KASPERSKY LAB. Kaspersky Anti-Virus for Linux Workstation PODRĘCZNIK UŻYTKOWNIKA

KASPERSKY LAB Kaspersky Anti-Virus for Linux Workstation PODRĘCZNIK UŻYTKOWNIKA

KASPERSKY ANTI-VIRUS FOR LINUX WORKSTATION Podręcznik Użytkownika Kaspersky Lab Polska Tel. (34) 368 18 14 Fax. (34) 368 18 15 http://www.kaspersky.pl Marzec 2002 1

Spis treści 1.KASPERSKY TM ANTI-VIRUS FOR LINUX WORKSTATION...7 1.1. Wstęp...7 1.2. Pakiet dystrybucyjny...9 1.2.1. Elementy pakietu dystrybucyjnego...9 1.2.2. Umowa Licencyjna...9 1.2.3. Karta rejestracyjna...10 1.3. Pomoc techniczna...10 1.4. Informacje zawarte w tym podręczniku...11 1.5. Symbole użyte w dokumentacji...11 2.INSTALACJA KASPERSKY ANTI-VIRUS FOR LINUX...13 2.1. Wymagania systemowe...13 2.2. Tworzenie kopii zapasowej dyskietek...14 2.3. Instalacja krok po kroku...14 2.3.1. z użyciem narzędzia instalacyjnego...14 2.3.2. bez pomocy narzędzia instalującego...15 2.4. Przygotowanie do uruchomienia...16 2.4.1. Redagowanie pliku.ini...16 2.4.2. Redagowanie ścieżki dostępu do plików tymczasowych..18 2.4.3. Dostosowywanie oprogramowania do indywidualnych potrzeb...18 3.URUCHAMIANIE KASPERSKY ANTI-VIRUS FOR LINUX...20 3.1. Modyfikowanie ustawień testowania...20 3.2. Uruchamianie testu...21 3.3. Uruchamianie uaktualniania antywirusowych baz danych...23 4.PROGRAM SCANNER: TESTOWANIE I LECZENIE...24 4.1. Uruchamianie programu Scanner...24 4.2. Wyszukiwanie i usuwanie wirusów...26 2

SPIS TREŚ CI 4.2.1. Ładowanie skanera antywirusowego...26 4.2.2. Obsługa zainfekowanych obiektów...27 4.2.3. Obsługa uszkodzonych obiektów...30 4.2.4. Obsługa podejrzanych obiektów...31 4.3. Przeglądanie statystyk dotyczących wydajności...31 5.SCANNER ORAZ DAEMON: KORZYSTANIE Z PRZEŁĄCZNIKÓW ORAZ PROFILI...33 5.1. Ustawienia testowania...33 5.2. Jak zmieniać ustawienia?...34 5.3. Konfigurowanie lokalizacji obiektów przeznaczonych do testowania...35 5.3.1. Definiowanie lokalizacji obiektów przeznaczonych do testowania...35 5.3.2. Definiowanie obiektów przeznaczonych do testowania...37 5.3.2.1. Typy obiektów...37 5.3.2.2. Sektory...37 5.3.2.3. Pliki...38 5.3.2.4. Spakowane pliki uruchamialne...40 5.3.2.5. Archiwa...41 5.3.2.6. Pocztowe bazy danych oraz pocztowe formaty tekstowe...42 5.3.2.7. Osadzone obiekty OLE...43 5.3.3. Definiowanie reakcji na wystąpienie zainfekowanych, podejrzanych oraz uszkodzonych obiektów...44 5.3.4. Definiowanie wykorzystania zaawansowanych narzędzi testujących...46 5.4. Ustawienia łączne lokalizacji obiektów przeznaczonych do testowania...48 5.4.1. Ustawienia łączne...48 5.4.2. Definiowanie ustawień testu oraz działania: Scanner oraz Daemon...49 5.4.3. Definiowanie reakcji na wystąpienie zainfekowanych i podejrzanych obiektów...53 3

