaawansowanych narzędzi testujących testu redundancyjnego oraz analizatora heurystycznego. $"W celu zdefiniowania takich ustawień w pliku defunix.prf należy otworzyć go w dowolnym edytorze tekstu i wprowadzić następujące linie: Names=*/root; RedundantScan=Yes CodeAnylyser=Yes 3.2. Uruchamianie testu Jak uruchomić testowanie komputera w poszukiwaniu wirusów? Przykłady uruchomienia skanera oraz demona. Monitorowanie plików. Wyszukiwanie wirusów w poczcie elektronicznej. Test może być uruchomiony z linii poleceń lub ze skryptu. Przykładowo, linia poleceń uruchamiająca program kavscanner może wyglądać następująco: 23

25 URUCHAMIANIE./kavscanner Po uruchomieniu, skaner automatycznie ładuje ustawienia z pliku zdefiniowanego przez parametr DefaultProfile w pliku AvpUnix.ini. Domyślną nazwą pliku profilu jest defunix.prf. Jeżeli pakiet nie zawiera tego pliku skaner wykorzysta własne ustawienia domyślne. Ustawienia mogą być również zmieniane przy użyciu przełącznika F=nazwa_pliku_profilu w linii poleceń. Test na obecność wirusów może być również wykonywany przy użyciu programu kavaemon. Na początku program ten może być uruchamiany tylko z linii poleceń. Później możliwe będzie wywoływanie demona przez klienta. Gdy demon uruchamiany jest po raz pierwszy, linia poleceń może wyglądać następująco:./kavdaemon Wykonanie powyższego polecenia spowoduje uruchomienie procesu demona i załadowanie antywirusowych baz danych do pamięci. Aby rozpocząć testowanie (przykładowo, katalogów domowych) należy wprowadzić poniższe polecenie:./kavdaemon -o{/home} Demon dziedziczy wszystkie funkcje skanera, jednak niektóre przełączniki linii poleceń tych programów różnią się. Monitor jest zawsze aktywny i nieustannie testuje wszystkie uruchamiane lub otwierane obiekty (szczegółowe informacje dotyczące uruchamiania programu Monitor znajdują się w podrozdziale 8.3). W celu wyszukiwania wirusów w wiadomościach pocztowych przetwarzanych przez systemy pocztowe sendmail, qmail, Postfix oraz Exim, należy skorzystać z odpowiedniej wersji programu Keeper: Keeper for sendmail, Keeper for qmail, Keeper for Postfix lub Keeper for Exim. Programy te dostarczane są wraz z sieciową wersją pakietu Kaspersky Anti-Virus for Linux (szczegółowe informacje dotyczące uruchamiania tych programów znajdują się w rozdziale 7). 24

26 URUCHAMIANIE 3.3. Uruchamianie uaktualniania antywirusowych baz danych Źródła uaktualnień antywirusowych baz danych. Przykład wykorzystania programu Updater. Uaktualnienia antywirusowych bazy danych mogą być pobierane z Internetu lub dostarczane przez dystrybutorów Kaspersky Lab. Podstawowy adres uaktualniania to: ftp://updates1.kaspersky.pl/updates. Pełna lista dostępnych lokalizacji z udostępnianymi uaktualnieniami baz antywirusowych znajduje się pod adresem Aby ochrona komputera przed nowymi wirusami była efektywna, należy regularnie uaktualniać antywirusowe bazy danych. Program Updater wchodzący w skład pakietu Kaspersky Anti-Virus for Linux umożliwia zautomatyzowanie procesu uaktualniania (patrz podrozdział 12.2). Program Updater może być uruchomiony z poziomu linii poleceń:./kavupdater uik=ftp://updates1.kaspersky.pl/updates 25

27 Rozdział 4 4. Program Scanner: testowanie i leczenie 4.1. Uruchamianie programu Scanner Uruchamianie programu Scanner z poziomu linii poleceń lub ze skryptu. Korzystanie z kodów wyjścia. W celu wykonywania okresowego testu komputera na obecność wirusów, należy skorzystać z programu Scanner. Program ten może być uruchamiany z linii poleceń lub ze specjalnie przygotowanego skryptu. #"Jeżeli podczas uruchamiania skaner antywirusowy nie zlokalizuje pliku klucza, to uruchomi się w trybie demonstracyjnym, tzn. wyłączone zostaną opcje poszukiwania wirusów w archiwach oraz wiadomościach pocztowych, a także wyboru akcji przez użytkownika w przypadku wykrycia wirusa. Podczas uruchamiania programu Scanner z poziomu linii poleceń, ustawienia mogą być definiowane przy użyciu odpowiednich przełączników. Poniżej znajduje się ogólny format linii poleceń programu Scanner: 26

28 SCANNER./kavscanner [przełącznik1] [przełącznik2] [...] [przełącznikn] [ścieżka] [maski_plików] gdzie: [przełącznik ] jest opcjonalnym przełącznikiem wiersza poleceń, [ścieżka] jest opcjonalna ścieżką systemu Linux, [maski_plików] to opcjonalne maski plików, które będą testowane. Domyślnie program testuje wszystkie pliki uruchamialne.!"przed uruchomieniem testowania możliwe jest zdefiniowanie ustawień programu, takich jak typ testowanych obiektów, reakcja na wystąpienie zainfekowanych obiektów, uaktywnienie zaawansowanych mechanizmów testowania itp. (patrz podrozdział 5.1). Po uruchomieniu program automatycznie ładuje ustawienia z pliku defunix.prf. Jeżeli utworzony został nowy profil, a jego nazwę podano w linii DefaultProfile pliku AvpUnix.ini, Scanner załaduje ustawienia z nowego profilu. Jeżeli podczas uruchamiania program Scanner nie odnajdzie żadnego profilu, wykorzystane zostaną domyślne ustawienia. Ustawienia zapisane w profilu mogą być zmodyfikowane za pomocą przełączników linii poleceń. Jeżeli ustawienia mają być załadowane z profilu innego niż określony w pliku.ini, należy uruchomić program przy użyciu przełącznika -F=nazwa_pliku_profilu. Lista wszystkich dostępnych przełączników wiersza poleceń znajduje się w Dodatku B. Jeżeli program Scanner uruchamiany jest ze skryptu, możliwe jest przeglądanie zwróconych przez niego kodów wyjścia. Lista wszystkich kodów wyjścia wraz z przykładem ich analizy znajduje się w Dodatku B. Scanner może być uruchomiony z dyskietki instalacyjnej. Zaleca się utworzenie odpowiednich dyskietek startowych i zapisanie na nich pakietu Kaspersky Anti-Virus for Linux wraz z antywirusowymi bazami danych (wymagane będzie kilka dyskietek). Dyskietki takie będą bardzo pomocne podczas odzyskiwania systemu po ewentualnym ataku wirusa.!"jeżeli dla programu Scanner zapisanego na dyskietkach startowych zostanie utworzony profil, należy podać wartość Yes dla parametru UseMemoryFiles (szczegółowe informacje dotyczące tego parametru znajdują się w podrozdziale 5.4.2). 27

29 SCANNER 4.2. Wyszukiwanie i usuwanie wirusów Reakcje na wystąpienie zainfekowanych obiektów. Zalecenia. Komunikaty generowane przez skaner antywirusowy w przypadku usunięcia podejrzanych lub zainfekowanych obiektów oraz komunikaty dotyczące wirusa wykrytego w programie antywirusowym Ładowanie skanera antywirusowego Po uruchomieniu program Scanner ładuje antywirusowe bazy danych. Jeżeli operacja ta zakończy się pomyślnie, na ekranie pojawi się następujący komunikaty: Antiviral databases were loaded. Records: <NNNN> gdzie <NNNN> jest liczbą rozpoznawanych wirusów. Następnie skaner szuka wirusów we własnym kodzie (w module uruchamialnym kavscanner). $"Jeżeli skaner antywirusowy zostanie zainfekowany wirusem, zaproponuje wyleczenie modułu uruchamialnego. W tym przypadku zalecane jest usunięcie zainfekowanego programu i ponowne jego zainstalowanie. Jeżeli nie istnieje taka możliwość należy wybrać opcję disinfect. Po wyleczeniu pliku skaner antywirusowy zasugeruje swoje ponowne uruchomienie i zakończy działanie. $"Jeżeli skaner antywirusowy nie jest zainfekowany, rozpocznie poszukiwanie wirusów w obiektach zdefiniowanych przez użytkownika stosując określone wcześniej ustawienia. 28

30 SCANNER!"Jeżeli nie określono żadnych typów obiektów przeznaczonych do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select Files and/or Sectors in the *.prf file." Jeżeli na ekranie pojawi się taki komunikat, należy określić rodzaje obiektów przeznaczone do testowania.!"jeżeli nie określono żadnej lokalizacji obiektów przeznaczonych do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select at least one directory to scan." Jeżeli na ekranie pojawi się taki komunikat, należy określić lokalizację obiektów przeznaczonych do testowania Obsługa zainfekowanych obiektów W przypadku wykrycia obiektów zainfekowanych wirusem, Scanner będzie próbował je wyleczyć. Niestety leczenie nie zawsze jest możliwe (program wyświetla wtedy odpowiedni komunikat). W takim przypadku należy usunąć zainfekowany obiekt.!"scanner nie leczy plików uszkodzonych przez wirusy, koni trojańskich, plików zapisanych w archiwach oraz pocztowych baz danych i pocztowych formatów tekstowych. #"Podczas pracy z zainfekowanymi i podejrzanymi obiektami należy postępować bardzo ostrożnie. Jeżeli zainfekowane są pliki uruchamialne pod żadnym pozorem nie należy ich uruchamiać. $"Jeżeli skaner antywirusowy został skonfigurowany aby umożliwić użytkownikowi wybór metody traktowania zainfekowanych obiektów, po wykryciu takiego obiektu na ekranie pojawi się jego nazwa, nazwa wirusa oraz możliwość wyboru odpowiedniej reakcji. Poniżej znajduje się przykładowe zapytanie programu Scanner: Actions Report only (OK/disInfect/Delete/Cancel/Stop) 29

31 SCANNER gdzie: Report only program tylko zapisze informacje o zainfekowanym obiekcie w raporcie; disinfect program spróbuje wyleczyć obiekt; wirus zostanie usunięty; zostanie przywrócona poprawna zawartość obiektu; Delete obiekt usunie obiekt; Cancel program zignoruje obiekt i będzie kontynuował testowanie; Stop program przerwie testowanie. Zapytanie może się różnić w zależności od metody wybranej dla poprzedniego zainfekowanego obiektu. Ogólny format zapytania programu Scanner jest następujący: where: Actions <Reakcja_1> (OK/<Reakcja_2>/<Reakcja_3>/Cancel/Stop) <Reakcja_1> jest metodą domyślną. Może to być jedna z następujących reakcji: Report only, desinfect lub Delete; <Reakcja_2> oraz <Reakcja_3> to pozostałe dwie metody z wymienionych powyżej. Polecenia Cancel oraz Stop zawsze znajdują się na końcu zapytania. Aby wybrać metodę domyślną należy wcisnąć na klawiaturze literę odpowiadającą wielkiej literze w nazwie opcji lub klawisz <O> (oznaczający wybranie polecenia OК). Aby wybrać jedną z pozostałych metod należy wcisnąć na klawiaturze literę odpowiadającą wielkiej literze w nazwie opcji. Przykładowo, aby wybrać polecenie disinfect należy wcisnąć na klawiaturze klawisz <I>. $"Jeżeli zainfekowany jest sektor startowy (MBR, tablica partycji) i wybrana została opcja disinfect lub Delete, Scanner wyświetli poniższe ostrzeżenie: 30

32 SCANNER Treatment of sectors is a risky operation! We recommend you to make a complete backup of your drive. Proceed with treatment now? - Yes/No Aby potwierdzić wykonanie operacji należy wcisnąć klawisz <Y> i <ENTER>. Aby anulować należy wcisnąć klawisz <N> i <ENTER>. Jeżeli wykonanie operacji zostanie potwierdzone, Scanner rozpocznie leczenie sektorów i nadpisze je standardowym sektorem startowym MS-DOS 6.0. Jeżeli wykonanie operacji zostanie anulowane, proces testowania zakończy się. W takim przypadku możliwe będzie zamknięcie programu i utworzenie kopii zapasowej dysku przed rozpoczęciem ewentualnego leczenia. Po wybraniu jednej z powyższych metod traktowania zainfekowanych obiektów, na ekranie pojawi się poniższy komunikat: Apply to all Infected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner zastosuje wybraną metodę dla wszystkich zainfekowanych obiektów. Rezultaty testu zostaną zapisane w raporcie Obsługa uszkodzonych obiektów Zainfekowane obiekty nie zawsze mogą być leczone, ponieważ niektóre wirusy nieodwracalnie zmieniają ich zawartość. Obiekty takie powinny być usuwane. $"Jeżeli program nie może wyleczyć obiektu, na ekranie pojawi się poniższy komunikat: gdzie: Disinfecting of <NAZWA_OBIEKTU> infected by virus <NAZWA_WIRUSA> is impossible. Delete this object - Yes/No <NAZWA_OBIEKTU> jest nazwą zainfekowanego obiektu; <NAZWA_WIRUSA> jest nazwą wirusa wykrytego w obiekcie. 31

33 SCANNER Aby usunąć obiekt należy wcisnąć klawisz <Y> oraz <ENTER>. Program usunie obiekt i wyświetli pytanie: Delete all non disinfected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner automatycznie usunie każdy obiekt, którego leczenie nie jest możliwe. Jeżeli odpowiedź będzie przecząca, przy wykryciu kolejnego obiektu, którego nie można wyleczyć, Scanner umożliwi użytkownikowi podjęcie odpowiedniej decyzji. Aby anulować usuwanie obiektu należy wcisnąć klawisz <N> oraz <ENTER>. Program nie usunie obiektu i wyświetli poniższe pytanie: Do not delete all non-disinfected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner automatycznie pominie wszystkie obiekty, których leczenie nie jest możliwe. Jeżeli odpowiedź będzie przecząca, przy wykryciu kolejnego obiektu, którego leczenie jest niemożliwe, program umożliwi użytkownikowi podjęcie odpowiedniej decyzji.!"scanner nie leczy wirusów w pocztowych bazach danych oraz w pocztowych formatach tekstowych. W celu leczenia wiadomości poczty elektronicznej należy wykorzystać program Keeper (patrz rozdział 7). Scanner nie leczy i nie usuwa zainfekowanych plików zapisanych w archiwach. Aby wyleczyć takie pliki należy rozpakować archiwum do tymczasowego katalogu, wyleczyć lub usunąć zainfekowane obiekty i ponownie utworzyć archiwum Obsługa podejrzanych obiektów Jeżeli Scanner poinformuje o wykryciu podejrzanego pliku lub sektora zalecamy skontaktowanie się z działem pomocy technicznej. Obiekt taki można również wysłać do firmy Kaspersky Lab (przykładowo, pod adres newvirus@kaspersky.pl) gdzie zostanie on poddany szczegółowej analizie. 32

34 SCANNER Przed wysłaniem podejrzanego obiektu do firmy Kaspersky Lab należy go umieścić w archiwum zabezpieczonym hasłem Przeglądanie statystyk dotyczących wydajności Jak przeglądać rezultaty testów? Wiadomości dotyczące testowanych obiektów. Statystyki dotyczące wydajności. Podczas testowania obiektów program wyświetla bieżące rezultaty. Z lewej strony ekranu znajdują się nazwy testowanych obiektów, natomiast, po stronie przeciwnej wyświetlany jest ich status. Lista wszystkich wyświetlanych komunikatów znajduje się w Dodatku B. Po zakończeniu testu program wyświetla statystykę zawierającą informacje o przetestowanych obiektach oraz o wykrytych i usuniętych wirusach. Tabela zawierająca statystykę podzielona jest na dwie kolumny: Lewa kolumna zawiera ilość testowanych sektorów, plików, katalogów, plików spakowanych oraz archiwów. W kolumnie tej wyświetlany jest również czas testowania. Prawa kolumna zawiera poniższe wartości: Known viruses ilość wirusów wykrywanych przez Kaspersky Anti-Virus for Linux; Virus bodies ilość plików zainfekowanych znanymi wirusami; Disinfected ilość obiektów, z których usunięto wirusy; Deleted ilość usuniętych obiektów; Warnings ilość obiektów, które zawierają kod podobny do kodu znanego wirusa; Suspicious ilość podejrzanych obiektów, np. wykrytych podczas analizy heurystycznej; 33

35 SCANNER Corrupted ilość uszkodzonych obiektów; I/O errors ilość błędów, które wystąpiły podczas odczytywania plików.!"informacje dotyczące zainfekowanych obiektów oraz statystyk będą zapisywane w raporcie tylko, gdy program zostanie odpowiednio skonfigurowany.!"aby przetworzyć i zsumować dane z raportów by przeglądać szczegóły operacji skanowania należy użyć programu Slogan (patrz rozdział 9). 34

36 Rozdział 5 5. Scanner oraz Daemon: korzystanie z przełączników oraz profili 5.1. Ustawienia testowania Jakie obiekty testować? Jak traktować zainfekowane obiekty? Aby wykrywanie wirusów było możliwe należy określić poniższe parametry: Lokalizacja testowanych obiektów: sektory systemowe (Boot Sector, Master Boot Record, tabela partycji) oraz pliki zapisane na lokalnych, sieciowych i zewnętrznych dyskach (floppy, LS- 120, CD). Obiekty przeznaczone do testu: pliki spakowane, archiwa, pocztowe bazy danych, lokalne skrzynki pocztowe, pliki różnych typów. 35

37 USTAWIENIA Reakcje na wystąpienie zainfekowanych obiektów: obiekty takie mogą być leczone, usuwane lub kopiowane do określonego katalogu. Zaawansowane narzędzia testujące: wyszukiwanie uszkodzonych i zmodyfikowanych wirusów, test redundancyjny (sprawdzający nie tylko punkty wejścia do pliku, ale całą zawartość analizowanego pliku), analizator heurystyczny (pozwalający na wykrywanie nieznanych wirusów).!"przeprowadzone testy dowiodły, że analizator heurystyczny wykrywa ponad 92% nieznanych wirusów. Zapisywanie raportu z testu do pliku: program może zapisywać raport z procesu testowania oraz informacje o wydajności do pliku Jak zmieniać ustawienia? Przełączniki linii poleceń, profile oraz program konfiguracyjny. Zalecenia dotyczące korzystania z różnych ustawień. Skaner antywirusowy oraz program Daemon ładuje ustawienia z profilu (przykładowo, z pliku.prf). W celu redagowania profilu należy zastosować jedną z poniższych metod: skorzystać z programu Tuner (patrz rozdział 10) lub WebTuner (patrz rozdział 11). zredagować plik.prf przy użyciu dowolnego edytora testu. Ustawienia z profilu mogą być również zmienione przy użyciu przełączników linii poleceń. Jeżeli Scanner ma być wykorzystywany do różnych celów, możliwy jest wybór jednej z poniższych konfiguracji: Test regularny. Scanner może wykonywać test regularnie (przykładowo, codzienne testowanie dysków). W tym celu należy utworzyć zestaw profili zawierających różne ustawienia i uru- 36

38 USTAWIENIA chamiać skaner antywirusowy z odpowiednimi profilami definiowanymi w linii poleceń Test nieregularny. W niektórych przypadkach może wystąpić konieczność uruchomienia testu z niestandardowymi ustawieniami. Przykładowo, możliwe jest wyszukiwanie wirusów tylko w pocztowych bazach danych. W takim przypadku zaleca się uruchomienie skanera z poziomu linii poleceń przy użyciu odpowiednich przełączników Konfigurowanie lokalizacji obiektów przeznaczonych do testowania Lokalizacja obiektów przeznaczonych do testowania. Testowane obiekty. Indywidualne ustawienia dla lokalizacji obiektów Definiowanie lokalizacji obiektów przeznaczonych do testowania Przed zmianą innych ustawień należy podać lokalizację obiektów przeznaczonych do testowania.!"jeżeli program zostanie uruchomiony bez określonej lokalizacji obiektów przeznaczonych do testowania, na ekranie pojawi się poniższy komunikat: "Nothing to scan. You should select at least one directory to scan." Lokalizację należy określić w linii Names, w sekcji [Object] profilu. 37