SPIS TREŚ CI 5.4.4. Definiowanie ustawień raportu...55 6.PROCES DAEMON: INTEGROWANIE OCHRONY ANTYWIRUSOWEJ Z KLIENTAMI...59 6.1. Cechy programu Daemon...59 6.2. Uruchamianie procesu Daemon...60 6.3. Wywoływanie procesu z programu klienckiego...63 7.ANTI-VIRUS MONITOR: ANTYWIRUSOWE MONITOROWANIE SYSTEMU...66 7.1. Możliwości i funkcje...66 7.2. Kompilacja i konfiguracja...67 7.2.1. Kompilacja programu Monitor...67 7.2.2. Konfigurowanie programu Monitor...69 7.3. Uruchamianie programu Monitor...72 7.4. Przeglądanie rezultatów działania...73 7.5. Problemy i ich rozwiązywanie...73 8.SLOGAN: PRZETWARZANIE I SUMOWANIE RAPORTÓW...76 8.1. Możliwości i funkcje...76 8.2. Uruchamianie programu Slogan...77 8.3. Slogan w trybie monitorowania czasu rzeczywistego...79 9.TUNER: KONFIGUROWANIE PROGRAMÓW SCANNER I DAEMON82 9.1. Możliwości i funkcje...82 9.2. Uruchamianie programu Tuner...83 9.3. Interfejs...84 9.4. Tworzenie, edytowanie i zapisywanie profilu...85 9.5. Strona Location...87 9.5.1. Definiowanie lokalizacji przeznaczonej do testowania...87 9.5.2. Definiowanie ustawień skanowania dla pojedynczego katalogu...89 9.5.2.1. Okno Property katalogu: wybieranie wymaganego katalogu...89 4

SPIS TREŚ CI 9.5.2.2. Okno Property katalogu: obiekty przeznaczone do testowania...90 9.5.2.3. Okno Property katalogu: definiowanie akcji antywirusowych...93 9.5.2.4. Okno Property katalogu: definiowanie użycie zaawansowanych narzędzi skanowania. Strona Options....94 9.6. Strona Options...95 9.7. Strona Report...98 9.8. Strona ActionWith...101 9.9. Strona Customize...102 10.UPDATER: UAKTUALNIANIE BAZ DEFINICJI WIRUSÓW...105 10.1. Właściwości i funkcje...105 10.2. Uruchamianie programu Updater...106 10.3. Jak uaktualniać bazy antywirusowe?...107 10.3.1. Uaktualnianie przez Internet...107 10.3.2. Uaktualnianie z katalogu sieciowego...108 10.3.3. Uaktualnianie z archiwum...108 10.4. Zapisywanie raportu do pliku...109 11.INSPECTOR: MONITOROWANIE INTEGRALNOŚCI SYSTEMU PLIKÓW...111 11.1. Cechy i funkcje...111 11.2. Uruchamianie programu Inspector...112 11.2.1. Wiersz poleceń programu...112 11.2.2. Definiowanie lokalizacji do sprawdzania...114 11.2.3. Obsługa nowych i zmodyfikowanych plików...115 11.2.4. Zapisywanie raportu z działania programu...117 12.CONTROL CENTRE: PLANOWANIE DZIAŁANIA KASPERSKY ANTI- VIRUS FOR LINUX...119 12.1. Cechy i funkcje...119 12.2. Uruchamianie Control Centre...119 12.3. Planowanie działania zadań komponentów pakietu...120 5

SPIS TREŚ CI 12.4. Zapisywanie raportu z działania programu...125 13.DODATEK A. GŁÓWNE PLIKI...126 14.DODATEK B. UZUPEŁNIAJĄCE SZCZEGÓŁY O KASPERSKY ANTI- VIRUS FOR LINUX...127 14.1. Pliki z ustawieniami programu...127 14.2. Scanner i Daemon: plik inicjalizacyjny (AvpUnix.ini)...127 14.3. Scanner oraz Daemon: profil (defunix.prf)...129 14.4. Scanner oraz Daemon: przełączniki linii poleceń...140 14.5. Scanner oraz Daemon: zgłaszane komunikaty...146 14.6. Scanner oraz Daemon: kody wyjścia...148 14.7. Slogan: szablony raportów...149 14.8. Inspector: przełączniki linii poleceń...152 14.9. Control Centre: przełączniki linii poleceń...156 14.10. Monitor: plik konfiguracyjny (monitor.conf)...159 14.11. Updater: przełączniki wiersza poleceń...162 14.12. Installer: przełączniki linii poleceń...165 15.DODATEK C. KASPERSKY LAB...167 15.1. Jak się z nami skontaktować?...167 6