39 USTAWIENIA!"JEDEN PROFIL MOŻE POSIADAĆ WIĘCEJ NIŻ JEDNĄ SEKCJĘ [Object] dla różnych lokalizacji. Ponadto dla każdej lokalizacji możliwe jest określenie innych ustawień testowania. $"Aby zdefiniować lokalizację obiektów przeznaczonych do testowania, w linii Names sekcji [Object] należy podać katalogi systemu plików, w których test ma być przeprowadzony. W przypadku podania większej ilości katalogów należy oddzielić je za pomocą średników. Jeżeli program ma wyszukiwać wirusy w podanym katalogu należy poprzedzić nazwę katalogu znakiem *. Przykładowo, jeżeli linia wygląda następująco: Names =*/root/vir;.home/samba; */root/tst; program będzie szukał wirusów tylko w plikach zapisanych w katalogach /root/vir oraz /root/tst. Aby wyłączyć katalog z lokalizacji przeznaczonej do sprawdzania należy poprzedzić jego nazwę znakiem ".". Lokalizacja obiektów przeznaczonych do testowania może być również określona przy użyciu przełączników linii poleceń (patrz rozdział 4.1).!"Jeżeli zalogowany użytkownik nie posiada dostępu do katalogów lub plików przeznaczonych do testowania, obiekty te zostaną pominięte podczas testu. $"Aby wyszukiwać wirusy w podkatalogach katalogów określonych w linii Names, należy wpisać Yes w linii SubDirectories sekcji [Object]. W przeciwnym wypadku należy wpisać No.!"Parametrowi SubDirectories odpowiada przełącznik linii poleceń -R[-]. Przełącznik -R wyłącza, natomiast -R- włącza testowanie podkatalogów zdefiniowanych w linii Names. $"Jeżeli program ma przekraczać granice systemu plików, należy wpisać Yes w linii CrossFs sekcji [Object]. W przeciwnym wypadku należy wpisać No.!"Parametrowi CrossFs odpowiada przełącznik linii poleceń -C[-]. Przełącznik -C wyłącza, natomiast -C- włącza przekraczanie granic systemu plików. 38

40 USTAWIENIA Definiowanie obiektów przeznaczonych do testowania Typy obiektów Po określeniu lokalizacji obiektów przeznaczonych do testowania (patrz podrozdział 5.3.1) należy zdefiniować w jakich obiektach wyszukiwane będą wirusy. Program może wykrywać wirusy w następujących typach obiektów: sektory (patrz podrozdział ); pliki (patrz podrozdział ) włączając: spakowane pliki uruchamialne (patrz podrozdział ); archiwa, także samo rozpakowujące się (patrz podrozdział ); pocztowe bazy danych oraz pocztowe formaty tekstowe (patrz podrozdział ); obiekty OLE osadzone w testowanych plikach (patrz podrozdział ).!"Jeżeli program zostanie uruchomiony bez określenia obiektów przeznaczonych do testowania, na ekranie pojawi się poniższy komunikat: "Nothing to scan. You should select Files and/or Sectors in the *.prf file." Obiekty przeznaczone do testowania należy zdefiniować w odpowiednich liniach sekcji [Object] profilu Sektory $"Aby program testował (ignorował) sektory w wybranej lokalizacji należy wpisać Yes (No) dla parametru Sectors znajdującego się w profilu.!"parametrowi temu odpowiadają przełączniki linii poleceń -P[-] oraz - B[-]. Przełącznik -P wyłącza, natomiast -P- włącza testowanie sektora 39

41 USTAWIENIA MBR. Przełącznik -B wyłącza, natomiast -B- włącza testowanie sektorów startowych dysków określonych w linii Names Pliki $"Aby program testował pliki w wybranej lokalizacji należy: 1. Wpisać Yes w linii Files profilu 2. Jeżeli ustawienia mają być szczegółowe w polu FileMask należy wpisać jeden z poniższych parametrów: 0 testowanie programów (przykładowo wszystkich plików posiadających rozszerzenia.bat,.com,.exe,.ov*,.sys,.bin,.prg,.class,.ini,.vbs,.js,.htm,.dpl,.htt,.hta,.hlp,.pif), plików, których wewnętrzny format jest zbliżony do formatu uruchamialnych plików DOS (*.com, *.exe oraz.sys), plików Windows oraz OS/2 (.exe, *.dll), plików Linux (format.elf), plików posiadających format dokumentów oraz arkuszy pakietu Microsoft Office (OLE2 oraz Access) oraz apletów Javy. Parametr ten umożliwia testowanie wszystkich plików, które mogą przechowywać wirusy. 1 testowanie plików posiadających rozszerzenia: bat,.bin,.cla,.cmd,.com,.cpl,.dll,.doc,.dot,.dpl,.drv,.dwg,.eml,.exe,.fpm,.hlp,.hta,.htm,.htt,.ini,.js,.jse,.lnk,.mbx,.md*,.msg,.msi,.ocx,.otm,.ov*,.php,.pht,.pif,.plg,.pp*,.prg,.rtf,.scr,.shs,.sys,.tsp,.vbe,.vbs,.vxd,.xl*. 2 testowanie wszystkich plików (parametrowi temu odpowiada maska *.*).!"Wartości 2 parametru FileMask odpowiadają przełączniki linii poleceń -* oraz I2 3 testowanie plików zdefiniowanych przez użytkownika poprzez parametr UserMask. Jeżeli zachodzi potrzeba zdefiniowania większej ilości typów, należy oddzielić je znakiem przecinka.!"pliki przeznaczone do testowania mogą być również określone przy użyciu przełącznika linii poleceń: -@!=nazwa_pliku. W takim przypadku 40

42 USTAWIENIA Scanner będzie testował tylko pliki określone w pliku tekstowym nazwa_pliku (ASCII). Każda z linii tego pliku może zawierać tylko jedną nazwę (wraz z pełną ścieżką dostępu). Jeżeli po zakończeniu testowania plik nazwa_pliku ma być usunięty należy skorzystać z opcjonalnego parametru! (przykładowo, -@!= nazwa_pliku). Jeżeli parametr! nie pojawi się w przełączniku (np. -@=nazwa_pliku), plik nie będzie usunięty. $"Aby wykluczyć pliki z procesu testowania: 1. należy wpisać jeden z poniższych parametrów w linii ExcludeFiles profilu: 1 wykluczenie z procesu testowania plików określonych poprzez parametr ExcludeMask (patrz poniżej); 2 wykluczenie z procesu testowania plików położonych w katalogach określonych poprzez parametr ExcludeDir (patrz poniżej); 3 wykluczenie z procesu testowania plików określonych poprzez parametry ExcludeMask oraz ExcludeDir.!"Aby żadne pliki nie zostały wykluczone z procesu testowania należy wpisać wartość 0 w linii ExcludeFiles. 2. Maski plików podawane w linii ExcludeMask należy oddzielić przy użyciu przecinków lub spacji.!"parametrowi temu odpowiada przełącznik linii poleceń -XF=maski_plików, gdzie w miejsce parametru maski_plików należy wpisać maski plików, które mają być wykluczone z procesu testowania. 3. Nazwy katalogów podawane w linii ExcludeDir należy oddzielić przy użyciu przecinków lub spacji.!"parametrowi temu odpowiada przełącznik linii poleceń -XD=nazwy_katalogów, gdzie w miejsce parametru nazwy_katalogów należy wpisać nazwy katalogów, które mają być wykluczone z procesu testowania. Katalogi zdefiniowane w liniach InfectedFolder, SuspiciousFolder oraz CorruptedFolder pliku profilu (patrz podrozdział 5.4.3) będą automatycznie ignorowane podczas testu. 41

43 USTAWIENIA #"Jeżeli występuje podejrzenie zainfekowania komputera należy wpisać wartość Yes dla wszystkich obiektów przeznaczonych do testowania oraz wartość 2 w linii FileMask. Dla codziennych testów zapobiegawczych należy wpisać wartość Yes liniach Sectors oraz Files, wartość 0 w linii FileMask oraz wyłączyć narzędzia testujące archiwa i spakowane pliki uruchamialne Spakowane pliki uruchamialne Dzięki mechanizmowi Unpacking Engine, Scanner umożliwia wyszukiwanie wirusów w spakowanych plikach uruchamialnych stosując swoiste mechanizmy rozpakowujące. Spakowane pliki uruchamialne zawierają specjalne moduły rozpakowujące. Gdy taki plik jest uruchamiany, moduł rozpakowuje program do pamięci RAM i uruchamia go. Narzędzia pakujące mogą umieścić wirusa w pliku razem z plikami niezainfekowanymi. Jeżeli plik taki będzie testowany przy użyciu konwencjonalnego skanera antywirusowego, zainfekowany plik nie zostanie wychwycony, ponieważ ciało wirusa jest spakowane wraz z kodem programu. $"Aby uruchomić mechanizm testujący pliki spakowane (Unpacking Engine), należy wpisać wartość Yes w linii Packed pliku profilu.!"parametrowi temu odpowiada przełącznik linii poleceń -U[-]. Przełącznik -U wyłącza, natomiast -U- włącza testowanie plików spakowanych. Mechanizm unpacking engine rozpakowuje pliki wykonane przy użyciu większości popularnych narzędzi pakujących (DIET, PKLITE, LZEXE, EXEPACK itp.) do tymczasowego katalogu, w którym Scanner może je przetestować. Po zakończeniu procesu testowania pliki tymczasowe są usuwane.!"unpacking Engine tworzy pliki tymczasowe w katalogu określonym poprzez parametr TempPath w sekcji [TempFiles], która znajduje się w profilu (patrz podrozdział 5.4.2). Jeżeli w spakowanym pliku zostanie wykryty wirus rozpoznawany przez program Kaspersky Anti-Virus for Linux, możliwe będzie usunięcie takiego wirusa (jeżeli Scanner został odpowiednio skonfigurowany patrz 42

44 USTAWIENIA podrozdział 5.3.3). W takim przypadku zainfekowany plik zostanie zastąpiony plikiem rozpakowanym i wyleczonym. Jeżeli mechanizm leczenia plików spakowanych jest wyłączony, Scanner może wykrywać tylko wirusy, które zaatakowały pliki już po ich spakowaniu. Unpacking Engine może prawidłowo rozpakowywać pliki, które zostały skompresowane wielokrotnie. Może również współpracować z programami zabezpieczającymi pliki spakowane (przykładowo, CPAV oraz F-XLOCK) oraz z narzędziami szyfrującymi (takimi jak CryptCOM). Jeżeli mechanizmy Unpacking Engine oraz Extracting Engine są aktywne, Kaspersky Anti-Virus for Linux może wykrywać zainfekowane pliki, nawet jeżeli zostały one zaszyfrowane przy użyciu programu CryptCOM, spakowane za pomocą PKLITE i umieszczone w archiwum PKZIP Archiwa Dzięki mechanizmowi Extracting Engine, Scanner może wykrywać wirusy w plikach zapisanych w archiwach (włącznie z archiwami samorozpakowującymi się). Został on zaprojektowany w celu wykrywania wirusów w plikach zarchiwizowanych przy użyciu popularnych programów archiwizujących: ZIP, ARJ, LHA, RAR, CAB itp.!"możliwość wykrywania wirusów w archiwach jest bardzo ważna, ponieważ zainfekowany plik może być nieświadomie przechowywany w archiwum przez bardzo długi okres czasu i pewnego dnia (po rozpakowaniu archiwum przez użytkownika) zaatakować system. $"Aby włączyć Extracting Engine należy: 1. Wpisać Yes w linii Archives znajdującej się w profilu (jeżeli mechanizm ma pozostać wyłączony należy wpisać No). 2. Wpisać Yes w linii SelfExtArchives znajdującej się w profilu (w celu testowania archiwów samo rozpakowujących się). Jeżeli mechanizm ten ma pozostać wyłączony należy wpisać No.!"Parametrowi Archives temu odpowiada przełącznik linii poleceń -A[-]. Przełącznik -A wyłącza, natomiast -A- włącza mechanizm Extracting Engine.!"Scanner nie może rozpakowywać archiwów zabezpieczonych hasłem. Scanner nie usuwa wirusów z plików zapisanych w archiwach lecz tylko je wykrywa. 43

45 USTAWIENIA!"Extracting Engine tworzy pliki tymczasowe w katalogu określonym poprzez parametr TempPath w sekcji [TempFiles], która znajduje się w profilu (patrz podrozdział 5.4.2).!"Extracting Engine zauważalnie spowalnia proces testowania. Z tego powodu włączanie tego mechanizmu zalecane jest tylko w przypadku zaistnienia podejrzenia obecności wirusa w zarchiwizowanych plikach Pocztowe bazy danych oraz pocztowe formaty tekstowe Scanner umożliwia wykrywanie wirusów w pocztowych bazach danych i w pocztowych formatach tekstowych. Testowanie pocztowych baz danych, a w szczególności pocztowych formatów tekstowych znacznie spowalnia proces testowania. Z tego powodu nie zaleca się wyłączenie tych opcji podczas wykonywania testów rutynowych. #"Scanner tylko wykrywa wirusy w pocztowych bazach danych i w pocztowych formatach tekstowych. Program nie usuwa wirusów wykrytych w tych plikach. Kaspersky Anti-Virus for Linux wykrywa wirusy w pocztowych bazach danych następujących typów: Microsoft Outlook, Microsoft Outlook Express (pliki *.pst oraz *.pab); Microsoft Internet Mail (pliki *.mbx); Eudora Pro & Lite; Pegasus Mail; Netscape Navigator Mail; Serwer JSMail SMTP/POP3 (baza danych użytkowników). $"Aby uaktywnić wykrywanie wirusów w pocztowych bazach danych, należy wpisać Yes w linii MailBases znajdującej się w profilu. W przeciwnym wypadku należy wpisać No. 44

46 USTAWIENIA!"Parametrowi temu odpowiada przełącznik linii poleceń -MD[-]. Przełącznik -MD włącza, natomiast -MD- wyłącza testowanie pocztowych baz danych. Podczas testowania pocztowych baz danych Kaspersky Anti-Virus for Linux skanuje wszystkie ich elementy oraz załączniki. Obsługiwane są formaty następujących typów: UUEncode; XXEncode; btoa (do wersji 5.0); btoa 5.*; BinHex 4.0; ship; NETRUN 3.10; NETSEND 1.0 (nie spakowane); NETSEND 1.0C (spakowane); MIME base64. $"Aby uaktywnić wykrywanie wirusów w pocztowych formatach tekstowych, należy wpisać Yes w linii MailPlain znajdującej się w profilu. W przeciwnym wypadku należy wpisać No.!"Parametrowi temu odpowiada przełącznik linii poleceń -MP[-]. Przełącznik -MP włącza, natomiast -MP- wyłącza testowanie pocztowych formatów tekstowych. Podczas testowania pocztowych formatów tekstowych Kaspersky Anti-Virus for Linux skanuje nagłówek każdej wiadomości oraz załączone dane (UUEncode, XXEncode itp.) Osadzone obiekty OLE $"Aby uaktywnić wykrywanie wirusów w obiektach OLE osadzonych w testowanych plikach, należy wpisać Yes w linii Embedded znajdującej się w profilu. W przeciwnym wypadku należy wpisać No. 45

47 USTAWIENIA Definiowanie reakcji na wystąpienie zainfekowanych, podejrzanych oraz uszkodzonych obiektów W liniach sekcji [Object] znajdującej się w profilu możliwe jest określenie reakcji na wystąpienie zainfekowanych, podejrzanych lub uszkodzonych obiektów.!"jeżeli Kaspersky Anti-Virus for Linux wyświetli komunikat o wykryciu podejrzanego pliku lub sektora, zaleca się skontaktowanie z działem pomocy technicznej. Obiekt taki należy wysłać do firmy Kaspersky Lab (przykładowo, pod adres newvirus@kaspersky.pl), gdzie zostanie on poddany analizie. Przed wysłaniem podejrzanego obiektu należy umieścić go w zabezpieczonym hasłem archiwum, wraz z hasłem. $"W celu zdefiniowania reakcji na wystąpienie zainfekowanych, podejrzanych lub uszkodzonych obiektów, należy wpisać jedną z poniższych wartości dla parametru InfectedAction znajdującego się w profilu: 0 zapisywanie w raporcie informacji o zainfekowanych, podejrzanych oraz uszkodzonych obiektach. Informacje te będą wyświetlane na ekranie i zapisywane w pliku raportu (patrz podrozdział 5.4.4). W tym trybie program nie będzie leczył ani usuwał zainfekowanych obiektów.!"wartości 0 podawanej dla parametru InfectedAction odpowiada przełącznik linii poleceń -I0. 1 umożliwia użytkownikowi wybór metody traktowania zainfekowanych obiektów (patrz podrozdział 4.2.2).!"Jest to tryb zalecany, ponieważ umożliwia on użytkownikowi kontrolowanie procesu leczenia. Wartości 1 podawanej dla parametru InfectedAction odpowiada przełącznik linii poleceń -I1. 46

48 USTAWIENIA 2 leczenie wszystkich zainfekowanych obiektów bez pytania o potwierdzenie. Jeżeli leczenie obiektu nie jest możliwe, program zaproponuje jego usunięcie (patrz podrozdział 4.2.3).!"Automatyczne leczenie zainfekowanych obiektów może być również uaktywnione przy użyciu przełącznika linii poleceń lub I2. Dla trybu tego przeznaczone są także dwa dodatkowe przełączniki: I2S (automatyczne leczenie zainfekowanych obiektów i pomijanie obiektów, których leczenie nie jest możliwe) oraz I2D (automatyczne leczenie zainfekowanych obiektów i usuwanie obiektów, których leczenie nie jest możliwe). 3 usuwanie zainfekowanych obiektów bez pytania o potwierdzenie.!"wartości 3 podawanej dla parametru InfectedAction odpowiadają przełączniki linii poleceń E oraz I3. Podczas testowania Scanner może wykryć zainfekowane obiekty, których leczenie nie jest możliwe. W takim przypadku jedynym sposobem na zabezpieczenie komputera jest usunięcie takich obiektów. $"W celu zdefiniowania reakcji na wystąpienie zainfekowanych obiektów, których leczenie nie jest możliwe, należy wpisać jedną z poniższych wartości dla parametru IfDisinfImpossible znajdującego się w profilu: 0 zapisywanie w raporcie informacji o zainfekowanych obiektach, których leczenie nie jest możliwe (patrz podrozdział 4.2.3). Informacje te będą wyświetlane na ekranie i zapisywane w pliku raportu (patrz podrozdział 5.4.4). W tym trybie program nie będzie usuwał obiektów.!"wartości 0 podawanej dla parametru IfDisinfImpossible odpowiada przełącznik linii poleceń I2S. 1 usuwanie obiektów, których leczenie nie jest możliwe.!"wartości 1 podawanej dla parametru IfDisinfImpossible odpowiada przełącznik linii poleceń I2D. Program może kopiować zainfekowane i podejrzane obiekty do określonego katalogu. Kopie takie mogą być w niektórych przypadkach bardzo 47

49 USTAWIENIA użyteczne. Przykładowo, jeżeli Scanner usuwa zainfekowane obiekty (wartość 3 w linii InfectedAction), możliwe będzie wykorzystanie kopii do późniejszego odzyskania danych. $"W celu kopiowania zainfekowanych plików do określonego katalogu, należy wpisać Yes w linii BackupInfected znajdującej się w profilu.!"katalog przeznaczony do przechowywania kopii zainfekowanych plików musi być określony w sekcji [ActionWithInfected] profilu (patrz podrozdział 5.4.3) Definiowanie wykorzystania zaawansowanych narzędzi testujących W liniach sekcji [Object] możliwe jest włączenie/wyłączenie następujących narzędzi testujących: Zaawansowane narzędzie testujące szuka uszkodzonych i zmodyfikowanych wirusów. Jeżeli plik lub sektor zawiera takiego wirusa lub podejrzany kod program wyświetla odpowiednie ostrzeżenie. Analizator kodu (heurystyczne narzędzie testujące) testuje pliki i sektory w poszukiwaniu kodu zbliżonego do instrukcji wykonywanych przez wirusy. Narzędzie przeprowadzające test redundancyjny skanuje nie tylko punkty wejściowe plików wykorzystywane przez system operacyjny lecz całą ich zawartość. W większości przypadków wirusy dopisują do punktów wejściowych atakowanych plików odwołania do niebezpiecznego kodu zapisanego wewnątrz pliku. W celu usunięcia takiego wirusa wystarczające jest uruchomienie konwencjonalnego skanera antywirusowego. Jednak niektóre wirusy dzielą swój kod na kilka części i umieszczają je w wolnych obszarach infekowanych 48