Uwaga! Nowe wirusy pojawiają się codziennie, dlatego w celu zabezpieczenia systemu należy uaktualniać bazy antywirusowe codziennie (patrz poniżej). Należy także pamiętać o uaktualnieniu baz natychmiast po zainstalowaniu programu! Rozdział 1. Kaspersky TM Anti-Virus for Linux Workstation 1.1. Wstęp Czym jest Kaspersky Anti-Virus for Linux? Kaspersky Anti-Virus for Linux Workstation (Kaspersky Anti- Virus for Linux) jest kompletnym systemem ochrony antywirusowej dla komputerów pracujących pod kontrolą systemu operacyjnego Linux. Umożliwia wykrywanie i usuwanie wszystkich obecnie znanych typów wirusów oraz niebezpiecznego oprogramowania, włączając: wirusy polimorficzne i szyfrujące się; wirusy ukrywające się i niewidzialne; wirusy dla Windows 9x, Windows NT, UNIX, OS/2; nowe wirusy dla apletów Java; makrowirusy infekujące dokumenty Word, arkusze programu Excel, prezentacje PowerPoint, pliki pomocy itd.; robaki sieciowe; konie trojańskie. 7

WSTĘ P Pakiet zawiera zestaw aplikacji oraz narzędzi antywirusowych. Program kavscanner (skaner antywirusowy) umożliwia, na żądanie użytkownika, testowanie systemu pod kątem obecności wirusów 1. Proces antywirusowy kavdaemon (demon antywirusowy) umożliwia integrację procesów testowania z programami użytkownika. Monitor antywirusowy kavmonitor (Monitor) monitoruje pliki otwierane i uruchamiane w systemie Linux pod kątem obecności wirusów. Program slogan umożliwia przetwarzanie i podsumowywanie danych zawartych w raportach generowanych przez programy Scanner oraz Daemon. Kavupdater umożliwia uaktualnianie antywirusowych baz danych, które są wykorzystywane przez inne składniki podczas testowania systemu na obecność wirusów. Podczas testowania w poszukiwaniu wirusów Kaspersky Anti- Virus for Linux korzysta z antywirusowych baz danych, zawierających informacje umożliwiające wykrywanie i usuwanie wielu wirusów. Kaspersky Lab codziennie publikuje uaktualnienia antywirusowych baz danych. W skład pakietu wchodzi także specjalny program konfigurujący kavtuner, który umożliwia zmianę ustawień ochrony antywirusowej skanera i demona antywirusowego. Korzystając z programu kavinspector (inspektor) można kontrolować system plików. Pozwala on na monitorowanie zmian w strukturze pliku oraz poszukiwanie wirusów w plikach z uwzględnieniem metod wnikania wirusów do plików. Działanie wszystkich komponentów Kaspersky Anti-Virus for Linux może być koordynowane za pomocą programu kavucc (centrum sterowania), pozwalającego użytkownikowi na zaplanowanie automatycznego startu komponentów oraz wyświetlanie informacji o stopniu wykorzystania licencji i użytkownikach Kaspersky Anti-Virus for Linux 1 Jeżeli dyski sieciowe innego komputera zostały zamontowane w systemie plików użytkownika, pliki z tych dysków również będą testowane. Proces testowania systemu plików oznacza testowanie wszystkich zamontowanych systemów plików. 8