50 USTAWIENIA plików. W takim przypadku konwencjonalny skaner wyleczy tylko punkt wejściowy oraz usunie główną część kodu wirusa z pliku, jednak pozostałe elementy niebezpiecznego kodu pozostaną nietknięte. W przypadku takim konieczne będzie skorzystanie z testu redundancyjnego. $"Aby uaktywnić wyszukiwanie uszkodzonych oraz zmodyfikowanych wirusów, należy wpisać Yes w linii Warnings znajdującej się w profilu. $"Aby uaktywnić analizator kodu wykrywający nieznane wirusy, należy wpisać Yes w linii CodeAnalyser znajdującej się w profilu.!"wartości tej odpowiada przełącznik linii poleceń -H[-]. Przełącznik -H wyłącza, natomiast -H- włącza analizator kodu. #"Domyślnie analizator kodu jest zawsze włączony. Wyłączanie tej opcji nie jest zalecane! Jeżeli analizator kodu wykryje podejrzane instrukcje (takie jak otwarcie pliku, zapisanie do niego danych, przechwytywanie systemowych przerwań itp.) plik, z którego je uruchomiono zostanie sklasyfikowany jako podejrzany, a program wyświetli odpowiedni komunikat: Suspicion: <TYP> gdzie <TYP> jest zastępowany jedną z poniższych możliwości: Com podejrzenie ataku wirusa infekującego pliki.com; Exe podejrzenie ataku wirusa infekującego pliki.exe; ComExe podejrzenie ataku wirusa infekującego pliki.com oraz.exe; ComTSR, ExeTSR, SysTSR, ComExeTSR podejrzenie ataku wirusa infekującego pliki.com,.exe oraz.sys; Boot plik/sektor prawdopodobnie został zainfekowany bootwirusem lub programem instalującym boot-wirusy; Trojan plik prawdopodobnie jest koniem trojańskim; Trivial plik prawdopodobnie jest zainfekowany nieznanym wirusem zastępującym pliki uruchamialne zapisane w bieżącym 49

51 USTAWIENIA katalogu swoim kodem (rozmiar takich wirusów zazwyczaj nie przekracza 300 bajtów); Win32 plik prawdopodobnie jest zainfekowany nieznanym wirusem działającym w systemie Windows; Formula plik programu Excel zawierający podejrzane instrukcje. Jak każdy inny algorytm heurystyczny, analizator kodu może generować fałszywe alarmy. Jeżeli program wyświetli taki alarm należy wysłać podejrzany plik do firmy Kaspersky Lab gdzie zostanie on poddany analizie. Uaktywnienie analizatora kodu wydłuża czas testowania o około 20%, jednak narzędzie to prawidłowo wykrywa ponad 92% nieznanych wirusów (wirusów nie zapisanych w antywirusowych bazach danych programu). $"Aby uaktywnić test redundancyjny, należy wpisać Yes w linii RedundantScan znajdującej się w profilu.!"parametrowi temu odpowiada przełącznik linii poleceń -V[-]. Przełącznik -V włącza, natomiast -V- wyłącza test redundancyjny.!"uaktywnienie testu redundancyjnego jest zalecane jeżeli standardowy test nie wykrywa żadnych wirusów, a zachowanie systemu jest podejrzane (przykładowo, komputer często się zawiesza lub restartuje, aplikacje pracują bardzo wolno itp.). W przeciwnym wypadku włączanie testu redundancyjnego nie jest zalecane, ponieważ powoduje on znaczne spowolnienie procesu testowania oraz zwiększenie prawdopodobieństwa występowania fałszywych alarmów. 50

52 USTAWIENIA 5.4. Ustawienia łączne lokalizacji obiektów przeznaczonych do testowania Ustawienia łączne W przeciwieństwie do ustawień dla poszczególnych lokalizacji obiektów przeznaczonych do testowania definiowanych dla konkretnych sekcji [Object] znajdujących się w profilu (patrz podrozdział 5.3), ustawienia łączne dotyczą wszystkich sekcji [Objects] zdefiniowanych w profilu. Ustawienia ogólne zgromadzone są w kilku sekcjach pliku defunix.prf (szczegółowe informacje na ten temat znajdują się w Dodatku В). Możliwe jest zdefiniowanie następujących ustawień ogólnych: Ogólne parametry testowania oraz pracy skanera antywirusowego (patrz podrozdział 5.4.2). Definiowanie testu oraz działania: Scanner oraz Daemon wykorzystywane do obsługi zainfekowanych, podejrzanych oraz uszkodzonych obiektów (patrz podrozdział 5.4.3). Generowanie raportu oraz statystyk (patrz podrozdział 5.4.4) Definiowanie ustawień testu oraz działania: Scanner oraz Daemon Ogólne parametry dotyczące działania programu znajdują się w sekcji [Customize] profilu. Sekcja ta umożliwia określenie częstotliwości uaktualniania antywirusowych baz danych programu Kaspersky Anti-Virus for Linux oraz zdefiniowanie akcji jakie mają być podjęte w przypadku gdy 51

53 USTAWIENIA bazy są zainfekowane. Możliwe jest również określenie jakie komunikaty będą wyświetlane przez program. Ogólne parametry dotyczące testowania znajdują się w sekcjach [Options] oraz [Tempfiles] profilu. Parametry te umożliwiają określenie Definiowanie ogólnych ustawień pracy programu testowania katalogów zapisanych na dyskach wymiennych, testowania łączy i podkatalogów oraz generowania plików tymczasowych. Definiowanie ogólnych ustawień pracy programu Nowe wirusy pojawiają się codziennie. Jeżeli program antywirusowy ma wydajnie chronić komputer konieczne jest regularne uaktualnianie antywirusowych baz danych. $"W celu określenia częstotliwości wyświetlania przypomnienia o aktualizacji należy: 1. Wpisać Yes w linii updatescheck znajdującej się w sekcji [Customize] profilu. 2. Wpisać interwał (w dniach) w linii updatesinterval. $"Aby uaktywnić zgłaszanie komunikatów o błędach należy wpisać Yes w linii Othermessages znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. $"Aby program pytał o potwierdzenie chęci włączenia testu redundancyjnego należy wpisać Yes w linii Redundantmessage znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku program będzie uruchamiał narzędzie testu redundancyjnego bez potwierdzania.!"opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii Redundantscan znajdującej się w sekcji [Object]. 52

54 USTAWIENIA $"Aby program pytał o potwierdzenie chęci usunięcia zainfekowanego obiektu należy wpisać Yes w linii Deleteallmessage znajdującej się w sekcji [Customize] profilu. Jeżeli podana zostanie wartość No program będzie usuwał zainfekowane pliki bez informowania o tym użytkownika.!"opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość 3 w linii InfectedAction znajdującej się w sekcji [Object]. $"Aby program kończył swoje działanie w przypadku wykrycia uszkodzonych antywirusowych baz danych należy wpisać Yes w linii ExitOnBadBases znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. $"Aby program wykorzystywał rozszerzone kody wyjścia w raporcie należy wpisać Yes w linii Useextendedexitcode znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. Definiowanie ogólnych ustawień operacji skanowania $"Aby program pomijał dane zapisane na wymiennych dyskach podczas testowania całego systemu plików (domyślnie ten typ mediów jest także sprawdzany) należy wpisać No w linii ScanRemovable znajdującej się w sekcji [Options] profilu. W przeciwnym wypadku należy wpisać Yes. $"Aby test podkatalogów odbywał się jako ostatni (po zakończeniu przetwarzania obiektów przeznaczonych do testu) należy wpisać Yes w linii ScanSubDirAtEnd znajdującej się w sekcji [Options] profilu. W przeciwnym wypadku należy wpisać No.!"Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii SubDirectories znajdującej się w sekcji [Object] (patrz podrozdział 5.3.1). 53

55 USTAWIENIA $"Aby określić, czy i jak program będzie testował dowiązania symboliczne należy wpisać jedną z poniższych wartości w linii Symlinks znajdującej się w sekcji [Options]: 0 program nie będzie testował plików i katalogów dostępnych poprzez dowiązania symboliczne.!"wartości 0 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LP. 1 program będzie testował pliki i katalogi dostępne poprzez dowiązania symboliczne określone w wierszu poleceń. Pozostałe dowiązania będą ignorowane. Jest to ustawienie domyślne.!"wartości 1 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LH. 2 program będzie testował pliki i katalogi dostępne poprzez dowiązania symboliczne.!"wartości 2 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LL. #"Cztery opisane poniżej parametry sekcji [Options] dotyczą tylko programu Scanner. Parametry te nie działają bez aktywnego pliku klucza oraz nie są dostępne w programie Kaspersky Anti-Virus Rescue Disk. $"Aby program testował kilka plików jednocześnie należy: 1. Wpisać Yes w linii ParallelScan. W przeciwnym wypadku należy wpisać No. 2. Określić maksymalną ilość plików testowanych jednocześnie w linii LimitForProcesses. $"Aby uaktywnić testowanie w pętli należy: 1. Wpisać Yes w linii EndlesslyScan. W przeciwnym wypadku należy wpisać No. 54

56 USTAWIENIA 2. Określić interwał między pętlami (w sekundach) w linii ScanDelay. Dla interwału równego zeru należy wpisać wartość -1. $"Aby program tworzył pliki tymczasowe w pamięci (nie będą one zapisywane na dysku) należy: 1. Wpisać Yes w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. W przeciwnym wypadku należy wpisać No. Wtedy pliki tymczasowe będą tworzone na dysku twardym. 2. Aby ograniczyć rozmiar plików tymczasowych tworzonych w pamięci należy określić maksymalny rozmiar (w kilobajtach) w linii LimitForMemFiles. Każdy plik tymczasowy, którego rozmiar przekroczy zdefiniowany limit zostanie zapisany na dysku.!"opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. 3. Aby ograniczyć rozmiar plików rozpakowywanych w pamięci należy określić maksymalny rozmiar (w kilobajtach) w linii MemFilesMaxSize. W takim przypadku, jeżeli rozpakowywany w pamięci plik przekroczy podany rozmiar operacja zostanie zakończona, a na dysku zostanie utworzony plik tymczasowy.!"opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. #"Wartości podawane w liniach LimitForMemFiles oraz MemFilesMaxSize nie mogą przekraczać ilości dostępnej pamięci RAM. $"Aby określić katalog, w którym program będzie zapisywał pliki tymczasowe należy, wpisać ścieżkę dostępu w linii TempPath. Przykładowo, TempPath=/tmp 55

57 USTAWIENIA Definiowanie reakcji na wystąpienie zainfekowanych i podejrzanych obiektów Trzy poniższe sekcje umożliwiają zdefiniowanie reakcji jakimi program odpowie w przypadku wystąpienia zainfekowanych, podejrzanych lub uszkodzonych obiektów: Parametry sekcji [ActionWithInfected] definiują obsługę zainfekowanych obiektów. Parametry sekcji [ActionWithSuspicion] definiują obsługę podejrzanych obiektów. Parametry sekcji [ActionWithCorrupted] definiują obsługę uszkodzonych obiektów. $"Aby program kopiował zainfekowane pliki do specjalnego katalogu należy w sekcji [ActionWithInfected] profilu: Wpisać Yes w linii InfectedCopy. Określić ścieżkę dostępu do katalogu w linii InfectedFolder. Domyślna ścieżka dostępu to /infected. $"Aby program kopiował podejrzane pliki do specjalnego katalogu należy w sekcji [ActionWithSuspicion] profilu: Wpisać Yes w linii SuspiciousCopy Określić ścieżkę dostępu do katalogu w linii SuspiciousFolder. Domyślna ścieżka dostępu to /suspicious. $"Aby program kopiował uszkodzone pliki do specjalnego katalogu należy w sekcji [ActionWithCorrupted] profilu: Wpisać Yes w linii CorruptedCopy. 56

58 USTAWIENIA Określić ścieżkę dostępu do katalogu w linii CorruptedFolder. Domyślna ścieżka dostępu to /corrupted. $"Aby program kopiował zainfekowane, podejrzane oraz uszkodzone pliki wraz ze ścieżkami dostępu należy wpisać Yes w liniach CopyWithPaths znajdujących się w powyższych sekcjach. W przeciwnym wypadku należy wpisać No. #"Zalecane jest uaktywnienie powyższej opcji, ponieważ w różnych katalogach mogą być zapisane pliki o podobnych lub jednakowych nazwach. $"Aby program zmieniał rozszerzenia zainfekowanych, podejrzanych oraz uszkodzonych plików należy w opisanych powyżej sekcjach : Wpisać Yes w liniach ChangeExt. Określić docelowe rozszerzenie w linii NewExtension. Przykładowo, vir dla zainfekowanych plików, susp dla podejrzanych plików oraz corr dla uszkodzonych plików. $"Aby program zmieniał właściciela plików, których leczenie nie powiodło się należy zdefiniować docelową nazwę właściciela w liniach ChownTo powyższych sekcji. Aby program nie zmieniał właściciela należy wpisać None. $"Aby program zmieniał atrybuty zainfekowanych, podejrzanych oraz uszkodzonych plików, których leczenie nie powiodło się należy określić docelową maskę atrybutu w liniach ChModTo powyższych sekcji. Przykładowo, wartość 640 ustawia następujące atrybuty: Odczyt przez właściciela, Zapis przez właściciela oraz Odczyt przez grupę. Aby program nie zmieniał właściciela należy wpisać No. #"Podczas pracy z zainfekowanymi i podejrzanymi obiektami oraz z ich kopiami należy postępować bardzo ostrożnie! Nigdy nie należy uruchamiać zainfekowanych plików uruchamialnych. 57

59 USTAWIENIA Definiowanie ustawień raportu Aby przeglądanie rezultatów testu wykonywanego przez program było możliwe należy zdefiniować parametry zgromadzone w sekcji [Report] znajdującej się w profilu. Sekcja ta umożliwia również włączenie lub wyłączenie umieszczania dodatkowych informacji w raporcie. $"Aby program tworzył plik raportu należy: 1. Wpisać Yes w linii Report. 2. Określić nazwę pliku raportu w linii ReportFileName. Wartość domyślna to report.txt. #"Jeżeli nazwa pliku raportu zostanie poprzedzona znakiem ~ plik ten zostanie utworzony w katalogu domowym. $"Aby ograniczyć rozmiar pliku raportu należy: Wpisać Yes w linii ReportFileLimit. Określić maksymalny rozmiar pliku raportu (w kilobajtach) w linii ReportFileSize. $"Aby program dopisywał raport do istniejącego pliku należy wpisać Yes w linii Append. Jeżeli plik raportu ma być zawsze nadpisywany należy wpisać No. $"Aby program zapisywał informacje o każdym testowanym obiekcie należy wpisać Yes w linii RepForEachDisk. $"Aby określić maskę atrybutów pliku raportu należy wpisać numer żądanej maski w linii RepCreateFlag. Przykładowo, RepCreateFlag=600 58

60 USTAWIENIA $"Aby podczas zapisywania raportu program stosował powrót karetki oraz znaki linefeed (zakończenia linii) w celu oddzielania wpisów należy wpisać Yes w linii UseCR. Domyślnie linie raportu oddzielane są tylko znakami linefeed. W niektórych edytorach tekstu może to powodować nieprawidłowe wyświetlanie.!"w celu zdefiniowania pliku raportu można również użyć przełącznika linii poleceń -W[T][A][+][=nazwa pliku], gdzie nazwa pliku jest nazwą pliku raportu (domyślna nazwa to report.txt). Dodanie do przełącznika litery A spowoduje dopisywanie raportu do pliku, natomiast, gdy użyta zostanie litera T plik raportu będzie zawsze nadpisywany nową zawartością. Użycie znaku + spowoduje dodanie do raportu szczegółowych informacji. Program może zapisywać rezultaty testu w raporcie systemowym lub w raporcie użytkownika. $"Aby program zapisywał rezultaty testu do raportu systemowego należy wpisać Yes w linii UseSysLog Wpisując No rezultaty testu będą dodawane do pliku zdefiniowanego przez użytkownika.!"podanie wartości (Yes) w linii UseSysLog spowoduje automatyczne wyłączenie parametrów: ReportFileName, Append, ReportFileLimit, ReportFileSize oraz RepCreateFlag. #"Dwa poniższe parametry mogą być wykorzystane tylko wtedy, gdy proces demona wywoływany jest z pliku skryptu. $"Aby program dodawał rezultaty testu do pliku zdefiniowanego przez użytkownika należy: 1. Wpisać Yes w linii UserReport. 2. Zdefiniować nazwę pliku w linii UserReportName. #"Jeżeli nazwa pliku zostanie poprzedzona znakiem ~ plik ten będzie utworzony w katalogu domowym. 59

61 USTAWIENIA $"Aby program dodawał do raportu szczegółowe informacje należy wpisać Yes w linii ExtReport. $"Poniższe parametry umożliwiają zdefiniowanie opcjonalnych informacji zapisywanych w raporcie: WriteTime zapisywana będzie data i czas wyświetlenia informacji przez program. Aby uaktywnić tę opcję należy wpisać Yes. WriteTimeInfo zapisywana będzie data i czas ostatniej modyfikacji, oraz rozmiar każdego zainfekowanego obiektu. Aby uaktywnić tę opcję należy wpisać Yes. ShowOK zapisywane będą informacje o niezainfekowanych obiektach. Aby uaktywnić tę opcję należy wpisać Yes.!"Parametrowi temu odpowiada przełącznik linii poleceń -O[-]. Przełącznik -O włącza, natomiast -O- wyłącza zapisywanie informacji o niezainfekowanych obiektach. ShowPack zapisywane będą informacje o archiwach i obiektach spakowanych. Aby uaktywnić tę opcję należy wpisać Yes.!"Parametrowi temu odpowiada przełącznik linii poleceń -K[-]. Przełącznik -K włącza, natomiast -K- wyłącza zapisywanie informacji o archiwach i obiektach spakowanych. Showpassworded zapisywane będą informacje o archiwach zabezpieczonych hasłem. Aby uaktywnić tę opcję należy wpisać Yes. ShowSuspicion zapisywane będą informacje o podejrzanych obiektach. Aby uaktywnić tę opcję należy wpisać Yes. Showwarning zapisywane będą informacje o obiektach prawdopodobnie zainfekowanych modyfikacjami znanych wirusów. Aby uaktywnić tę opcję należy wpisać Yes. Showcorrupted zapisywane będą informacje o uszkodzonych obiektach. Aby uaktywnić tę opcję należy wpisać Yes. Showunknown zapisywane będą informacje o wykryciu nieznanych wirusów. Aby uaktywnić tę opcję należy wpisać Yes. 60

62 Rozdział 6 6. Proces Daemon: Integrowanie ochrony antywirusowej z klientami 6.1. Cechy programu Daemon Opis funkcji oraz możliwości programu. Proces antywirusowy kavdaemon został stworzony w celu integracji ochrony antywirusowej z oprogramowaniem klienckim (na przykład Monitor) na komputerze pracującym pod kontrolą systemu operacyjnego Linux. Daemon działa jako proces systemowy i dziedziczy wszystkie funkcje programu Scanner, dlatego opis programu Scanner odnosi się również do programu Daemon. W przeciwieństwie do programu Scanner, Daemon ładuje antywirusowe bazy danych do pamięci tylko raz, podczas pierwszego uruchomienia. Powoduje to znaczne zmniejszenie ilości czasu potrzebnego do wykonania testu. Cecha ta powoduje, że Daemon może być z powodzeniem wykorzystywany na serwerach pocztowych oraz WWW działających pod 61