WSTĘ P 1.2. Pakiet dystrybucyjny Co zawiera pakiet dystrybucyjny? Umowa Licencyjna. Karta rejestracyjna. 1.2.1. Elementy pakietu dystrybucyjnego Pakiet dystrybucyjny zawiera następujące elementy: zapieczętowaną kopertę z instalacyjną płytą CD (lub dyskietkami) zawierającą pliki produktu; plik klucza; kartę rejestracyjną (z numerem seryjnym produktu); Umowę Licencyjną. Przed rozpakowaniem zapieczętowanej koperty zawierającej nośnik instalacyjny, należy uważnie przeczytać postanowienia Umowy Licencyjnej. 1.2.2. Umowa Licencyjna Umowa Licencyjna (UL) jest legalnym porozumieniem pomiędzy użytkownikiem (jako osobą fizyczną lub firmą) a producentem (Kaspersky Lab Ltd.) opisującą warunki zakupu i użytkowania produktu antywirusowego. Nie należy otwierać zapieczętowanej koperty przed zapoznaniem się z postanowieniami Umowy Licencyjnej! Jeżeli użytkownik nie zgadza się z postanowieniami Umowy Licencyjnej, może on zwrócić produkt dystrybutorowi i uzyskać pełny zwrot poniesionych kosztów. Należy jednak upewnić się, że koperta zawierająca nośnik instalacyjny nie została naruszona. 9

WSTĘ P Odpieczętowanie koperty oznacza zaakceptowanie warunków Umowy Licencyjnej. 1.2.3. Karta rejestracyjna Aby zostać zarejestrowanym użytkownikiem, należy wypełnić kartę rejestracyjną i wysłać ją do przedstawiciela Kaspersky Lab w Polsce. W przypadku zmiany adresu korespondencji/e-mail lub numeru telefonu, należy powiadomić przedstawiciela, do którego została wysłana karta rejestracujna. Użytkownik rejestrując się uzyskuje status zarejestrowanego użytkownika Kaspersky Anti-Virus for Linux, oraz otrzymuje wsparcie techniczne i uaktualnienia antywirusowych baz danych przez okres trwania subskrypcji. 1.3. Pomoc techniczna Usługi świadczone zarejestrowanym użytkownikom. Kaspersky Lab oferuje szeroki pakiet usług dla zarejestrowanych użytkowników pakietu Kaspersky Anti-Virus. Użytkownik, który zarejestrował się i wykupił subskrypcję będzie mógł korzystać z poniższych usług przez cały okres ważności umowy licencyjnej: codzienne uaktualnienia antywirusowych baz danych; powiadomienia o nowych wersjach produktów; doradztwo związane z instalacją, konfiguracją oraz działaniem oprogramowania za pośrednictwem telefonu oraz poczty elektronicznej; powiadamianie o pojawieniu się informacji na temat nowych produktów z linii Kaspersky Anti-Virus lub o pojawieniu się nowych wirusów na świecie (dla użytkowników zapisanych na listę mailingową Kaspersky Lab) 10

WSTĘ P Kaspersky Lab nie udostępnia informacji na temat działania i użytkowania systemów operacyjnych. 1.4. Informacje zawarte w tym podręczniku Co zostało opisane w tym podręczniku i czego on nie zawiera? 1.5. Symbole użyte w dokumentacji Konwencje przyjęte w tym podręczniku. Tekst dokumentacji został różnie sformatowany w zależności od jego znaczenia. Konwencja Pogrubiona czcionka Notatka. Uwaga! Znaczenie Nazwy menu oraz jego polecenia, tytuły oraz elementy okien dialogowych, etc. Dodatkowe informacje, notatki Bardzo ważna informacja 11

WSTĘ P Konwencja Aby wykonać działanie: 1. Krok 1. 2. [przełącznik] opis funkcji przełącznika. Tekst wprowadzony przez użytkownika Tekst informacyjny Nazwa elementu kontrolnego funkcja elementu kontrolnego. Znaczenie Sekwencja działań wykonywanych przez użytkownika Opis drzewa ustawień Przełączniki wiersza poleceń Tekst, który powinien zostać wprowadzony przez użytkownika w linii poleceń. Tekst plików konfiguracyjnych oraz wiadomości informacyjnych programu. 12

Rozdział 2. Instalacja Kaspersky Anti- Virus for Linux 2.1. Wymagania systemowe Wymagania sprzętowe i systemowe. Aby uruchomić program Kaspersky Anti-Virus for Linux muszą zostać spełnione następujące wymagania systemowe: procesor 486 lub Intel Pentium (lub kompatybilny), minimum 64 MB pamięci RAM; system operacyjny Linux; biblioteka libnss_compat.so.1; jądro w wersji 2.2.x lub 2.4.x. Jądra systemowe w wersjach 2.0.x i wcześniejszych nie są obsługiwane! 13

INSTALACJA 2.2. Tworzenie kopii zapasowej dyskietek Jeżeli pakiet Kaspersky Anti-Virus for Linux dostarczony został na dyskietkach instalacyjnych (nie na płycie CD), przed rozpoczęciem instalacji programu zalecane jest utworzenie kopii tych dyskietek. W przypadku uszkodzenia dyskietek podczas instalacji możliwe będzie ich odtworzenie z kopii zapasowych. 2.3. Instalacja krok po kroku 2.3.1. z użyciem narzędzia instalacyjnego Aby zainstalować Kaspersky Anti-Virus for Linux przy pomocy narzędzia instalującego należy wykonać następujące kroki: 1. Skopiować archiwum z nośnika instalacyjnego na dysk twardy komputera. 2. Rozpakować archiwum przy pomocy polecenia tar zxvf <nazwa archiwum>. Z archiwum zostaną rozpakowane następujące pliki: narzędzie instalujące oraz archiwa zawierające pliki produktu. 3. Uruchomić narzędzie instalujące:./kavinstaller. 4. Jeżeli na ekranie pojawi się pytanie Search in current directory_name?, należy wcisnąć klawisz <Y>, a następnie klawisz <Enter>. Na ekranie pojawi się następujący komunikat: gdzie: In package <ścieżka> found <nazwa> version <numer_wersji > <numer_kompilacji> <ścieżka> ścieżka dostępu do archiwum; 14

INSTALACJA <nazwa> nazwa znalezionego oprogramowania; <numer_wersji> numer wersji; <numer_kompilacji> numer seryjny kompilacji programu. 5. Jeżeli pojawi się pytanie Do you want to install it?, należy wcisnąć klawisz <Y>. Po wykonaniu tych czynności instalator zainstaluje Kaspersky Anti-Virus for Linux na komputerze, a następnie spróbuje uruchomić skaner antywirusowy. Jeżeli z pewnych powodów uruchomienie instalatora nie było możliwe, należy rozpakować archiwa, utworzyć katalog dla programu antywirusowego i skopiować do niego zawartość archiwum (patrz podrozdział 2.3.2). Podczas wykonywania tych czynności należy zignorować komunikat systemu informujący o uszkodzeniu archiwum (system wyświetli ten komunikat, ponieważ archiwum jest podpisane cyfrowo). 2.3.2. bez pomocy narzędzia instalującego Aby skopiować pliki pakietu Kaspersky Anti-Virus for Linux na dysk komputera należy wykonać następujące czynności: 1. Wybrać katalog systemu plików, w którym ma być zainstalowany Kaspersky Anti-Virus for Linux. 2. W wybranym katalogu utworzyć podkatalog dla programu antywirusowego (przykładowo, /opt/avp lub /usr/lib/avp). 3. Umieścić w napędzie pierwszą dyskietkę instalacyjną lub jej kopię. 4. Zamontować napęd dyskietek w systemie plików. 5. Skopiować wszystkie pliki zapisane na dyskietce do wybranego katalogu. 6. Jeżeli antywirusowe bazy danych mają być przechowywane w oddzielnym katalogu, należy wybrać 15

INSTALACJA katalog i utworzyć w nim odpowiedni podkatalog (przykładowo, /opt/avp/bases lub /usr/lib/avp/bases). 7. Umieścić w napędzie drugą dyskietkę instalacyjną i zamontować napęd w systemie plików. 8. Skopiować wszystkie pliki zapisane na dyskietce do utworzonego katalogu (katalog wspólny lub przeznaczony dla antywirusowych baz danych). 9. Powtórzyć kroki 7 i 8 dla pozostałych dyskietek instalacyjnych. 10. Podać ścieżkę dostępu do antywirusowych baz danych w parametrze BasePath znajdującym się w pliku AvpUnix.ini. Aby zainstalowane programy mogły być uruchamiane z dowolnego katalogu, należy utworzyć odpowiednie łącza w katalogu /usr/bin lub /usr/local/bin. Lista plików programu oraz realizowanych przez nie funkcji znajduje się w Dodatku A. 2.4. Przygotowanie do uruchomienia Jak zredagować plik.ini oraz ścieżkę dostępu do katalogu zawierającego pliki tymczasowe? Dostosowywanie oprogramowania do różnych potrzeb. 2.4.1. Redagowanie pliku.ini Plik inicjacyjny AvpUnix.ini zawiera informacje niezbędne do poprawnej pracy pakietu. Może on znajdować się w jednym z poniższych katalogów: 16