63 DAEMON kontrolą systemu Linux. Wszystkie obiekty docierające do takich serwerów powinny być testowane na obecność wirusów. Daemon posiada wszystkie funkcje programów antywirusowych znanych z innych platform i umożliwia wykrywanie wirusów we wszystkich typach plików (włącznie z archiwami, plikami spakowanymi oraz plikami poczty elektronicznej). Daemon udostępnia także mechanizm heurystycznego wykrywania wirusów oraz testowanie redundancyjne. Proces może pełnić funkcje serwera oraz klienta. Instalacja, konfiguracja oraz uaktualnianie antywirusowych baz danych przebiega podobnie jak w przypadku programu Scanner. Różni się jedynie linia poleceń oraz zestaw dostępnych przełączników (patrz podrozdział 6.2) Uruchamianie procesu Daemon Linia poleceń programu Daemon. Przełączniki linii poleceń charakterystyczne dla procesu Daemon. Profile. Daemon może być uruchomiony z poziomu linii poleceń, z pliku skryptowego lub poprzez programy użytkownika. #"Jeżeli podczas uruchamiania program Daemon nie zlokalizuje pliku klucza, to uruchomi się w trybie demonstracyjnym, tzn. wyłączone zostaną opcje poszukiwania wirusów w archiwach oraz wiadomościach pocztowych, a także wyboru akcji przez użytkownika w przypadku wykrycia wirusa. Ogólny format linii poleceń procesu Daemon wygląda następująco:./kavdaemon [przełącznik1] [przełącznik 2] [...] [przełącznik #] [ścieżka] gdzie [przełącznik ] jest opcjonalnym przełącznikiem wiersza poleceń; [ścieżka] to opcjonalna ścieżka systemu Linux definiująca lokalizację do sprawdzenia. 62

64 DAEMON!"Znaczenie ścieżki w przypadku wiersza poleceń procesu Daemon jest inne niż dla programu Scanner. W przypadku programu Scanner parametr ten określa lokalizację obiektów przeznaczonych do testowania, natomiast w przypadku procesu Daemon ścieżka określa listę lokalizacji obiektów przeznaczonych do testowania (przykładowo parametr Object znajdujący się w profilu). Obiekty przeznaczone do testowania definiowane są poprzez przełącznik -o (patrz poniżej). Większość przełączników linii poleceń procesu Daemon jest identyczna jak w przypadku programu Scanner (patrz Dodatek B). Wyjątek stanowią przełączniki -D oraz -@!. Niektóre przełączniki przeznaczone są tylko dla linii poleceń procesu Daemon: -q zamyka proces po zakończeniu testowania i leczenia bez uruchamiania procesu demona. Przełącznik ten może być użyty tylko wtedy, gdy Deamon nie jest uruchomiony. -k zabija główny proces Daemon. Nie zaleca się korzystania z tego przełącznika. -ka zabija wszystkie uruchomione procesy Daemon (zarówno proces główny jak i procesy potomne). -v wyświetla numer wersji. -o{ lista plików, katalogów lub dowiązań symbolicznych oddzielonych dwukropkami} testuje określone pliki, katalogi oraz dowiązania symboliczne. Jeżeli dostęp do obiektów nie będzie możliwy zostaną one pominięte. -f= nazwa katalogu tworzy w zdefiniowanym katalogu pliki AvpCtl oraz AvpPid. Jeżeli Daemon nie jest uruchomiony z poziomu użytkownika root, dostęp do niektórych plików może być zabroniony. W takim przypadku należy użyć przełącznika f podczas uruchamiania procesu Daemon. 63

65 DAEMON -WU[=nazwa pliku tymczasowego] definiuje plik tymczasowy, w którym Daemon będzie zapisywał rezultaty testu. Podczas uruchamiania procesu Daemon inicjowane są dwa dodatkowe procesy: pierwszy obsługuje wywołania programów klienckich natomiast drugi opisuje rezultaty działania pierwszego procesu. Możliwe jest wyłączenie drugiego procesu. -dl wyłącza start drugiego procesu programu Daemon. Linia poleceń programu Daemon wygląda następująco:./kavdaemon /home -o{/home/my_mail} -A -K Jeżeli Daemon nie wykryje drugiego aktywnego procesu Daemon, działa podobnie do programu Scanner (patrz podrozdział 4.2), po czym uruchamia proces Daemon. Dzieje się tak tylko wtedy, gdy nie użyto przełącznika -q. Jeżeli przełącznik ten został podany w linii poleceń proces Daemon nie zostanie uruchomiony. Po uruchomieniu procesu program Daemon łączy się z nim i używa tego połączenia do przesyłania parametrów podawanych z poziomu linii poleceń. Następnie proces wykorzystuje połączenie do przesyłania rezultatów testowania. Gdy test zostanie zakończony program zrywa połączenie.!"aby program Daemon mógł się poprawnie uruchamiać plik inicjalizacyjny AvpUnix.ini (patrz Dodatek B) musi znajdować się w tym samym katalogu co moduł Daemon. Jeżeli plik uruchamialny kavdaemon zostanie przeniesiony do innego katalogu, plik AvpUnix.ini musi być również skopiowany do tego samego katalogu i odpowiednio zredagowany.!"aby zoptymalizować proces ładowania można ustalić priorytet procesu głównego oraz procesów potomnych. W tym celu należy zmienić wartości parametrów Father oraz Child znajdujące się w sekcji [Priority] profilu. 64

66 DAEMON 6.3. Wywoływanie procesu z programu klienckiego Jak wywołać proces z programu klienckiego? Przykład. $"Aby wywołać istniejący proces Daemon z programu klienckiego należy: 1. Utworzyć gniazdko. 2. Połączyć gniazdko z programem Daemon. 3. Wpisać odpowiednią komendę do gniazdka. Format komendy jest następujący: <flagi>data_i_czas:parametr_komendy Pole <flagi> należy zastąpić jedną z poniższych wartości: 0 parametr_komendy przesyła nazwę pliku oraz parametry linii poleceń. W najprostszym przypadku przesłana zostanie tylko nazwa pliku a komenda będzie miała następującą postać: <0>27 Mar 13:40:11:/tmp/test.tgz. Jeżeli przesyłana będzie nazwa pliku oraz parametry linii poleceń format komendy będzie następujący: <flagi>data_i_czas: 0xfeparametr1[ parametr2[ parametr3[ ]]] 0xfeścieżka1[;ścieżka2[;ścieżka3[ ]]] gdzie: 0xfe oznacza początek sekcji; [parametrn] określa parametr linii poleceń (bez znaku wiodącego ); ścieżkan określa ścieżkę dostępu do obiektów przeznaczonych do testu. Ilość ścieżek i parametrów nie jest ograniczona. 65

67 DAEMON 3 parametr_komendy przesyła parametry pamięci współdzielonej, w której zostały umieszczone testowane obiekty. Tryb ten wykorzystywany jest do testowania obiektów zanim zostaną one zapisane na dysku. W takim przypadku format komendy będzie następujący: <flags> data_i_czas:<przełącznik rozmiar > gdzie: jest znakiem oddzielającym sekcje; switch jest wartością pobraną przy użyciu funkcji ftok(); length jest rozmiarem pamięci współdzielonej.!"wartość 3 może być wykorzystywana tylko w serwerowej wersji programu Daemon. 4 wyświetla numer wersji. 4. Odczytać rezultaty testu z gniazdka. Rezultaty odczytywane są w postaci dwóch bajtów. Młodszy bajt zawiera standardowe kody wyjścia lub wartość 0x3f (jeżeli program kliencki musi przesłać dodatkowe informacje, które będą uwzględnione przez proces Daemon). Starszy bajt zawiera flagi definiujące późniejsze operacje. Wartość 0x2 w starszym bajcie oznacza, że do odczytu muszą być wykorzystane 4 bajty zawierające dodatkowo rozmiar pamięci współdzielonej, w której znajduje się wyleczony obiekt. Wartość 0x2 może występować tylko wtedy, gdy podczas przesyłania danych flaga została zmieniona na 3 (lub 1), a kod wyjścia ma wartość 5. W takim przypadku konieczne będzie otwarcie pamięci współdzielonej i odczytanie z niej testowanego obiektu. Wartość 0x1 w starszym bajcie oznacza, że do odczytu muszą być wykorzystane 4 bajty zawierające bufor raportu oraz jego rozmiar. 5. Usunąć gniazdko. 66

68 DAEMON!"Przykład wywoływania procesu Daemon (program AvpDaemonClient) znajduje się w pakiecie dystrybucyjnym. Pakiet ten zawiera również program kliencki Monitor (patrz rozdział 8).!"Przykłady oraz programy klienckie dostarczone są w postaci kodów źródłowych zawierających opis metod użytych w celu wywołania programu Daemon z poziomu oprogramowania klienckiego. 67

69 Rozdział 7 7. Keeper: Wykrywanie i usuwanie wirusów w systemach pocztowych: sendmail, qmail, Postfix oraz Exim 7.1. Cechy programu Keeper Opis funkcji oraz właściwości programu. Keeper został zaprojektowany w celu wyszukiwania wirusów w przychodzących i wychodzących wiadomościach przesyłanych za pomocą protokołu SMTP, przetwarzania wszystkich wiadomości pocztowych i przesyłania ich do programu Daemon, który z kolei wykrywa i usuwa z nich wirusy. 68

70 KEEPER Obecnie istnieją cztery wersje programu Keeper przeznaczone dla następujących systemów poczty elektronicznej: sendmail, qmail, Postfix oraz Exim. #"Niniejszy Podręcznik nie zawiera informacji o systemach poczty. Odpowiedzi na ewentualne pytania dotyczące tych serwerów należy szukać w odpowiedniej dokumentacji. Po zainstalowaniu programu (patrz rozdział 2) należy zintegrować go z jednym z wymienionych powyżej systemów pocztowych i zdefiniować odpowiednie ustawienia (patrz podrozdział 7.6). Keeper współdziała z procesem Daemon i spełnia następujące funkcje na serwerze: Przetwarza wszystkie przychodzące oraz wychodzące wiadomości pocztowe i przesyła je do procesu Daemon, który następnie wyszukuje i usuwa z nich wirusy. Jeżeli wirus zostanie wykryty w wiadomości lub jej załączniku, proces Daemon wysyła odpowiedni kod do programu Keeper który, w zależności od ustawień, może wykonać następujące operacje: Dla odbiorcy: powiadamia odbiorcę o wykryciu zainfekowanej wiadomości (patrz podrozdział ); blokuje wiadomość i nie dostarcza jej do skrzynki pocztowej (patrz podrozdział ); przesyła zainfekowaną (patrz podrozdział ) lub wyleczoną (patrz podrozdział ) wiadomości do skrzynki pocztowej. Dla administratora powiadamia administratora o wykryciu zainfekowanej wiadomości i dostarcza ją do jego skrzynki pocztowej (patrz podrozdział ). Dla nadawcy powiadamia nadawcę o dostarczeniu zainfekowanej wiadomości z jego skrzynki pocztowej (patrz podrozdział ). Zapisuje informacje o wykonanej akcji do predefiniowanego pliku (patrz podrozdział 7.6.4). 69

71 KEEPER #"Przygotowanie integracji Kaspersky Anti-Virus for Linux z systemem pocztowym (jednym z wyżej wymienionych) z wykorzystaniem programu Keeper nie powinno odbywać się podczas pracy tegoż systemu. Może to spowodować niepożądane konsekwencje Integrowanie Kaspersky Anti- Virus for Linux z sendmail Integracja krok po kroku. Integracja Kaspersky Anti-Virus for Linux z systemem pocztowym sendmail może zostać zaimplementowana przez uruchomienie skryptu installsendmail lub ręcznie. Aby proces integracji przeprowadzić ręcznie, należy uruchomić program WebTuner, który pozwoli na edycję pliku konfiguracyjnego programu Keeper. Więcej szczegółów na temat programu WebTuner zawartych jest w rozdziale 11. $"Aby ręcznie zintegrować program Keeper z systemem pocztowym sendmail, należy wykonać następujące kroki: 1. Utworzyć plik sendmail.cf.listen z pliku.mc: skopiować plik keeper.m4 do katalogu */sendmailcf/mailer; przejść do katalogu */sendmail-cf/cf i utworzyć plik sendmail.cf.listen wpisując w linii poleceń: m4 -DKAV_LISTENER kaspersky-av.m4 > sendmail.cf.listen!"aby utworzyć plik konfiguracyjny sendmail.cf z pliku.mc zaleca się skorzystać z programu m4. skopiować plik sendmail.cf.listen do katalogu /etc/mail. 2. Wykorzystać WebTuner do zdefiniowania konfiguracji programu Keeper: 70

72 KEEPER Na stronie main (patrz podrozdział ): określić następującą ścieżkę roboczą dla parametrów Sender mailer, Recipient mailer oraz Admin mailer: smtp: (/usr/sbin/sendmail bs C /etc/mail/sendmail.cf); w polu tekstowym Hostname wpisać nazwę hosta na którym będzie uruchamiany program Keeper; w polu tekstowym Keeper wpisać adres, który będzie się pojawiał w polu From powiadomień. Na stronie groups (patrz podrozdział ), wybrać odpowiednią grupę adresów użytkowników i przycisnąć przycisk properties. Na stronie administrator okna dialogowego (patrz podrozdział ), wpisać adres lub alias administratora w polu tekstowym Group administrator address. 3. Zdefiniować parametry komunikacji pomiędzy programem Keeper a procesem demona (więcej szczegółów znajduje się w podrozdziale 7.6.5). 4. Uruchomić dwa następujące procesy: /usr/sbin/sendmail bd C /etc/mail/sendmail.cf.listen /usr/sbin/sendmail q1m C /ect/mail/sendmail.cf!"narzędzie instalacyjne (szczegóły - patrz rozdział 2) kopiuje wszystkie pliki istotne dla procesu integracji programu Keeper z sendmail to następujących katalogów: /opt/avp jest katalogiem dla plików pakietu Kaspersky Anti- Virus for Linux. /opt/avp/kavkeeper jest katalogiem plików programu Keeper. /opt/avp/kavkeeper/sendmail-cf jest katalogiem zawierającym pliki zaawansowanych oraz przykładowych ustawień. #"Pliki w katalogu /opt/avp/kavkeeper/sendmail-cf muszą być skopiowane do katalogu z plikami ustawień programu sendmail. 71

73 KEEPER 7.3. Integrowanie Kaspersky Anti- Virus for Linux z qmail Integracja krok po kroku. Integracja Kaspersky Anti-Virus for Linux z systemem pocztowym qmail może zostać zaimplementowana przez uruchomienie skryptu install-qmail lub ręcznie. Aby proces integracji przeprowadzić ręcznie, należy uruchomić program WebTuner, który pozwoli na edycję pliku konfiguracyjnego programu Keeper. Więcej szczegółów na temat programu WebTuner zawartych jest w rozdziale 11. Keeper for qmail zastępuje program qmail-queue. Aby przesłać wiadomość i umieścić ją w kolejce, Keeper for qmail wywołuje oryginalny program qmail-queue. Przed rozpoczęciem procedury integracji należy znać położenie systemu pocztowego qmail na serwerze. Zazwyczaj jest on ulokowany w katalogu /var/qmail. Trzeba także wiedzieć jak restartować system pocztowy. $"Aby ręcznie zintegrować program Keeper z systemem pocztowym qmail, należy wykonać następujące kroki: 1. Zmienić nazwę pliku qmail-queue z katalogu /var/qmail/bin/ na qmail-que. 2. Przekopiować plik qmail-queue z katalogu /opt/avp/kavkeeper/ do katalogu /var/qmail/bin lub stworzyć odpowiednie dowiązanie symboliczne. 3. Przyznać następujące prawa dostępu do plików qmail-queue oraz qmail-que: 16 -rws x x 1 qmailq qmail Mar 24 13:56 qmail-que 316 rwx x x 1 qmailq qmail Apr 14 11:29 qmail-queue 4. Wykorzystać WebTuner do zdefiniowania konfiguracji programu Keeper: 72

74 KEEPER Na stronie main (patrz podrozdział ): określić następującą ścieżkę roboczą dla parametrów Sender mailer, Recipient mailer oraz Admin mailer: qmail:(/var/qmail/bin/qmail-que); w polu tekstowym Hostname wpisać nazwę hosta na którym będzie uruchamiany program Keeper; w polu tekstowym Keeper wpisać adres, który będzie się pojawiał w polu From powiadomień. Na stronie groups (patrz podrozdział ), wybrać odpowiednią grupę adresów użytkowników i przycisnąć przycisk properties. Na stronie administrator okna dialogowego (patrz podrozdział ), wpisać adres lub alias administratora w polu tekstowym Group administrator address. 5. Zdefiniować parametry komunikacji pomiędzy programem Keeper a procesem demona (więcej szczegółów znajduje się w podrozdziale 7.6.5). 6. Uruchomić ponownie system pocztowy Integrowanie Kaspersky Anti- Virus for Linux z Postfix Integracja krok po kroku. Integracja Kaspersky Anti-Virus for Linux z systemem pocztowym Postfix może zostać zaimplementowana przez uruchomienie skryptu install-postfix lub ręcznie. Aby proces integracji przeprowadzić ręcznie, należy uruchomić program WebTuner, który pozwoli na edycję pliku konfiguracyjnego programu 73

75 KEEPER Keeper. Więcej szczegółów na temat programu WebTuner zawartych jest w rozdziale 11. $"Aby ręcznie zintegrować program Keeper z systemem pocztowym Postfix, należy wykonać następujące kroki: 1. Sprawdzić numer wersji systemu pocztowego Postfix. Numer wersji powinien być wyższy niż snapshot_ Jeżeli jest niższy, należy pobrać odpowiednią wersję programu ze strony internetowej systemu pocztowego Postfix ( 2. Dodać poniższy wpis do pliku konfiguracyjnego main.cf programu Postfix: content_filter = lmtp:localhost: Dodać poniższe linie do pliku konfiguracyjnego master.cf: localhost:10025 inet n n n - 10 spawn user=filter argv=/opt/avp/kavkeeper/kavkeeper localhost:10026 inet n - n - 10 smtpd -o content_filter= -o myhostname="$hostname 4. Utworzyć użytkownika filter wpisując polecenie: adduser filter 5. Utworzyć katalog domowy dla tego użytkownika wpisując następujące polecenia: mkdir /var/spool/filter chown filter.filter /var/spool/filter!"przykładowy plik konfiguracyjny programu Postfix znajduje się w podrozdziale w Dodatku B. 6. Wykorzystać WebTuner do zdefiniowania konfiguracji programu Keeper: Na stronie main (patrz podrozdział ): określić następującą ścieżkę roboczą dla parametrów Sender mailer, Recipient mailer oraz Admin mailer: smtp: localhost:

76 KEEPER w polu tekstowym Hostname wpisać nazwę hosta na którym będzie uruchamiany program Keeper; w polu tekstowym Keeper wpisać adres, który będzie się pojawiał w polu From powiadomień. Na stronie groups (patrz podrozdział ), wybrać odpowiednią grupę adresów użytkowników i przycisnąć przycisk properties. Na stronie administrator okna dialogowego (patrz podrozdział ), wpisać adres lub alias administratora w polu tekstowym Group administrator address. 7. Uruchomić ponownie system pocztowy Integrowanie Kaspersky Anti- Virus for Linux z Exim Integracja krok po kroku. Integracja Kaspersky Anti-Virus for Linux z systemem pocztowym Exim może zostać zaimplementowana przez uruchomienie skryptu install-exim lub ręcznie. Aby proces integracji przeprowadzić ręcznie, należy uruchomić program WebTuner, który pozwoli na edycję pliku konfiguracyjnego programu Keeper. Więcej szczegółów na temat programu WebTuner zawartych jest w rozdziale 11. System pocztowy Exim musi ponadto wspierać protokół Imtp (opcja TRANSPORT_LMTP=yes w pliku Local/Makefile podczas kompilacji systemu pocztowego Exim). $"Aby ręcznie zintegrować program Keeper z systemem pocztowym Exim, należy wykonać następujące kroki: 1. Przekopiować plik konfiguracyjny (np. exim.conf) do pliku exim.conf.listen. 75

77 KEEPER 2. Zredagować plik exim.conf: dodać poniższą linię do sekcji TRANSPORT CONFIGURATION: kav_lmtp_transport: driver = lmtp command = /opt/avp/kavkeeper/kavkeeper zdefiniować parametry lokalnego dostarczania poczty w sekcji DIRECTORS CONFIGURATION: localuser: transport=kav_lmtp_transport zdefiniować parametry zdalnego dostarczania poczty w sekcji ROUTERS CONFIGURATION: lookuphost: transport=kav_lmtp_transport 3. Wykorzystać WebTuner do zdefiniowania konfiguracji programu Keeper: Na stronie main (patrz podrozdział ): określić następującą ścieżkę roboczą dla parametrów Sender mailer, Recipient mailer oraz Admin mailer: smtp: (/usr/sbin/exim bs C /etc/exim/exim.conf) w polu tekstowym Hostname wpisać nazwę hosta na którym będzie uruchamiany program Keeper; w polu tekstowym Keeper wpisać adres, który będzie się pojawiał w polu From powiadomień. Na stronie groups (patrz podrozdział ), wybrać odpowiednią grupę adresów użytkowników i przycisnąć przycisk properties. Na stronie administrator okna dialogowego (patrz podrozdział ), wpisać adres lub alias administratora w polu tekstowym Group administrator address. 76