INSTALACJA 1. ~/.AVP (katalog użytkownika. Na przykład, /root/.avp lub /home/user1/.avp) 2. /opt/avp/etc 3. /etc/avp Podczas uruchamiania, program poszukuje pliku AvpUnix.ini kolejno w katalogach wymienionych powyżej. Jeżeli plik nie zostanie tam znaleziony, program rozpocznie szukanie go w bieżącym katalogu! Jeżeli jest to wymagane, plik AvpUnix.ini może zostać redagowany (szczegółowe informacje dotyczące pliku INI znajdują się w Dodatku В). Redagowanie pliku inicjacyjnego będzie konieczne w następujących przypadkach: Jeżeli antywirusowe bazy danych zostały skopiowane do oddzielnego katalogu, konieczne będzie podanie odpowiedniej ścieżki dostępu w linii BasePath pliku AvpUnix.ini. Jeżeli ścieżka ta nie zostanie podana, program nie odnajdzie antywirusowych baz danych i nie będzie wykrywał żadnych wirusów! Jeżeli zmieniona została nazwa pliku.set (przykładowo, pliku ustawień antywirusowych baz danych), konieczne będzie podanie nowej nazwy w linii SetFile pliku AvpUnix.ini. Jeżeli nazwa ta nie zostanie podana, program nie załaduje antywirusowych baz danych i nie będzie wykrywał żadnych wirusów! Podczas redagowania parametru SetFile należy podać tylko nazwę pliku.set. Podawanie ścieżki dostępu do tego pliku nie jest konieczne! Jeżeli pliki kluczy zostały skopiowane do oddzielnego katalogu, konieczne będzie podanie odpowiedniej ścieżki dostępu w linii KeysPath pliku AvpUnix.ini. Jeżeli ścieżka ta nie zostanie podana, wszystkie programy będą pracować w trybie demonstracyjnym (przykładowo, wykryte wirusy nie będą usuwane oraz nie będą testowane archiwa i pocztowe bazy danych). 17

INSTALACJA Zaleca się podawanie bezwzględnych ścieżek dostępu do antywirusowych baz danych oraz do plików kluczy w pliku AvpUnix.ini. 2.4.2. Redagowanie ścieżki dostępu do plików tymczasowych Jeżeli pliki tymczasowe skanera oraz procesu demona mają być tworzone w katalogu innym niż /tmp (domyślny katalog, w którym przechowywane są pliki tymczasowe), należy zdefiniować go wykonując poniższe czynności: 1. Utworzyć katalog dla plików tymczasowych, przykładowo /TEMP). 2. Dodać katalog do zmiennej środowiskowej TEMP lub TMP. Aby zdefiniować nowy katalog dla plików tymczasowych tworzonych przez inne programy, należy zmienić ustawienia w odpowiednich plikach konfiguracyjnych tych programów. 2.4.3. Dostosowywanie oprogramowania do indywidualnych potrzeb Jeżeli skaner oraz demon mają być uruchamiane przez różnych użytkowników z innymi, indywidualnymi ustawieniami, należy wykonać poniższe czynności: 1. Utworzyć podkatalog.avp (przykładowo, /root/.avp) w katalogach domowych użytkowników. 2. Skopiować do utworzonych podkatalogów plik AvpUnix.ini oraz defunix.prf. 3. Jeżeli jest to konieczne, zmodyfikować profil (patrz Załącznik B). 18

INSTALACJA Jeżeli w linii poleceń programu kavtuner lub programu kavinstaller wykorzystany zostanie przełącznik ua=nazwa (gdzie nazwa jest nazwą użytkownika), programy automatycznie wykonają opisane powyżej czynności. 19

Rozdział 3. Uruchamianie Kaspersky Anti- Virus for Linux 3.1. Modyfikowanie ustawień testowania Jak zmienić ustawienia testowania? Korzystanie z przełączników linii poleceń oraz z profili. Aby korzystanie z funkcji programu Kaspersky Anti-Virus for Linux było możliwe, konieczne jest zdefiniowanie: obiektów, które będą testowane; sposobu traktowania tych obiektów; sposobu wykorzystania zaawansowanych narzędzi testujących. Program ładuje ustawienia testowania z profilu (plik posiadający rozszerzenie.prf), który zdefiniowany jest w linii DefaultProfile pliku AvpUnix.ini. Profil może być również określony przy użyciu przełączników linii poleceń (patrz podrozdział 4.1). W celu redagowania profilu można: 20

URUCHAMIANIE skorzystać z programu kavtuner (patrz rozdział 9). otworzyć i zmodyfikować profil w dowolnym edytorze tekstu (patrz podrozdział 5.2). Możliwe jest zdefiniowanie oddzielnych ustawień dla różnych zadań realizowanych przez program. Przykładowo, jeżeli program ma regularnie wykonywać test zapobiegawczy, nie jest konieczne uruchamianie zaawansowanych narzędzi testujących. Jeżeli jednak istnieje podejrzenie zainfekowania komputera, narzędzia te powinny zostać wykorzystane. Na przykład:./kavscanner V H- /root Powyższa linia poleceń uruchamia skaner antywirusowy w celu przetestowania katalogu /root z wykorzystaniem dwóch zaawansowanych narzędzi testujących testu redundancyjnego oraz analizatora heurystycznego. W celu zdefiniowania takich ustawień w pliku defunix.prf należy otworzyć go w dowolnym edytorze tekstu i wprowadzić następujące linie: Names=*/root; RedundantScan=Yes CodeAnylyser=Yes 3.2. Uruchamianie testu Jak uruchomić testowanie komputera w poszukiwaniu wirusów? Przykłady uruchomienia skanera oraz demona. Monitorowanie plików. Wyszukiwanie wirusów w poczcie elektronicznej. Test może być uruchomiony z linii poleceń lub ze skryptu. Przykładowo, linia poleceń uruchamiająca program kavscanner może wyglądać następująco: 21

URUCHAMIANIE./kavscanner Po uruchomieniu, skaner automatycznie ładuje ustawienia z pliku zdefiniowanego przez parametr DefaultProfile w pliku AvpUnix.ini. Domyślną nazwą pliku profilu jest defunix.prf. Jeżeli pakiet nie zawiera tego pliku skaner wykorzysta własne ustawienia domyślne. Ustawienia mogą być również zmieniane przy użyciu przełącznika F=nazwa_pliku_profilu w linii poleceń. Test na obecność wirusów może być również wykonywany przy użyciu programu kavaemon. Na początku program ten może być uruchamiany tylko z linii poleceń. Później możliwe będzie wywoływanie demona przez klienta. Gdy demon uruchamiany jest po raz pierwszy, linia poleceń może wyglądać następująco:./kavdaemon Wykonanie powyższego polecenia spowoduje uruchomienie procesu demona i załadowanie antywirusowych baz danych do pamięci. Aby rozpocząć testowanie (przykładowo, katalogów domowych) należy wprowadzić poniższe polecenie:./kavdaemon -o{/home} Demon dziedziczy wszystkie funkcje skanera, jednak niektóre przełączniki linii poleceń tych programów różnią się. Monitor jest zawsze aktywny i nieustannie testuje wszystkie uruchamiane lub otwierane obiekty (szczegółowe informacje dotyczące uruchamiania programu Monitor znajdują się w podrozdziale 6). 22