78 KEEPER 4. Uruchomić dwa następujące procesy: /usr/sbin/exim bd C /etc/exim/exim.conf.listen /usr/sbin/exim q1m C /etc/exim/exim.conf #"Jeżeli program ma zostać uruchomiony z prawami innego użytkownika, należy skompilować system pocztowy Exim ze zdefiniowanymi zmiennymi EXIM_GID oraz EXIM_UID (więcej szczegółów znajduje się w dokumentacji systemu pocztowego Exim) 7.6. Konfigurowanie programu Keeper Zmiana konfiguracji programu Keeper Wprowadzenie Keeper ładuje ustawienia z pliku inicjalizacyjnego. Może on być edytowany za pomocą programu WebTuner (patrz podrozdział 11.10). Aby to zrobić należy: 1. uruchomić program WebTuner (patrz podrozdział 11.4) 2. wybrać z listy głównego okna programów program Keeper oraz użyć hiperłącza default config, aby wyświetlić okno konfiguracyjne programu. Opcje wymienione w tym oknie pozwalają na skonfigurowanie zasad działania różnych grup adresowych. Każda grupa adresowa ma swoją własną nazwę i zdefiniowaną listę przychodzących oraz wychodzących adresów. Można na przykład ustawić program tak, aby usuwał zainfekowane wiadomości z adresu user@domain.ru, oraz ignorować zainfekowane wiadomości z adresu admin@domain.ru. Dla każdej grupy adresów można zdefiniować: 77

79 KEEPER Przetwarzanie zainfekowanych wiadomości. Program jest w stanie obsługiwać wiadomości z użyciem jednej z poniższych metod: informowanie odbiorcy o wykryciu zainfekowanej wiadomości (patrz podrozdział ); blokowanie wiadomości przed dostarczeniem do skrzynki pocztowej odbiorcy (patrz podrozdział ); dostarczenie wyleczonej wiadomości do skrzynki pocztowej odbiorcy (patrz podrozdział ); przepuszczenie zainfekowanej wiadomości bez leczenia do skrzynki pocztowej odbiorcy (patrz podrozdział ). Filtrowanie wiadomości w zależności od jej załączników (patrz podrozdział ). Przesyłanie zainfekowanych wiadomości do administratora (patrz podrozdział ). Powiadamianie nadawcy o wykryciu zainfekowanej wiadomości (patrz podrozdział ).? Przykład 1. Administrator systemu chce zarządzać procesem leczenia. %"W takim wypadku program musi blokować zainfekowane wiadomości przed dostarczeniem do docelowych skrzynek pocztowych i przesyłać je do administratora. Program może także powiadamiać nadawcę o zainfekowanej wiadomości.? Przykład 2. Administrator systemu chce, by użytkownik otrzymywał wyleczoną wiadomość oraz chce być informowany o przetworzonych zainfekowanych wiadomościach. %"W takim wypadku program musi dostarczać wyleczone wiadomości do docelowych skrzynek pocztowych oraz przesyłać kopię zainfekowanej wiadomości do administratora. Program może także powiadamiać nadawcę o zainfekowanej wiadomości. Poniższe ustawienia są skumulowane ponieważ mają wpływ na wszystkie wiadomości: 78

80 KEEPER parametry zawiadomień o wykrytych zainfekowanych obiektach (patrz podrozdział 7.6.3). Parametry rejestrowania dzienników z działania (patrz podrozdział 7.6.4). Komunikacja pomiędzy programem Keeper a procesem demona (patrz podrozdział 7.6.5). #"Keeper działa z uprawnieniami użytkownika uruchamiającego system pocztowy (sendmail, qmail, Postfix or Exim). Jeżeli użytkownik ma prawo dostępu do plików systemu operacyjnego a pojawia się błąd podczas definiowania poprawnej ścieżki dostępu do pliku logów lub katalogu tymczasowego, może oznaczać to uszkodzenie systemu plików Przetwarzania zainfekowanych wiadomości dla grupy adresów Informacje podstawowe Każda elektroniczna wiadomość pocztowa zawiera adresy nadawcy oraz odbiorcy. Mogą one służyć do definiowania zasad przetwarzania wiadomości, które definiuje się dla grup adresowych. Dlatego zawsze należy się upewnić czy adresy te zawarte są w odpowiednich grupach adresowych. Grupy adresów i ich odpowiednie ustawienia definiuje się za pomocą programu WebTuner (patrz podrozdział 11.10) podczas konfiguracji programu Keeper. Więcej szczegółów o tym jak dodać adres do grupy znajduje się w podrozdziale Grupa adresowa, do której należy wiadomość musi zawierać oba adresy z pól From oraz To wiadomości. Program sprawdza listę grup w poszukiwaniu adresu wiadomości. Gdy adresy (nadawcy i odbiorcy) zostaną zlokalizowane, program stosuje reguły przetwarzania wiadomości odpowiadające danej grupie adresów.!"poszukiwanie adresów wiadomości w grupie adresów jest kompatybilne z wyrażeniami regularnymi POSIX. 79

81 KEEPER Aby program zastosował specjalne zasady przetwarzania wiadomości na podstawie adresów nadawcy i odbiorcy, w pliku inicjalizacyjnym należy przed wszystkimi grupami adresowymi stworzyć sekcję grupy, dodać adresy do tej grupy i zdefiniować odpowiednie reguły przetwarzania dla niej (na przykład gdy potrzeba zastosować odpowiednie reguły dokładnie dla wiadomości dostarczanych z ег@localhost.pl do 123@localhost2.pl). Grupa adresowa default musi obowiązkowo znajdować się na liście grup adresowych ponieważ definiuje domyślne ustawienia stosowane do wszystkich adresów nie zawartych w innych grupach. Grupa ta powinna znajdować się poniżej innych grup na liście. Przetwarzanie wiadomości stosowane przez program Keeper wykonuje się według następującego schematu: 1. Program poszukuje adresu wiadomości w grupach adresowych zdefiniowanych przez użytkownika. Jeżeli adres zostanie znaleziony wiadomość jest przetwarzana zgodnie z regułami określonymi dla tej grupy. Gdy jakieś ustawienia przetwarzania nie są zdefiniowane dla grupy, program zastosuje ustawienia grupy default. #"Jeżeli adresy nadawcy i odbiorcy zostaną wykryte w różnych grupach, program zastosuje reguły zdefiniowane w pierwszej z tych grup. 2. Jeżeli adres nie zostanie znaleziony w grupach adresowych użytkownika, program zastosuje domyślne reguły zdefiniowane dla grupy default. Rysunek 1 przedstawia sekwencję działań programu Keeper. 80

82 KEEPER Rysunek 1. Przetwarzanie wiadomości pocztowej Grupy adresów i adresy To/From Aby program Keeper przetwarzał przychodzące i/lub wychodzące wiadomości należące do listy adresów konkretnego użytkownika, należy użyć programu WebTuner do stworzenia grupy adresów, dodać do niej wymagane adresy oraz zdefiniować reguły przetwarzania. $"Aby utworzyć grupę adresową, należy wykonać następujące kroki: 1. Na stronie group (patrz podrozdział ) nacisnąć przycisk add. 81

83 KEEPER 2. Wprowadzić nazwę grupy w polu Name okna dialogowego Add new group. 3. Nacisnąć przycisk add. Nazwa grupy zostanie dodana do listy grup. 4. Nacisnąć przycisk properties. 5. W polu tekstowym Sender mask okna dialogowego Group: group_name wprowadzić maskę (lub listę masek) dla adresów z pola From, które mają być testowane na obecność wirusów. 6. W polu tekstowym Recipient mask wprowadzić maskę (lub listę masek) dla adresów z pola To, które mają być testowane na obecność wirusów.!"wprowadzane maski muszą być kompatybilne ze standardem wyrażeń regularnych POSIX. #"Jeżeli jedno z pól: Recipient mask lub Sender mask nie będzie zdefiniowane, program użyje maski.*@.* dla tego pola. Jeżeli w obu polach Recipient mask oraz Sender mask parameters nie będą zdefiniowane żadne wartości, żadna wiadomość nie będzie przetwarzana zgodnie z regułami dla tej grupy. W ten sposób można wyłączyć przetwarzanie grupy adresów bez usuwania jej z listy. W każdym momencie można włączyć reguły tej grupy definiując odpowiednie maski adresów dla niej Sprawdzać albo nie sprawdzać... Dla każdej wiadomości wysyłanej lub dostarczanej użytkownikowi można włączyć tryb przetwarzania wiadomości. Aby to zrobić należy: 1. Na stronie groups (patrz podrozdział ) wybrać nazwę odpowiedniej grupy i nacisnąć przycisk properties. 2. Na stronie masks okna dialogowego (patrz podrozdział ) zaznaczyć opcję Check this group i nacisnąć przycisk accept w prawym górnym rogu. #"Domyślnie wszystkie wiadomości odnoszące się do grupy default są testowane na obecność wirusów. 82

84 KEEPER Definiowanie przetwarzania wiadomości po procesie testowania Powiadamianie odbiorcy $"Aby skonfigurować program by powiadamiał odbiorcę o zainfekowanej wiadomości, należy wykonać następujące kroki: 1. Na stronie groups (patrz podrozdział ) wybrać nazwę odpowiedniej grupy i nacisnąć przycisk properties. 2. Na stronie recipient okna dialogowego (patrz podrozdział ) zaznaczyć opcję Add report dla obiektu Infected i nacisnąć przycisk accept w prawym górnym rogu. 3. Na stronie report (patrz podrozdział ) wybrać recipient z listy odbiorców powiadomień i nacisnąć przycisk properties. W oknie dialogowym należy zdefiniować wymagane ustawienia i wprowadzić tekst powiadomienia (więcej szczegółów znajduje się w podrozdziale ) i nacisnąć przycisk accept. Można zdefiniować następujące typy powiadomień wysyłanych do odbiorcy wiadomości: powiadomienie o zainfekowanej wiadomości (patrz Rysunek 2); powiadomienie o zainfekowanej wiadomości z dołączoną wiadomością (patrz Rysunek 3 i Rysunek 4); powiadomienie o zainfekowanej wiadomości z dołączoną wyleczoną (jeżeli jest to możliwe) wiadomością (patrz Rysunek 5 i Rysunek 6). $"Aby wysłać wyłącznie powiadomienie należy zaznaczyć opcję Add report dla obiektów typu Infected na stronie recipient i wybrać opcję Remove z odpowiadającej im rozwijanej listy Object action. Program wyśle powiadomienie do odbiorcy bez dołączania zainfekowanej wiadomości. 83

85 KEEPER Rysunek 2. Powiadomienie wysłane do odbiorcy $"Aby wysłać powiadomienie o zainfekowanej wiadomości z dołączoną do niego wiadomością należy zaznaczyć opcję Add report dla obiektów typu Infected na stronie recipient i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action. Program wyśle powiadomienie do odbiorcy z dołączoną zainfekowaną wiadomością. 84

86 KEEPER Rysunek 3. Powiadomienie z dołączoną wiadomością wysłane do odbiorcy Rysunek 4. Zainfekowana wiadomość dołączona do powiadomienia $"Aby wysłać powiadomienie o zainfekowanej wiadomości z dołączoną wyleczoną (jeżeli to możliwe) wiadomością należy wykonać następujące kroki: 1. Na stronie recipient zaznaczyć opcję Add report dla obiektów typu Infected i wybrać opcję Remove z odpowiadającej im rozwijanej listy Object action. Program usunie zainfekowany obiekt z wiadomości. 85

87 KEEPER 2. Zaznaczyć opcję Add report dla obiektów typu Cured i wybrać opcję Cured z odpowiadającej im rozwijanej listy Object action. Program wyśle powiadomienie to odbiorcy z dołączoną wyleczoną wiadomością. Jeżeli obiekt nie będzie mógł być wyleczony będzie on usunięty. Rysunek 5. Powiadomienie wysłane do nadawcy Rysunek 6. Wyleczona wiadomość dołączona do powiadomienia 86

88 KEEPER Blokowanie zainfekowanych wiadomości W niektórych przypadkach administrator może chcieć zablokować przychodzące zainfekowane wiadomości. $"Aby skonfigurować program by blokował wszystkie przychodzące zainfekowane wiadomości należy wykonać następujące kroki: 1. Na stronie masks (patrz podrozdział ) zaznaczyć opcję Check this group dla zaznaczonej grupy adresów. 2. Na stronie administrator (patrz podrozdział ) zaznaczyć opcję Isolator oraz Send notification dla obiektów typu Infected z odpowiadającej im rozwijanej listy Object action. 3. Na stronie report włączyć powiadamianie administratora (więcej szczegółów znajduje się w podrozdziale ) 4. Na stronie recipient (patrz podrozdział ) zaznaczyć opcję Block mail dla obiektów typu Infected i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action Dostarczanie wyłącznie wyleczonych wiadomości $"Aby skonfigurować program by dostarczał wyleczone wiadomości do docelowych skrzynek pocztowych i blokował wiadomości których wyleczenie nie powiodło się należy wykonać następujące kroki: 1. Na stronie masks (patrz podrozdział ) zaznaczyć opcję Check this group dla wybranej grupy adresów. 2. Na stronie administrator(patrz podrozdział ): zaznaczyć opcję Isolator dla obiektów typu Infected i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action; 87

89 KEEPER zaznaczyć opcję Add report dla obiektów typu Cured i wybrać opcję Cured z odpowiadającej im rozwijanej listy Object action; 3. Na stronie recipient: zaznaczyć opcję Block mail dla obiektów typu Infected i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action; zaznaczyć opcję Add report dla obiektów typu Cured i wybrać opcję Cured z odpowiadającej im rozwijanej listy Object action Przepuszczanie zainfekowanych wiadomości Administrator może skonfigurować program Keeper tak, by ten przepuszczał zainfekowane wiadomości do odbiorców. Taka możliwość jest użyteczna jeżeli administrator chce by wiadomość dotarła bez żadnego opóźnienia i jest pewny, że będzie ona wyleczona na komputerze użytkownika. Aby skonfigurować program by przepuszczał wiadomości bez ich sprawdzania, należy wykonać następujące kroki: 1. Na stronie masks odznaczyć opcję Check this group dla wybranej grupy. 2. Na stronie recipient zaznaczyć opcję Add report dla obiektów typu Infected i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action Filtrowanie poczty ze względu na dołączone pliki Można włączyć dodatkowe filtrowanie wiadomości ze względu na typ i rozmiar dołączonego pliku. 88

90 KEEPER $"Aby włączyć filtrowanie ze względu na typ dołączonego pliku, należy wykonać następujące kroki: 1. Na stronie filters (patrz podrozdział ) wprowadzić łańcuchy tekstowe *.bmp oraz image/* odpowiednio w polach Attach file mask i Attach mime-type mask. W ten sposób wyznaczamy obiekty, które będą przetwarzane z użyciem reguł zdefiniowanych dla filtrowanych plików. 2. W polach tekstowych Attach file i Attach mime-type zdefiniować typy pliku oraz MIME (odpowiednio) wyłączone z procesu testowania. $"Aby włączyć filtrowanie ze względu na rozmiar załącznika należy wprowadzić maksymalny i minimalny rozmiar pliku do skanowania odpowiednio w polach tekstowych Min attach size(kb) and Max attach size(kb). #"Jeżeli rozmiar załącznika jest mniejszy niż wartość Min attach size (Kb) lub przekracza Max attach size (Kb), wiadomość jest dostarczana do odbiorcy bez testowania! Przetwarzając pliki spełniające warunki filtrowania, Keeper postępuje zgodnie z regułami zdefiniowanymi na stronach administrator, sender i recipient dla obiektów typu Filtered (więcej szczegółów znajduje się w podrozdziałach i ) Dostarczanie zainfekowanych wiadomości do administratora $"Aby skonfigurować program by przesyłał wykryte zainfekowane wiadomości do administratora, należy wykonać następujące kroki: 1. Na stronie masks (patrz podrozdział ) zaznaczyć opcję Check this group dla wybranej grupy adresów. 2. Na stronie administrator(patrz podrozdział ): 89

91 KEEPER zaznaczyć opcję Send notification dla obiektów typu Infected i wybrać opcję Unchanged z odpowiadającej im rozwijanej listy Object action; wprowadzić adres lub alias administratora w polu tekstowym Group administrator address; zdefiniować pełną ścieżkę dostępu do katalogu kwarantanny w polu Isolator path i nacisnąć przycisk accept w prawym górnym rogu. Administrator będzie powiadomiony o wszystkich wiadomościach od/do adresów zawartych w grupie adresów. Program utworzy raport zawierający informacje o wykrytych wirusach i dołączy do niego zainfekowaną wiadomość. Rysunek 7. Powiadomienie z zainfekowaną wiadomością wysłane do administratora Powiadamianie nadawcy $"Aby powiadomić nadawcę o zainfekowanej wiadomości dostarczonej z jego skrzynki pocztowej, należy wykonać następujące kroki: 1. Na stronie masks (patrz podrozdział ) zaznaczyć opcję Check this group dla wybranej grupy adresów. 90

92 KEEPER 2. Na stronie sender zaznaczyć opcję Send notification dla obiektów typu Infected i wybrać opcję None z odpowiadającej im rozwijanej listy Object action; Nadawca zainfekowanej wiadomości zostanie powiadomiony o wirusie wykrytym w jego wiadomości bez informacji czy wiadomość została wyleczona czy nie. Rysunek 8. Powiadomienie dla nadawcy o wysłaniu przez niego zainfekowanej wiadomości Definiowanie atrybutów powiadomienia Program Keeper umożliwia wysyłanie powiadomień o zainfekowanych wiadomościach do odbiorcy, nadawcy i administratora. Aby zdefiniować ustawienia powiadamiania należy użyć opcji dostępnych na stronie report programu WebTuner (więcej szczegółów znajduje się w podrozdziale ( ) Log Program Keeper może być skonfigurowany do zapisywania w raporcie wszystkich akcji stosowanych do wiadomości pocztowych. Aby zdefiniować ustawienia trybu raportowania należy użyć opcji dostępnych na stronie log 91

93 KEEPER programu WebTuner (więcej szczegółów znajduje się w podrozdziale ). #"Program Keeper nie zapisuje w raporcie informacji o wykrytych wirusach i statystykach sprawdzania. Tego typu informacje znajdują się logach programu Scanner i Daemon Komunikacja pomiędzy programem Keeper a procesem demona Aby zdefiniować komunikację pomiędzy programem Keeper a procesem kavdaemon, należy użyć opcji dostępnych w sekcji Daemon connect na stronie main programu WebTuner (więcej szczegółów znajduje się w podrozdziale ) Uruchamianie programu Keeper Jak uruchomić program Keeper? Keeper może być uruchomiony z linii poleceń za pomocą polecenia:./kavkeeper [przełącznik1] [przełącznik2] [ ] [przełącznikn] gdzie [przełącznikn] jest opcjonalnym przełącznikiem linii poleceń programu Keeper.!"Jeżeli Keeper został uruchomiony bez żadnych przełączników w linii poleceń, program załaduje ustawienia z domyślnej bazy ustawień defunix. Aby zmienić te ustawienia należy użyć programu WebTuner (więcej szczegółów znajduje się w podrozdziale 11.10). Dostępne są następujące przełączniki linii poleceń: 92

94 KEEPER с nazwa_bazy_danych uruchamia program Keeper ze zdefiniowaną bazą ustawień h wyświetla listę przełączników linii poleceń. v wyświetla numer wersji programu. 93

95 Rozdział 8 8. Anti-Virus Monitor: antywirusowe monitorowanie systemu 8.1. Możliwości i funkcje Funkcje i możliwości programu Monitor. Monitor został stworzony w celu poszukiwania wirusów w plikach podczas każdorazowej operacji ich otwarcia, zapisu czy wykonywania. Program obsługuje pliki systemu Linux, FTP, HTTP, HTTP Proxy, POP3, Samba i innych serwerów sieciowych, których systemy plików znajdują się na lokalnym komputerze. Gdy program jest zainstalowany (patrz podrozdział 8.2.1), skonfigurowany (patrz podrozdział 8.2.2) i uruchomiony (patrz podrozdział 8.3) może on spełniać następujące funkcje: Zapobiegać otwarciu, uruchomieniu lub zapisaniu zainfekowanego pliku na lokalnym i zamontowanym systemie plików lokalnego komputera. 94

96 MONITOR Zapisywać wyniki wykonywanych działań do pliku logów.!"monitor jest klientem procesu Daemon, który musi być zainstalowany i skonfigurowany aby Monitor mógł być uruchomiony Kompilacja i konfiguracja Kompilacja antywirusowego modułu jądra Linux i monitora antywirusowego. Edycja pliku konfiguracyjnego programu Monitor Kompilacja programu Monitor Aby włączyć funkcję monitorowania otwieranych, zapisywanych lub wykonywanych plików należy najpierw zainstalować i skompilować antywirusowy moduł jądra systemu Linux. Moduł ten zwany klmon jest dostarczany razem z programem Monitor. Podstawową cechą tego modułu jest jego konstrukcja, która pozwala na uruchomienie i zatrzymanie monitora antywirusowego bez restartu systemu Linux. #"Monitor spełnia swoją funkcję wyłącznie w połączeniu z antywirusowym modułem klmon i programem Daemon. Rysunek 9 przestawia proces antywirusowego monitorowania systemu plików Linux. Rysunek 9. Proces monitorowania 95

97 MONITOR Zaraz przed otwarciem, zapisaniem lub wykonaniem plik w systemie plików Linux jest interpretowany przez moduł antywirusowy i przesyłany do programu Monitor. Monitor przetwarza plik i przekazuje jego nazwę do procesu demona, który sprawdza plik w poszukiwaniu wirusów. Jeżeli plik nie jest zainfekowany, Daemon zwraca odpowiedni kod do programu Monitor, który następnie informuje moduł antywirusowy o udzieleniu pozwolenia na pracę z tym plikiem. W przypadku gdy plik jest zainfekowany, proces demon zwraca kod błędu i Monitor zwalnia moduł antywirusowy z pracy z tym plikiem. Plik jest przejmowany przez proces demona stosujący zdefiniowane wcześniej ustawienia. Jak widać jest to łańcuch połączonych programów, w którym każdy komponent nie może spełniać swoich funkcji bez innych. Antywirusowy moduł klmon oraz Monitor są dostarczane w postaci kodów źródłowych, dlatego też przed uruchomieniem muszą zostać skompilowane. Po instalacji (patrz rozdział 2) źródła programu Monitor oraz podkatalog module.linux zawierający kod źródłowy modułu antywirusowego znajdują się w katalogu kavmonitor. #"Wyłącznie administrator (użytkownik root) jest uprawniony do kompilowania oraz instalowania modułu antywirusowego. $"Aby zainstalować i skompilować moduł antywirusowy oraz program Monitor, należy wykonać następujące kroki: 1. Za pomocą komendy cd przejść do katalogu zawierającego kody źródłowe modułu antywirusowego. Na przykład: cd /opt/avp/kavmonitor/module.linux 2. Skompilować moduł za pomocą komendy make. Proces kompilacji będzie wyświetlany na ekranie. #"Moduł jądra musi zostać skompilowany w systemie operacyjnym Linux na którym będzie uruchomiony.!"należy zwrócić uwagę, że moduł antywirusowy musi odpowiadać wersji jądra, ponieważ użycie niepoprawnego modułu może spowodować zniszczenie systemu. Aby wyświetlić numer wersji jądra systemu Linux, należy wpisać w linii poleceń komendę uname a. Jeżeli jądro systemu Linux zostało uaktualnione, należy ponownie skompilować moduł antywirusowy. 96

98 MONITOR 3. Aby system operacyjny automatycznie uruchamiał moduł, należy dodać plik zawierający linię insmod <nazwa_pliku> (gdzie <nazwa_pliku> jest pełną ścieżką dostępu do wykonywalnego pliku modułu) do odpowiedniego poziomu startowego. Na przykład: insmod monitor о 4. Za pomocą komendy cd przejść do katalogu z kodem źródłowym monitora. Na przykład cd /opt/avp/kavmonitor 5. Skompilować Monitor używając komendy make Konfigurowanie programu Monitor Program Monitor można skonfigurować zmieniając jego ustawienia w pliku konfiguracyjnym monitor.conf. Edytując ten plik można: Zdefiniować parametry wykonywania się programu. Zdefiniować tryb raportowania oraz ścieżkę do pliku raportu zawierającego wyniki działania programu. Plik konfiguracyjny zawiera dwie sekcje: sekcję Report file, w której można zdefiniować tryb raportowania, oraz sekcję Options, w której można zdefiniować parametry działania programu. Podczas przetwarzania i zapisywania pliku na dysk, Monitor zwraca odpowiedni kod wyjścia. Jednakże wiele programów nie przetwarza kodów wyjścia funkcji zamykających plik i kontynuują obsługę zainfekowanych plików. Aby zapobiec takim sytuacjom, zaleca się użycie programu Monitor do obsługi zainfekowanych obiektów. $"Aby zdefiniować sposób reakcji monitora na zainfekowane pliki, należy wpisać jedną z poniższych opcji do linii WriteInfedtedAction w sekcji Options: remove usuń plik; rename zmień nazwę pliku przez dodanie łańcucha.infected do jego rozszerzenia; none zignoruj plik. Jest to domyślna wartość. 97

99 MONITOR Linia w tej sekcji może wyglądać następująco: WriteInfedtedAction none System często tworzy, zapisuje i wykonuje pliki, które na pewno nie zawierają wirusów (na przykład pliki logów oraz pliki w katalogu bin), a ich testowanie tylko zwalnia szybkość działania systemu. Dlatego zalecane jest wyłączyć te pliki z procesu monitorowania. $"Aby wykluczyć niektóre pliki z obiektów, które mają być sprawdzane podczas otwierania, zapisywania lub uruchamiania należy w sekcji Options pliku konfiguracyjnego zdefiniować wartości następujących linii: OpenExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy otwieraniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: OpenExcludeMask /etc:/var/log:/usr/include:/lib:/usr/lib WriteExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy zapisywaniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: WriteExcludeMask /etc:/var/log ExecExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy wykonywaniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: ExecExcludeMask /usr/bin:/bin:/sbin #"Ustawienia te będą także dotyczyć podkatalogów zawartych w katalogach zdefiniowanych w powyższych liniach. Niektóre pliki, które są otwierane bardzo często, są za każdym razem testowane w poszukiwaniu wirusów. Może to w spowodować istotny spadek komfortu i wydajności pracy użytkownika. Aby rozwiązać ten problem została wprowadzona podręczna pamięć do przechowywania nazw tych plików oraz czasu ich ostatniego sprawdzania. W ten sposób, przed poszukiwaniem wirusów w pliku, Monitor poszukuje dokładniejszych informacji o pliku w pamięci podręcznej. Przyspiesza to proces 98

100 MONITOR sprawdzania, choć trzeba pamiętać, że zbyt dużo plików w pamięci podręcznej może spowolnić działanie programu (gdy czas potrzebny na testowanie plików jest równy czasowi przeszukiwania pamięci podręcznej). $"Aby zdefiniować liczbę plików skanowanych tylko podczas ich pierwszego otwarcia należy wprowadzić odpowiednią wartość w linii CacheSize sekcji Options. Na przykład: CacheSize 2500!"Wartość ta zależy od wydajności komputera i powinna zawierać się w przedziale pomiędzy 500 a Można zredukować czas testowania plików przez zwiększenie liczby plików przetwarzanych jednocześnie. Aby nie spowalniać wydajności systemu nie należy skanować więcej jak 5 do 15 plików jednocześnie $"Aby zdefiniować maksymalną liczbę jednocześnie skanowanych plików należy: wpisać wymaganą ich liczbę do linii MaxConcurrentCheck. Na przykład: MaxConcurrentChecks 10 $"Aby włączyć opcję raportowania błędów należy: wpisać OK do linii Warnings sekcji Options. $"Aby zdefiniować tryb raportowania działania programu należy: w sekcji Report file pliku konfiguracyjnego nadać odpowiednie wartości następującym liniom: LogFile ścieżka dostępu do pliku raportu. Na przykład: LogFile /tmp/kasperskymonitor.log!"aby program zapisywał w pliku raportu wszystkie rezultaty działania, należy zdefiniować pełną ścieżkę dostępu do tego pliku. W przeciwnym wypadku Monitor wcale go nie utworzy. Append aby nowy raport był dopisywany do już istniejącego pliku należy wpisać Yes. Aby plik był tworzony na nowo za każdym razem, należy wpisać No. 99

101 MONITOR!"Przykładowy plik konfiguracyjny programu Monitor znajduje się w Dodatku B.!"Monitor jest programem klienckim procesu Daemon, dlatego podczas poszukiwania wirusów oraz usuwania ich Monitor stosuje ustawienia procesu Daemon. Na przykład, jeżeli katalog nie jest uwzględniany podczas testowania przez program Daemon, będzie on ignorowany nawet jeżeli katalog ten nie jest wyłączony ze sprawdzania w programie Monitor Uruchamianie programu Monitor Jak uruchomić program Monitor? $"Aby uruchomić Monitor, należy wykonać następujące kroki: 1. Uruchomić Daemon, na przykład, przez wpisanie następującej linii:./kavdaemon #"Programu Monitor nie można uruchamiać przed wystartowaniem procesu demona i załadowaniem antywirusowego modułu jądra. 2. Jeżeli antywirusowy moduł klmon nie został załadowany automatycznie przez system operacyjny należy to zrobić ręcznie, na przykład wpisując linię insmod klmon.o 3. Zredagować plik monitor.conf jeżeli nie zostało to uczynione wcześniej (patrz podrozdział 8.2.2). 4. Uruchomić program Monitor wpisując w linii poleceń ścieżkę dostępu do pliku konfiguracyjnego. Na przykład:./monitor monitor.conf #"Jeżeli podczas uruchamiania program wygeneruje jakiś błąd, zostanie on wpisany do raportu, a program zostanie zamknięty. Szczegóły dotyczące możliwych błędów znajdują się w podrozdziale

102 MONITOR 8.4. Przeglądanie rezultatów działania Jak przeglądać rezultaty działania programu.? Podczas testowania otwieranych, zapisywanych czy uruchamianych plików Monitor (jeżeli jest tak skonfigurowany) rejestruje rezultaty swoich działań do pliku raportu. Nazwa pliku raportu oraz tryb raportowania są zdefiniowane w sekcji Report file pliku konfiguracyjnego monitor.conf. Pliki raportu mogą być przeglądane w dowolnym edytorze tekstowym Problemy i ich rozwiązywanie Najczęściej pojawiające się problemy i ich rozwiązania. Uruchamiając program Monitor można natknąć się na problemy. Poniżej zostaną opisane i omówione sposoby rozwiązania najczęściej występujących problemów. $"Jeżeli nie jest możliwe załadowanie antywirusowego modułu jądra klmon oraz na ekranie pojawia się informacja: unresolved symbol należy sprawdzić numer wersji modułu. Wersja modułu musi odpowiadać wersji jądra systemu Linux, w przeciwnym wypadku nie będzie możliwe uruchomienie modułu antywirusowego. $"Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: ERROR: Could not open kavmonitor peer file: No such file or directory należy sprawdzić czy moduł antywirusowy został poprawnie zainstalowany. Po wpisaniu w linii poleceń komendy lsmod, na ekranie zostanie 101

103 MONITOR wyświetlona lista wszystkich załadowanych modułów, wśród których powinien znajdować się także moduł klmon. $"Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: ERROR: Could not open kavmonitor peer file: permission denied znaczy to, że użytkownik nie posiada odpowiednich praw do uruchomienia programu Monitor. Tylko użytkownik root może uruchamiać program Monitor. $"Jeżeli wszystkie pliki w raporcie działania programu Monitor są oznaczone jako UNKNOWN należy sprawdzić czy program Daemon został poprawnie zainstalowany i uruchomiony. Po wpisaniu w linii poleceń komendy ps ax, na ekranie zostanie wyświetlona lista uruchomionych procesów, na której powinien znajdować się proces demona. $"Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: "Error opening daemon socket: no such file or directory" oznacza to, że proces demona nie jest uruchomiony lub używa złego gniazdka. Należy uruchomić demona z podaniem prawidłowego położenia gniazdka. $"Jeżeli monitor nie wykrywa wirusów w plikach, które są na pewno zainfekowane oznacza to, że pliki nie są zdefiniowane w lokalizacji skanowania przez program Daemon. Aby być w pełni zabezpieczonym, Daemon powinien być skonfigurowany do testowania wszystkich katalogów. #"Monitor nie jest w stanie znaleźć wirusa w plikach zapisywanych w systemie plików NFS. Spowodowane jest to przez niestandardową procedurę zapisywania plików zastosowaną przez serwer NFS w jądrze Linux. 102

104 MONITOR $"Jeżeli pojawia się problem należy spróbować zdefiniować jego źródło postępując według następujących kroków: 1. Wpisać w linii poleceń komendę ps ax aby sprawdzić, czy proces demona jest uruchomiony. 2. Wpisać w linii poleceń komendę lsmod aby sprawdzić, czy został załadowany moduł antywirusowy jądra. 3. Spróbować uruchomić program Monitor ze ścieżką do pliku konfiguracyjnego podaną w linii poleceń. 103

105 Rozdział 9 9. Slogan: Przetwarzanie i sumowanie raportów 9.1. Możliwości i funkcje Możliwości i funkcje programu. Program Slogan został stworzony do przetwarzania danych pochodzących z raportów generowanych przez programy Scanner i Daemon. Może on spełniać następujące funkcje: sumowanie rezultatów działania powyższych programów dla okresu zdefiniowanego przez użytkownika; monitorowanie bieżących zmian danych w plikach raportów. 104

106 SLOGAN 9.2. Uruchamianie programu Slogan Uruchamianie programu z linii poleceń. Aby uruchomić program Slogan, w linii poleceń należy wpisać jego nazwę wraz z odpowiednimi przełącznikami:./slogan [przełącznik1] [przełącznik 2] [ ] [przełącznik N] gdzie [przełącznik N] jest opcjonalnym przełącznikiem linii poleceń programu Slogan. #"Należy pamiętać, by zdefiniować pliki raportów do przetwarzania. W tym celu można użyć przełącznika wiersza poleceń s (szczegóły poniżej). Jeżeli program będzie uruchomiony bez przełączników w linii poleceń, na ekranie pojawi się lista dostępnych przełączników. Lista ta może zostać wyświetlona za pomocą przełącznika h. Uruchamiając program Slogan można wykorzystać następujące przełączniki wiersza poleceń: -s plik1 plik 2 plikn lub s maska_pliku. gdzie: plik1 plik 2 plikn to lista plików raportów przeznaczonych do przetworzenia przez Slogan; maska_pliku jest maską plików raportów przeznaczonych do przetworzenia przez Slogan.!"Podsumowanie stworzone przez Slogan zawiera skumulowane informacje o wszystkich zdefiniowanych plikach! -h Wyświetla plik pomocy z listą dostępnych przełączników linii poleceń. -t nazwa_pliku 105

107 SLOGAN Opcjonalny plik szablonu używanego do tworzenia przez Slogan raportu sumarycznego. Program zawiera różne pliki szablonów *.tm, które Slogan może użyć podczas sumowania danych raportowych (więcej szczegółów na temat szablonów znajduje się w podrozdziale 16.7 Dodatek B). Domyślnie program generuje raport sumaryczny z użyciem szablonu template.tm (patrz Rysunek 10), który jest podobny do raportu opisanego w podrozdziale Rysunek 10. Przykładowy raport sumaryczny stworzony przez Slogan 106

108 SLOGAN -ds dd.mm.rrrr Program sumuje raporty wygenerowane od dnia zdefiniowanego przez przełącznik. -de dd.mm.rrrr Program sumuje raporty wygenerowane do dnia zdefiniowanego przez przełącznik. -e Przełącznik umożliwia użycie języka angielskiego w raporcie sumarycznym. Domyślnie do generowania raportów program Slogan używa języka zdefiniowanego przez odpowiednie ustawienia systemu operacyjnego. -tt nazwa_pliku Przełącznik włącza tryb monitorowania w czasie rzeczywistym (więcej szczegółów znajduje się w podrozdziale 9.3) 9.3. Slogan w trybie monitorowania w czasie rzeczywistym Działanie programu w trybie monitorowania. Tryb monitorowania w czasie rzeczywistym pozwala na tropienie i badanie zmian w predefiniowanych plikach raportów. Ogólny format linii poleceń programu Slogan dla trybu monitorowania to:./slogan s [plik1] [ ] [plikn] tt [przełącznik1] [ ] [przełącznikn] gdzie: -tt przełącznik włączający tryb monitorowania programu Slogan. 107

109 SLOGAN [plikn] opcjonalny plik raportów przeznaczony do monitorowania w czasie rzeczywistym. [przełącznikn] opcjonalny przełącznik linii poleceń definiujący ustawienia programu Slogan dla trybu monitorowania. Uruchamiając program w trybie monitorowania czasu rzeczywistego można użyć następujących przełączników linii poleceń: -R sec Ustawia wymagany czas odświeżania ekranu statystyk czasu rzeczywistego programu Slogan. Na przykład, aby ekran był uaktualniany co 30 sekund należy wprowadzić przełącznik -R 30. Domyślnie ekran jest odświeżany co sekundę. -fast Pozwala na wyświetlanie tylko końca monitorowanego pliku raportu. Jeżeli nie jest on włączony, będą pokazywane zmiany czasu rzeczywistego w pliku raportu z autoprzewijaniem do miejsca zmiany. #"Dopóki całkowita liczba zmian w plikach raportów może być duża, zaleca się używanie tego przełącznika. -prev Włącza funkcję badania przez program wszystkich danych prezentowanych w pliku raportu. -r Wyświetla ponownie plik raportu jeżeli był on przez pewien czas niedostępny. Ekran (patrz Rysunek 11) wyświetlany przez Slogan w trybie monitorowania czasu rzeczywistego jest podzielony na dwa panele: Główne statystyki przedstawiają następujące podsumowania: Request sprawdzone obiekty. Archives sprawdzone archiwa. Packed sprawdzone spakowane pliki wykonywalne. Corrupted wykryte uszkodzone obiekty. OK sprawdzone pliki. 108

110 SLOGAN I/O Errors błędy wejścia/wyjścia. Infected wykryte zainfekowanie obiekty. Disinfected obiekty nie wyleczone. Suspicion wykryte podejrzane obiekty. Disinfections failed wykryte obiekty niemożliwe do odzyskania. Deleted obiekty usunięte. Warnings wykryte zmodyfikowane i zepsute wirusy. Koniec monitorowanego pliku raportu. Kombinacja klawiszy <CTRL+C> umożliwia wyjście z trybu monitorowania czasu rzeczywistego. Rysunek 11. Slogan w trybie monitorowania czasu rzeczywistego 109

111 10. Tuner: Konfigurowanie programów Scanner i Daemon Możliwości i funkcje Możliwości i funkcje programu. Rozdział 10 Tuner jest programem konfiguracyjnym, pozwalającym na tworzenie i edytowanie profili, tj. plików zawierających odpowiedni zestaw predefiniowanych ustawień skanera antywirusowego i procesu demona: lista obiektów przeznaczonych do skanowania na obecność wirusów; sposób przetwarzania zainfekowanych obiektów; użycie zaawansowanych narzędzi skanujących itp. 110

112 TUNER Uruchamianie programu Tuner Uruchamianie programu z linii poleceń. Dostępne przełączniki linii poleceń. Ogólna postać linii poleceń programu Tuner wygląda następująco:./kavtuner [przełącznik1] [ ] [przełącznikn], gdzie [przełącznik1] jest opcjonalnym przełącznikiem linii poleceń (patrz poniżej). Uruchamiając Tuner można użyć następujących przełączników linii poleceń: -g Włącza użycie pliku defunix.prf z katalogu /opt/avp/ jako profilu. -ua=nazwa_użytkownika Włącza (jeżeli nie jest stworzony) użycie pliku defunix.prf jako domyślnego profilu dla zdefiniowanego użytkownika. -ud= nazwa_użytkownika Wyłącza użycie pliku defunix.prf jako domyślnego profilu dla zdefiniowanego użytkownika. -v Wyświetla numer wersji programu. -e Włącza generowanie przez program raportów, wiadomości tekstowych itp. w języku angielskim. 111

113 TUNER Interfejs Omówienie interfejsu. Funkcje stron. Podczas uruchamiania programu na ekranie pojawia się jego główne okno, podzielone na dwie następujące części: listwę menu i obszar roboczy. Na górze okna znajduje się listwa menu zawierająca trzy menu: File, Settings, Help. $"Aby wybrać menu należy nacisnąć przycisk <ALT> i przycisk zawierający literę podświetloną w nazwie menu. #"Jeżeli program Tuner jest uruchamiany przez telnet, aby użyć skrótu klawiszowego należy dwukrotnie nacisnąć przycisk <ESC> i wymagany klawisz skrótu. Kombinacja <ALT+WYMAGANY_KLAWISZ> nie będzie działać! $"Aby poruszać się po menu należy użyć klawiszy strzałek lub odpowiednich kombinacji klawiszy. Pod listwą menu znajduje się główne obszar roboczy. Zawiera on sześć zakładek z różnymi nazwami (Location, Options, Report, ActionsWith, Customize i Mail). Po uruchomieniu programu w głównym oknie będzie wyświetlona strona Location. $"Aby przełączyć się do następnej strony należy wybrać jego nazwę w menu Settings lub nacisnąć przycisk <ALT> i przycisk zawierający literę podświetloną w nazwie strony. $"Aby przełączyć się do następnej strony należy wybrać polecenie Next Page z menu Settings. $"Aby przełączyć się do poprzedniej strony należy wybrać polecenie Previous Page z menu Settings. 112

114 TUNER Wybierając opcje na stronie można używać następujących przycisków: <HOME> przesunięcie kursora do początku pola tekstowego; <END> przesunięcie kursora do końca pola tekstowego; <SPACE> zaznaczenie/odznaczenie opcji; <TAB> przejście do następnego elementu; <F10> przejście do listwy menu (File, Settings, Help). $"Aby wyjść z programu konfiguracyjnego należy wybrać polecenie Exit z menu File lub użyć kombinacji klawiszy <ALT+X> Tworzenie, edytowanie i zapisywanie profilu Tworzeni, edytowanie i zapisywanie profilu z użyciem programu konfiguracyjnego. Aby skaner korzystał z wartości zdefiniowanych w obszarze roboczym programu konfiguracyjnego, należy zachować je w profilu $"Aby stworzyć nowy profil należy wykonać następujące kroki: 1. Uruchomić Tuner. Na ekranie pojawi się główne okno. 2. Zmienić wymagane ustawienia (więcej szczegółów znajduje się w podrozdziałach ) 3. Wybrać polecenie Save Profile As z menu File. Na ekranie pojawi się okno dialogowe Save Profile 4. Wybrać katalog z listy Files. 5. Wprowadzić nazwę profilu w polu tekstowym Profile name. 6. Nacisnąć przycisk Save. Ustawienia będą zapisane do zdefiniowanego pliku.prf. 113

115 TUNER!"Aby anulować zapisywanie ustawień należy nacisnąć przycisk Cancel. $"Aby edytować profil należy wykonać następujące kroki: 1. Uruchomić Tuner. Na ekranie pojawi się główne okno.!"podczas uruchamiania program ładuje domyślny profil (jego nazwa jest określona w pliku.ini) lub plik zdefiniowany w linii poleceń (patrz podrozdział ) 2. Wybrać polecenie Load Profile... z menu File. Na ekranie pojawi się okno dialogowe Load Profile Na liście Files wybrać katalog z profilem przeznaczonym do edycji. 4. Wybrać profil. 5. Nacisnąć przycisk Open. Ustawienia z tego pliku będą załadowane do głównego okna.!"aby anulować ładowanie ustawień profilu należy nacisnąć przycisk Cancel. 6. Zmienić wymagane ustawienia. 7. Zapisać zmiany (jak opisano powyżej). 8. Nacisnąć przycisk Yes w okno dialogowe potwierdzającym. Zmiany zostaną zapisane do zdefiniowanego pliku.prf. $"Aby zapisać ustawienia w domyślnym profilu, którego nazwa jest zdefiniowana w linii DefaultProfile pliku AvpUnix.ini należy, wybrać polecenie Save Profile as default z menu File. 114

116 TUNER Strona Location Definiowanie lokalizacji do testowania. Ustawienia dotyczące poszukiwania wirusów definiowane dla oddzielnych katalogów Definiowanie lokalizacji przeznaczonej do testowania Na stronie Location (patrz Rysunek 12) można zdefiniować listę katalogów przeznaczonych do testowania w poszukiwaniu wirusów. Rysunek 12. Strona Location!"Strona Location odpowiada sekcji [Object] profilu.!"jeżeli program został uruchomiony bez predefiniowanej lokalizacji do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select at least one directory to scan"

117 TUNER $"Aby zdefiniować lokalizację do testowania należy stworzyć listę katalogów przeznaczonych do sprawdzania na obecność wirusów.!"jest to główna lista katalogów przeznaczonych do testowania. Katalogi, które powinny być sprawdzane są oznaczone znakiem "+", a katalogi które powinny być pominięte znakiem "-". $"Aby edytować pozycje na liście należy należy nacisnąć klawisz SPACE lub dwukrotnie kliknąć przyciskiem myszy. Można wybrać następujące opcje dla każdej pozycji: pozycja ma być sprawdzana na obecność wirusa (poprzedzona znakiem "+"); pozycja ma być pominięta przy sprawdzaniu na obecność wirusa (poprzedzona znakiem "-") pozycja ma być neutralna (bez prefiksu). $"Aby dodać katalog do listy należy wykonać następujące kroki: 1. Nacisnąć przycisk Add folder. Na ekranie pojawi się okno dialogowe Add folder z polem Directory Name, odpowiednią listą rozwijaną, drzewem katalogów i przyciskami OK, Cancel i Revert 2. Wybrać wymagany katalog. Aby to zrobić można podać pełną ścieżkę do katalogu w polu Directory name, wybrać katalog z rozwijanej listy lub znaleźć na liście Directory tree. 3. Nacisnąć przycisk OK. Katalog będzie dodany do listy z poprzedzającym go znakiem "+". $"Aby usunąć katalog z listy należy wybrać go używając klawiszy kontrolnych kursora i naciskając klawisz <DEL>. Nie trzeba usuwać katalogu z listy aby pominąć jego skanowanie. Wystarczy użyć klawisza <SPACE> aby wyłączyć jego przedrostek ("+" lub "-") co jest to bardzo użyteczne, jeżeli ustawienia zostały zachowane w profilu (patrz podrozdział 10.4). 116

118 TUNER Definiowanie ustawień skanowania dla pojedynczego katalogu Okno Property katalogu: wybieranie wymaganego katalogu $"Aby zdefiniować ustawienia skanowania dla pojedynczego katalogu należy wykonać następujące kroki: 1. Za pomocą klawiszy strzałek lub myszki wybrać wymagany katalog.!"domyślnie program wybiera pierwszy katalog na liście. 2. Nacisnąć przycisk Property. Na ekranie pojawi się okno Property for. zawierające zakładki Objects, Actions, i Options oraz przyciski Accept, Accept to all, Save as i Cancel. Opcje w zakładkach pozwalają na definiowanie następujących ustawień wybranego katalogu: typy obiektów i plików przeznaczonych do skanowania (więcej szczegółów znajduje się w podrozdziale ); sposób przetwarzania zainfekowanych obiektów (więcej szczegółów znajduje się z podrozdziale ); użycie zaawansowanych narzędzi skanujących (więcej szczegółów znajduje się z podrozdziale ). 3. Przyciski znajdujące się na dole okna Property for pozwalają wykonać następujące operacje: Accept zastosowanie zdefiniowanych ustawień dla wybranego katalogu na stronie Location. Accept to all zastosowanie zdefiniowanych ustawień dla lokalizacji przeznaczonej do testowania (dla wszystkich katalogów z listy zdefiniowanej na stronie Location). 117

119 TUNER Save as pozwala na dodanie do lokalizacji przeznaczonej do testowania ustawień zdefiniowanych dla nowego katalogu. Po naciśnięciu przycisku pojawi się okno Add folder, którego można użyć do dodania wymaganego katalogu do listy na stronie Location (więcej szczegółów na temat dodawania lokalizacji przeznaczonej do testowania patrz podrozdział ). Katalog będzie dodany do listy i poprzedzony znakiem "+". Cancel opuszczenie okna Property for bez zachowywania zmian Okno Property katalogu: obiekty przeznaczone do testowania Opcje dostępne w oknie Property strony Objects (patrz Rysunek 13) pozwalają na zdefiniowanie następujących ustawień: typy obiektów przeznaczonych do testowania w poszukiwaniu wirusów; obiekty i katalogi które mają być ignorowane; typy plików przeznaczonych do testowania w poszukiwaniu wirusów; Rysunek 13. Strona Objects 118

120 TUNER $"Definiowanie obiektów przeznaczonych do skanowania w wybranym katalogi: Sectors włącza poszukiwanie wirusów w sektorach dysku. Files włącza poszukiwanie wirusów w plikach. Zaznaczając tą opcję należy wybrać typy plików przeznaczone do testowania. Więcej szczegółów na ten temat znajduje się poniżej. Packed files włącza poszukiwanie wirusów w spakowanych modułach wykonywalnych (więcej szczegółów znajduje się w podrozdziale ) Archives włącza poszukiwanie wirusów w plikach archiwów (więcej szczegółów znajduje się w podrozdziale )!"Mechanizmy extracting engine i unpacking engine znacząco spowalniają proces skanowania wykonywany przez Kaspersky Anti-Virus for Linux. Zaleca się włączenie tych mechanizmów wyłącznie w przypadku dużego prawdopodobieństwa zainfekowania pliku w archiwach i plikach spakowanych. Mail Databases włącza poszukiwanie wirusów w pocztowych bazach danych (więcej szczegółów znajduje się w podrozdziale ) Plain Mail formats włącza poszukiwanie wirusów w tekstowych formatach pocztowych (więcej szczegółów znajduje się w podrozdziale )!"Skanowanie pocztowych baz danych a zwłaszcza tekstowych plików pocztowych znacząco spowalnia proces skanowania wykonywany przez Kaspersky Anti-Virus for Linux. Zaleca się wyłączenie tej opcji przy wykonywaniu regularnego poszukiwania wirusów. #"Kaspersky Anti-Virus for Linux nie usuwa wirusów z archiwów, pocztowych baz danych i tekstowych formatów tekstowych. Embedded włącza poszukiwanie wirusów w osadzonych obiektach OLE badanych plików. 119

121 TUNER $"Wybranie jednej z poniższych opcji pozwala na zdefiniowanie typów plików do testowania: Smart skanuje programy, tj. wszystkie pliki z rozszerzeniami.bat,.com,.exe,.ov*,.sys,.bin,.prg,.class,.ini,.vbs,.js,.htm,.dpl,.htt,.hta,.hlp,.pif; a także pliki, których wewnętrzny format odpowiada plikom wykonywalnym DOS (*.com, *.exe and.sys), Windows i OS/2 (.exe, *.dll), Linux (w formacie.elf); pliki w formacie dokumentów i arkuszy Microsoft Office (OLE2 i Access) oraz aplety Java. Wartość ta włącza więc skanowanie wszystkich plików, które mogą zawierać kod wirusa. Programs skanuje wszystkie pliki z rozszerzeniami:.bat,.bin,.cla,.cmd,.com,.cpl,.dll,.doc,.dot,.dpl,.drv,.dwg,.eml,.exe,.fpm,.hlp,.hta,.htm,.htt,.ini,.js,.jse,.lnk,.mbx,.md*,.msg,.msi,.ocx,.otm,.ov*,.php,.pht,.pif,.plg,.pp*,.prg,.rtf,.scr,.shs,.sys,.tsp,.vbe,.vbs,.vxd,.xl*. All files skanuje wszystkie pliki każdego typu (wartość ta odpowiada masce *.*). User defined skanuje pliki typów zdefiniowanych przez użytkownika w polu tekstowym. Definiując więcej niż jeden typ plików należy oddzielać je przecinkami. $"Definiowanie plików i/lub katalogów, które mają być ignorowane podczas testowania: Exclude files włącza ignorowanie plików zdefiniowanych w polu tekstowym. W polu tym należy wprowadzić odpowiednie nazwy plików lub maski. Można także użyć przycisku Add aby wybrać te pliki z drzewa katalogów z okienka Add folder (więcej szczegółów znajduje się w podrozdziale ).!"Aby upewnić się, że nie ma wirusów w podanej lokalizacji, zaleca się testowanie wszystkich plików (opcja All files). Exclude directories włącza ignorowanie katalogów zdefiniowanych w polu tekstowym. W polu tym należy wprowadzić odpowiednie nazwy katalogów. Można także użyć przycisku Add aby wybrać te pliki z drzewa katalogów z okienka Add folder (więcej szczegółów znajduje się w podrozdziale ). 120

122 TUNER Okno Property katalogu: definiowanie akcji antywirusowych Opcje dostępne w oknie Property strony Actions (patrz Rysunek 14) pozwalają na zdefiniowanie akcji jakie mają zostać podjęte na zarażonych i podejrzanych obiektach. $"Aby zdefiniować obsługę zainfekowanych i podejrzanych obiektów należy wybrać jedną z poniższych opcji: Report only wyświetla informacje o zainfekowanych i podejrzanych obiektach, a jeśli program jest skonfigurowany to zapisuje je do pliku raportu. Program nie będzie leczył ani kasował obiektów. Display Disinfect Dialog wyświetla zapytanie o rodzaj działania na zainfekowanym obiekcie. Program sugeruje wyleczenie obiektu (dla obiektów możliwych do wyleczenia) lub skasowanie go (dla obiektów niemożliwych do wyleczenia). Disinfect automatically program leczy zainfekowane obiekty bez uprzedniego pytania. W przypadku obiektów, których nie da się wyleczyć sugeruje usunięcie obiektu. Delete object automatically program usuwa zainfekowane obiekty bez uprzedniego pytania. Rysunek 14. Strona Actions 121

123 TUNER $"Aby zdefiniować obsługę obiektów, których nie da się wyleczyć należy wybrać jedną z poniższych opcji: Report only wyświetla informacje o obiektach niemożliwych do wyleczenia, a jeśli program jest skonfigurowany to zapisuje je do pliku raportu. Program nie będzie usuwał lub tych obiektów. Delete object automatically program usuwa zainfekowane obiekty bez uprzedniego pytania. $"Aby skonfigurować program by robił kopie zapasowe zainfekowanych plików przeznaczonych do kasowania lub leczenia należy zaznaczyć opcję: Backup infected kopiuje zainfekowane pliki do katalogu zdefiniowanego w polu Copy to infected folder (patrz podrozdział 10.8) Okno Property katalogu: definiowanie użycie zaawansowanych narzędzi skanowania. Strona Options. Opcje dostępne w oknie Property strony Options (patrz Rysunek 15) pozwalają na włączenie/wyłączenie zaawansowanych narzędzi skanujących. $"Można użyć następujących zaawansowanych narzędzi skanujących: Warnings włącza zaawansowane narzędzie sprawdzające do poszukiwania uszkodzonych lub zmodyfikowanych wirusów. Code Analyzer włącza analizator heurystyczny poszukujący nieznanych wirusów. 122

124 TUNER Rysunek 15. Strona Options!"Czasami plik może być zainfekowany w niewłaściwy sposób, co sprawia, że jest do odzyskania, ale bez możliwości usunięcia wirusa. W takim wypadku, aby wykryć wirusa należy wykonać dogłębny test (narzędzie skanowania redundancyjnego). Redundant scan włącza narzędzie skanowania redundancyjnego Scan subdirectories włącza skanowanie podkatalogów. Cross filesystems włącza możliwość skanowania wszystkich dostępnych, dołączonych systemów plików Strona Options Opcje dostępne na stronie Options. Opcje dostępne na stronie Options głównego okna programu Tuner (patrz Rysunek 16) pozwala na definiowanie ustawień skanowania dla całej listy katalogów przeznaczonych do testowania (skumulowana lokalizacja do testowania).!"strona Options odpowiada sekcji [Options] profilu. 123

125 TUNER Rysunek 16. Strona Options $"Aby zdefiniować czy i jak program ma sprawdzać dowiązania symboliczne, należy wybrać jedną z poniższych opcji: On the command line skanuje tylko dowiązania symboliczne zdefiniowane w wierszu poleceń. All symbolic links testuje wszystkie dowiązania symboliczne. Skip symbolic links nie testuje dowiązań symbolicznych. $"Można zdefiniować następujące ustawienia: Scan subdir at end skanuje podkatalogi na końcu (po przeskanowaniu innych predefiniowanych obiektów). Scan removable poszukuje wirusów na dyskach wymiennych. #"Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Daemon (tj. kiedy Tuner został uruchomiony z linii poleceń z przełącznikiem pd)! Scan files in parallel włącza jednoczesne skanowanie obiektów zdefiniowanych w polach ze słowem Scan. Use memory files włącza tworzenie tymczasowych plików w pamięci (nie na dysku twardym). Jeżeli ta opcja jest zaznaczona należy zdefiniować poniższe ustawienia: 124

126 TUNER Limit for mem. files ograniczenie wielkości tworzonego w pamięci pliku tymczasowego. W polu tekstowym należy podać jego maksymalny rozmiar (w kilobajtach). Domyślną wartością jest 3000 kb i oznacza, że jeżeli rozmiar pliku tymczasowego przekroczy tę wartość, to zostanie on stworzony na twardym dysku. Mem. files max size ograniczenie wielkości plików rozpakowywanych z archiwów zdefiniowane w kilobajtach. Domyślną wartością jest kb i oznacza, że jeżeli plik rozpakowywany z archiwum przekroczy tę wartość to program skończy rozpakowywanie go do pamięci i rozpocznie generowanie pliku tymczasowego na dysku twardym. Temp path w polu tekstowym można zdefiniować ścieżkę dostępu do katalogu plików tymczasowych. Domyślnym katalogiem tych plików jest /tmp. #"Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Daemon (tj. kiedy Tuner jest został uruchomiony z linii poleceń z przełącznikiem pd)! Endlessly scan włącza opcję zapętlonego skanowania w poszukiwaniu wirusów. Scan delay określa interwał czasowy pomiędzy dwoma pętlami (w sekundach). Parametr ten jest używany wyłącznie jeżeli zaznaczona została opcja Endlessly scan. #"Jeżeli wartość pola Scan delay wynosi 0, pomiędzy pętlami nie będzie przerwy! 125

127 TUNER Strona Report Opcje dostępne na stronie Report. Opcje dostępne na stronie Report głównego okna programu Tuner (patrz Rysunek 17) pozwala na definiowanie formatu i zawartości raportów programów.!"strona Report odpowiada sekcji [Report] profilu. Rysunek 17. Strona Report $"Na tej stronie można zdefiniować następujące ustawienia raportowania: Report file włącza dodawanie wyników sprawdzania do pliku logów (raportu) zdefiniowanego w polu tekstowym. Use syslog włącza dodawane raportów do logów systemowych.!"zaznaczona opcja Use syslog automatycznie wyłącza działanie następujących parametrów: ReportFileName, Append, ReportFileLimit ReportFileSize i RepCreateFlag. Append nowy raport będzie dodawany do istniejącego pliku logów. Extended report włącza dodawanie do raportu szczegóło- 126

128 TUNER wych informacji. Limit sizes of report file, kb włącza ograniczanie wielkość pliku logów. W polu tekstowym należy zdefiniować jego maksymalny rozmiar w kilobajtach. Domyślną wartością jest 500 kb. Use CR włącza dodatkowo użycie znaku powrotu karetki dla oddzielnych rekordów w pliku logów. Domyślnie rekordy są oddzielane wyłącznie za pomocą znaku LF, co może utrudnić czytanie raportów w niektórych edytorach tekstu gdyż wszystkie informacje będą wyświetlone w jednej linii. Report for each object umożliwia umieszczanie w raporcie informacji o wszystkich testowanych obiektach. Use long strings zaznaczenie tej opcji wyłącza łamanie linii podczas wyświetlania raportu. #"Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Scanner (tj. kiedy Tuner jest został uruchomiony z linii poleceń z przełącznikiem ps)! User report włącza tworzenie raportów działania w pliku logów użytkownika. W polu tekstowym należy określić pełną nazwę tego pliku. Domyślnie ma on nazwę userreport.log. $"Aby zdefiniować atrybuty dostępu tworzonego pliku raportów należy w tym polu tekstowym Report create flag określić docelową maskę atrybutów w tym polu tekstowym. Na przykład wartość 600 przypisuje następujące atrybuty: odczyt przez właściciela i zapis przez właściciela. Przycisk Showing na stronie Report pozwala na zdefiniowanie opcjonalnych informacji dodawanych do raportu. Naciśnięcie przycisku Showing spowoduje otworzenie odpowiedniego okna dialogowego (Rysunek 18) podzielonego na dwie następujące części: Obszar roboczy z listą opcji definiujących opcjonalne informacje, które mogą zostać zawarte w raporcie działania programów. Domyślnie wszystkie opcje są zaznaczone. 127

129 TUNER Zestaw przycisków: Accept zapisuje dokonane zmiany. Cancel opuszcza okno bez zapisu dokonanych zmian. $"Użycie poniższych opcji pozwala na zdefiniowanie opcjonalnych informacji dodawanych do raportu: Show clean object in the log włącza dodawanie informacji o obiektach nie zawierających wirusów. Rysunek 18. Lista opcji w oknie Showing Show pack info in the log włącza dodawanie informacji o spakowanych plikach wykonywalnych. Show passworded in the log włącza dodawanie informacji o archiwach zabezpieczonych hasłami. Show suspicion in the log włącza dodawanie informacji o podejrzanych obiektach. Show warning in the log włącza dodawanie informacji o obiektach podejrzanych o zainfekowanie modyfikacją znanego wirusa. Show corrupted in the log włącza dodawanie informacji o uszkodzonych obiektach. Show unknown in the log włącza dodawanie informacji o wykrytych nieznanych wirusach. 128

130 TUNER Strona ActionWith Opcje dostępne na stronie ActionWith. Opcje dostępne na stronie ActionWith głównego okna programu Tuner (patrz Rysunek 19) pozwala na definiowanie sposobu obchodzenia się z zainfekowanymi i podejrzanymi plikami znalezionymi w kumulacyjnej lokalizacji przeznaczonej do testowania.!"strona ActionWith odpowiada sekcji [ActionWithInfected] i [ActionWithSuspicion]profilu. Rysunek 19. Strona ActionWith #"Strona ta zawiera dwa zestawy identycznych opcji dla zainfekowanych i podejrzanych obiektów, dlatego poniżej zostaną opisane tylko opcje dla zainfekowanych plików, które mają to samo znaczenie w odniesieniu do obiektów podejrzanych. $"Poniższe opcje definiują sposób obsługi przez program zainfekowanych obiektów: Copy to infected folder włącza kopiowanie zainfekowanych plików do oddzielnego katalogu zdefiniowanego w polu 129

131 TUNER tekstowym. Domyślnym katalogiem jest infected położony w tym samym katalogu co pakiet Kaspersky Anti-Virus for Linux.!"Zaleca się wprowadzenie całkowitej, a nie relatywnej, ścieżki do katalogów przeznaczonych do przechowywania obiektów podejrzanych i zainfekowanych #"Należy bardzo uważać przy obchodzeniu się z podejrzanymi i zainfekowanymi obiektami lub ich kopiami! Jeżeli zainfekowany jest plik wykonywalny, nie wolno go uruchamiać! Copy with path włącza kopiowanie zainfekowanych obiektów łącznie ze ścieżkami dostępu do nich. Change extension to włącza zmianę rozszerzeń zainfekowanych plików na rozszerzenie podane w polu tekstowym. $"Użycie poniższych pól tekstowych umożliwia definiowanie praw dostępu do zainfekowanych plików: 1. Chown to zmienia nazwę właściciela zainfekowanego pliku niemożliwego do wyleczenia, na podaną w polu tekstowym. Domyślną wartością jest None co oznacza, że program nie zmieni nazwy właściciela. 2. Chmod to zmienia prawa dostępu zainfekowanego pliku niemożliwego do wyleczenia na zdefiniowane w postaci maski w polu tekstowym. Na przykład, wartość 640 przypisuje następujące prawa do pliku: odczyt przez właściciela, zapis przez właściciela, odczyt przez grupę. Domyślną wartością jest No co oznacza, że program nie zmienia praw dostępu Strona Customize Opcje dostępne na stronie Customize. Opcje dostępne na stronie Customize głównego okna programu Tuner (patrz Rysunek 20) pozwala na definiowanie ustawień działania programu.!"strona Customize odpowiada sekcji [Customize] profilu. 130

132 TUNER Rysunek 20. Strona Customize $"Użycie poniższych opcji umożliwia definiowanie ustawień działania programu: Sound effect włącza użycie efektów dźwiękowych podczas procesu skanowania. Check updates via włącza opcję przypominania o uaktualnianiu baz antywirusowych. W polu tekstowym można wpisać interwał czasu pomiędzy dwoma przypomnieniami. Other messages włącza raportowanie o błędach generowanych podczas uruchamiania programu. Redundant message włącza pytanie o potwierdzenie przed włączeniem skanowania redundancyjnego.!"powyższe ustawienie będzie użyte wyłącznie przy skanowaniu katalogu z włączoną opcją użycia narzędzia skanowania redundancyjnego (patrz podrozdział ). "Delete all " message włącza pytanie o potwierdzenie przed usunięciem zainfekowanego obiektu.!"powyższe ustawienie będzie użyte wyłącznie przy skanowaniu katalogu z włączoną opcją Delete objects automatically na stronie Actions (patrz podrozdział ). 131

133 TUNER Exit on bad bases zakańcza działanie programu jeżeli zostanie wykryta uszkodzona baza antywirusowa. Use extended exit code włącza użycie rozszerzonych kodów wyjścia do raportowania rezultatów działania programu. 132

134 Rozdział WebTuner: zdalna administracja programem Cechy i funkcje Opis funkcji oraz właściwości programu. WebTuner został zaprojektowany do administracji pakietem Kaspersky Anti-Virus for Linux, tj. do zmiany ustawień i lokalnego lub zdalnego uruchamiania komponentów pakietu. Zarządzanie programem WebTuner zostało oparte na przeglądarce sieciowej. WebTuner pozwala na konfigurowanie i uruchamianie następujących elementów pakietu: Daemon (patrz podrozdział 11.7). Scanner (patrz podrozdział 11.8). Updater (patrz podrozdział 11.9). Keeper (patrz podrozdział 11.10). WebTuner (patrz podrozdział 11.6). 133

135 WEBTUNER!"Programy Keeper i WebTuner nie mogą być uruchamiane za pomocą WebTuner Ogólny opis działania programu Dostęp do programu WebTuner może odbywać się za pomocą dowolnej przeglądarki. Przeglądarka komunikuje się z programem przez serwer www dostarczony z programem WebTuner.!"Możliwe jest użycie konwencjonalnego serwera www, lecz należy przedefiniować jego ustawienia według opisu zamieszczonego w podrozdziale Serwer www pozwala ograniczyć grupę użytkowników mogących pracować z programem WebTuner. Ten rodzaj ograniczenia opiera się na tworzeniu pliku zawierającego hasło użytkownika. Więcej szczegółów na ten temat znajduje się w kroku 7 podrozdziału Przed zainstalowaniem programu WebTuner należy zainstalować serwer www (jeżeli nie został użyty konwencjonalny serwer www). Procedura instalacji serwera www oraz programu WebTuner oraz szczegóły odpowiednich ustawień konwencjonalnego serwera www są opisane w podrozdziale Domyślnie serwer www jest uruchamiany przez użytkownika root z nieograniczonymi prawami. Więcej szczegółów na temat zmiany użytkownika znajduje się w podrozdziale Po zainstalowaniu serwera www i programu WebTuner oraz zdefiniowaniu odpowiednich praw dostępu można użyć programu WebTuner do administracji Kaspersky Anti-Virus for Linux uruchamiając go z wykorzystaniem przeglądarki www. Poniższy schemat przedstawia łańcuch połączeń mechanizmów używanych w trakcie pracy z Kaspersky Anti-Virus for Linux przez WebTuner. 134

136 WEBTUNER Rysunek 21. Wywoływanie Kaspersky Anti-Virus for Linux przez WebTuner Podczas wywoływania Kaspersky Anti-Virus for Linux wykonywana jest następująca sekwencja: 1. Przeglądarka odwołuje się do serwera www. Komunikacja pomiędzy serwerem i przeglądarką odbywa się z użyciem protokołu Secure Socket Layer (SSL) wspomagającego prywatność komunikacji.!"serwer www dostarczony razem z programem wspiera protokół SSL. 2. Serwer www wysyła zapytanie o nazwę użytkownika programu WebTuner oraz jego hasło. 3. System weryfikuje nazwę i hasło użytkownika z listą autoryzowanych użytkowników. Jeżeli pozycje te znajdują się na liście użytkownik ma prawo do zarządzania plikami wykonywalnymi 135

137 WEBTUNER 4. Pracując z programem WebTuner można administrować (zmieniać ustawienia, uruchamiać) Kaspersky Anti-Virus for Linux Instalacja programu WebTuner: prawa dostępu Instalacja krok po kroku. Definiowanie praw dostępu do programu Komponenty programu WebTuner Zaraz po instalacji Kaspersky Anti-Virus for Linux (patrz rozdział 2) program WebTuner znajduje się w katalogu /opt/avp/httpd o strukturze: bin/ katalog zawierający wykonywalne pliki instalacyjne serwera www. conf/ katalog zawierający pliki konfiguracyjne serwera www. html/ katalog zawierające program WebTuner oraz pliki kodujące dla protokołu SSL (cert.pem oraz key.pem). Zawiera także następujące podkatalogi: cgi-bin/ podkatalog zawierający pliki wykonywalne programu WebTuner. img/ podkatalog zawierający obrazy używane przez WebTuner. settings/ podkatalog zawierający pliki konfiguracyjne programu WebTuner. tmp/ podkatalog na pliki tymczasowe generowane przez WebTuner. log/ katalog zawierający raporty działania serwera www. 136

138 WEBTUNER Konfigurowanie serwera www oraz programu WebTuner Po zainstalowaniu serwera www oraz programu WebTuner za pomocą programu Installer (więcej szczegółów znajduje się w rozdziale 2), należy skonfigurować programy, wykonując następujące kroki: 1. Aby upewnić się, że serwer www załaduje się prawidłowo, należy sprawdzić poprawność poniższych wpisów w skrypcie httpd.xxx (gdzie xxx jest skrótem nazwy odpowiedniej dystrybucji systemu operacyjnego) znajdującym się w katalogu /opt/avp/etcscripts/init.d/ INIFILE ścieżka dostępu do pliku konfiguracyjnego serwera www. Na przykład: INIFILE=/opt/AVP/httpd/conf/_httpd.conf HTTPD ścieżka dostępu do pliku wykonywalnego serwera www. Na przykład: HTTPD=/opt/AVP/httpd/bin/_httpd 2. Zweryfikować i zmienić, jeżeli nie są poprawne, następujące linie w pliku _httpd.conf znajdującego się w katalogu conf/: PORT numer portu do komunikacji z serwerem. Na przykład PORT=1100. CGI_PATH_SUBSTR wzorzec dla plików skryptów cgi (wykonywane będą tylko pliki odpowiadające temu wzorcowi). Na przykład: CGI_PATH_SUBSTR=cgi-bin/* USER nazwa użytkownika, którego prawa są przypisane serwerowi www. Na przykład: USER=root CHARSET tabela symboli używanych w formatach MIME. PID_FILE ścieżka dostępu do pliku.pid serwera www. Na przykład: PID_FILE=/var/run/_httpd.pid LOG_FILE ścieżka dostępu do pliku logów serwera www. Na przykład: LOG_FILE=/opt/AVP/httpd/log/_httpd USE_SSL wartość Yes włącza komunikację z wykorzystaniem SSL. No wyłącza tę funkcję. 137

139 WEBTUNER CH_ROOT wartość Yes włącza użycie przez program funkcji chroot() przy starcie serwera. No wyłącza tę funkcję. DOCROOT ścieżka dostępu do katalogu głównego serwera www. Na przykład: DOCROOT=/opt/AVP/httpd/html #"Należy się upewnić, że parametry LOG_FILE oraz DOCROOT są prawidłowe. Parametry USER i USE_SSL należy edytować w przypadku świadomego wprowadzania zmian. 3. Zweryfikować i zmienić, jeżeli nie są poprawne, następujące linie w pliku loader.cfg znajdującego się w katalogu html/settings/: CgiDir ścieżka dostępu do katalogu cgi-bin. Na przykład: CgiDir=/opt/AVP/httpd/html/cgi-bin AvpDir ścieżka dostępu do katalogu zawierającego pliki Kaspersky Anti-Virus for Linux. Na przykład: AvpDir=/opt/AVP/ AvpIni=AvpUnix.ini nazwa pliku inicjalizacyjnego Kaspersky Anti-Virus for Linux. 4. Użyć programu htpasswd dostarczonego z dystrybucją, do wygenerowania pliku.htpasswd zabezpieczającego serwer www przed nieautoryzowanym dostępem. Musi on zostać skopiowany do głównego katalogu serwera www (zdefiniowanego w parametrze DOCROOT w pliku _httpd.conf) oraz do katalogu CgiDir plików wykonywalnych. Plik ten jest generowany następującą komendą: htpasswd [-c] nazwa_pliku nazwa_użytkownika, gdzie: nazwa_pliku jest nazwą pliku.htpasswd; nazwa_użytkownika jest nazwą użytkownika serwera www; [-c] jest opcjonalnym przełącznikiem włączającym tworzenie nowego pliku dostępu. Jeżeli przełącznik jest pominięty, nowy plik nie zostanie utworzony a dane będą dodane do istniejącego pliku. 138

140 WEBTUNER 5. Wygenerować nowy plik certyfikatu (cert.pem) i klucza kodującego (key.pem) dla protokołu SSL. Aby to zrobić, należy wykonać następujące kroki: Stworzyć klucz i request certyfikatu: openssl req -new > cert.csr Usunąć hasło z klucza: openssl rsa -in privkey.pem -out key.pem Zmienić request certyfikatu na podpisany certyfikat: openssl x509 -in cert.csr -out cert.pem -req -signkey key.pem - days 365 Zostaną utworzone cztery pliki: cert.pem, key.pem, cert.csr oraz privkey.pem. Do dalszego działania będą potrzebne tylko pierwsze dwa pliki, reszta może zostać usunięta. Utworzone pliki cert.pem oraz key.pem muszą zostać umieszczone w katalogu głównym serwera www zdefiniowanym przez parametr DOCROOT w pliku _httpd.conf. 1. Aby system uruchamiał serwer www podczas startu, należy umieścić skrypt http.xxx w katalogu /etc/init.d, dodać odpowiednie dowiązania symboliczne do wymaganych poziomów startowych z użyciem narzędzi ntsysv oraz chkconfig lub komendą ln s. 2. Aby umożliwić przeglądanie raportów antywirusowych poprzez WebTuner, w katalogu /opt/avp/tools powinien znajdować się program slogan, natomiast w katalogu /opt/avp/httpd/html/settings pliki web_new_template.tm i web_template.tm (po domyślnej instalacji pakietów kavwslinux.tgz i kavwebtuner.tgz pliki te znajdują się we właściwych miejscach). $"Aby użyć innego serwera www do współpracy z programem WebTuner należy zdefiniować następujące ustawienia: 1. Zredagować ustawienia serwera tworząc wirtualny serwer, którego główny katalog wskazuje na rozpakowany katalog html, 139

141 WEBTUNER a następnie stworzyć alias do tego katalogu na istniejącym serwerze. 2. Zredagować ustawienia serwera definiując plik index.html jako domyślny plik tego katalogu. Jeżeli nie jest to możliwe, zmienić nazwę pliku na tę zdefiniowaną jako domyślną dla serwera. 3. Włączyć wykonywanie skryptów cgi dla podkatalogu html/cgibin. 4. Zredagować plik loader.cfg według opisu w kroku 3 dla serwera www programu WebTuner (patrz wyżej). 5. Włączyć obsługę protokołu SSL na serwerze www i wygenerować plik haseł, podobny do pliku.htpasswd opisanego dla serwera www programu WebTuner (patrz wyżej). Więcej szczegółów o definiowaniu tych ustawień może znajdować się w dokumentacji serwera www. 6. Wygenerować nowy certyfikat oraz klucz kodujący dla SSL. Odpowiednia sekwencja działań jest podana w kroku 5 opisanego dla serwera www programu WebTuner (patrz wyżej). 7. Aby umożliwić przeglądanie raportów antywirusowych poprzez WebTuner, w katalogu /opt/avp/tools powinien znajdować się program slogan, natomiast w katalogu /opt/avp/httpd/html/settings pliki web_new_template.tm i web_template.tm (po domyślnej instalacji pakietów kavwslinux.tgz i kavwebtuner.tgz pliki te znajdują się we właściwych miejscach) Prawa serwera www Prawa uruchamiania serwera www Domyślnie serwer www jest uruchamiany z prawami użytkownika root. Może być jednak uruchomiony z prawami innego użytkownika. 140

142 WEBTUNER $"Aby zmienić użytkownika z prawami którego będzie uruchamiany serwer należy wykonać następujące kroki: 1. Upewnić się, że na maszynie, na której będzie uruchomiony program Keeper, użytkownik go uruchamiający będzie miał prawa do: odczytu, zapisu oraz wykonywania plików w katalogu zawierającym Kaspersky Anti-Virus for Linux; odczytu i zapisu w katalogu zawierającym plik inicjalizacyjnym Kaspersky Anti-Virus for Linux (AvpUnix.ini); odczytu, zapisu oraz wykonywania w katalogu plików tymczasowych programu WebTuner (html/tmp); odczytu, zapisu oraz wykonywania plików w katalogu zawierającym wykonywalne pliki programu WebTuner (html/cgi-bin); zapisu i wykonywania plików w katalogu raportów (log/); odczytu i wykonywania plików w katalogu zawierającym pliki konfiguracyjne serwera www (conf/); wykonywania plików w katalogu bin/. 2. Zdefiniować nowego użytkownika w linii USER pliku _httpd.conf w katalogu conf/. Jeżeli serwer jest uruchamiany ręcznie, musi on zostać ponownie uruchomiony przez użytkownika zdefiniowanego w linii USER lub przez użytkownika root, który automatycznie zostanie zastąpiony przez użytkownika zdefiniowanego w linii USER Prawa uruchamiania programu WebTuner $"Aby mieć możliwość uruchamiania programu WebTuner należy posiadać odpowiednie prawa. Tylko użytkownicy wymienieni w pliku.htpasswd są uprawnieni do wejścia do głównego katalogu serwera www i katalogów plików uruchamialnych programu. 141

143 WEBTUNER $"Aby zdefiniować użytkowników uprawnionych do uruchamiania programu WebTuner należy wygenerować plik dostępu. Więcej szczegółów na temat generowania pliku.htpasswd znajduje się w kroku 4 w podrozdziale Przy próbie połaczenia się z serwerem, program zapyta się o identyfikator i hasło użytkownika Uruchamianie WebTuner Jak uruchomić program WebTuner? Program WebTuner zainstalowany wraz z serwerem www umożliwia zdalną administrację pakietem Kaspersky Anti-Virus for Linux. Dlatego można wywołać WebTuner z komputera z zainstalowaną przeglądarką internetową. $"Aby uruchomić WebTuner należy wykonać następujące kroki: 1. Uruchomić przeglądarkę internetową. 2. W polu tekstowym URL wprowadzić adres (gdzie: nazwa_serwera jest nazwą serwera z zainstalowanym programem WebTuner, port jest numerem portu zdefiniowanym w pliku _httpd.conf umieszczonym w katalogu conf/). 3. Wcisnąć klawisz <ENTER>. Na ekranie pojawi się okno dialogowe logowania w którym należy podać nazwę użytkownika oraz hasło (patrz Rysunek 22). 4. Nacisnąć przycisk OK. Jeżeli użytkownik jest uprawniony do uruchamiania, to WebTuner zostanie włączony. 142

144 WEBTUNER Rysunek 22. Okno dialogowe logowania Interfejs Omówienie interfejsu. Po uruchomieniu programu WebTuner, na ekranie pojawi się jego główne okno (patrz Rysunek 23) zawierające: listę kontrolowanych programów: Daemon, Updater, Keeper, Scanner oraz WebTuner; zestaw przycisków umożliwiających edycję listy. 143