URUCHAMIANIE 3.3. Uruchamianie uaktualniania antywirusowych baz danych Źródła uaktualnień antywirusowych baz danych. Przykład wykorzystania programu Updater. Uaktualnienia antywirusowych bazy danych mogą być pobierane z Internetu lub dostarczane przez dystrybutorów Kaspersky Lab. Podstawowy adres uaktualniania to: ftp://updates1.kaspersky.pl/updates. Pełna lista dostępnych lokalizacji z udostępnianymi uaktualnieniami baz antywirusowych znajduje się pod adresem www.kaspersky.pl. Aby ochrona komputera przed nowymi wirusami była efektywna, należy regularnie uaktualniać antywirusowe bazy danych. Program Updater wchodzący w skład pakietu Kaspersky Anti-Virus for Linux umożliwia zautomatyzowanie procesu uaktualniania (patrz podrozdział 10.2). Program Updater może być uruchomiony z poziomu linii poleceń:./kavupdater uik=ftp://updates1.kaspersky.pl/updates 23

Rozdział 4. Program Scanner: testowanie i leczenie 4.1. Uruchamianie programu Scanner Uruchamianie programu Scanner z poziomu linii poleceń lub ze skryptu. Korzystanie z kodów wyjścia. W celu wykonywania okresowego testu komputera na obecność wirusów, należy skorzystać z programu Scanner. Program ten może być uruchamiany z linii poleceń lub ze specjalnie przygotowanego skryptu. Jeżeli podczas uruchamiania skaner antywirusowy nie zlokalizuje pliku klucza, to uruchomi się w trybie demonstracyjnym, tzn. wyłączone zostaną opcje poszukiwania wirusów w archiwach oraz wiadomościach pocztowych, a także wyboru akcji przez użytkownika w przypadku wykrycia wirusa. Podczas uruchamiania programu Scanner z poziomu linii poleceń, ustawienia mogą być definiowane przy użyciu odpowiednich 24

SCANNER przełączników. Poniżej znajduje się ogólny format linii poleceń programu Scanner:./kavscanner [przełącznik1] [przełącznik2] [...] [przełącznikn] [ścieżka] [maski_plików] gdzie: [przełącznik ] jest opcjonalnym przełącznikiem wiersza poleceń, [ścieżka] jest opcjonalna ścieżką systemu Linux, [maski_plików] to opcjonalne maski plików, które będą testowane. Domyślnie program testuje wszystkie pliki uruchamialne. Przed uruchomieniem testowania możliwe jest zdefiniowanie ustawień programu, takich jak typ testowanych obiektów, reakcja na wystąpienie zainfekowanych obiektów, uaktywnienie zaawansowanych mechanizmów testowania itp. (patrz podrozdział 5.1). Po uruchomieniu program automatycznie ładuje ustawienia z pliku defunix.prf. Jeżeli utworzony został nowy profil, a jego nazwę podano w linii DefaultProfile pliku AvpUnix.ini, Scanner załaduje ustawienia z nowego profilu. Jeżeli podczas uruchamiania program Scanner nie odnajdzie żadnego profilu, wykorzystane zostaną domyślne ustawienia. Ustawienia zapisane w profilu mogą być zmodyfikowane za pomocą przełączników linii poleceń. Jeżeli ustawienia mają być załadowane z profilu innego niż określony w pliku.ini, należy uruchomić program przy użyciu przełącznika -F=nazwa_pliku_profilu. Lista wszystkich dostępnych przełączników wiersza poleceń znajduje się w Dodatku B. Jeżeli program Scanner uruchamiany jest ze skryptu, możliwe jest przeglądanie zwróconych przez niego kodów wyjścia. Lista wszystkich kodów wyjścia wraz z przykładem ich analizy znajduje się w Dodatku B. Scanner może być uruchomiony z dyskietki instalacyjnej. Zaleca się utworzenie odpowiednich dyskietek startowych i zapisanie na nich pakietu Kaspersky Anti-Virus for Linux wraz z antywirusowymi bazami danych (wymagane będzie kilka dyskietek). Dyskietki takie będą bardzo pomocne podczas odzyskiwania systemu po ewentualnym ataku wirusa. 25

SCANNER Jeżeli dla programu Scanner zapisanego na dyskietkach startowych zostanie utworzony profil, należy podać wartość Yes dla parametru UseMemoryFiles (szczegółowe informacje dotyczące tego parametru znajdują się w podrozdziale 5.4.2). 4.2. Wyszukiwanie i usuwanie wirusów Reakcje na wystąpienie zainfekowanych obiektów. Zalecenia. Komunikaty generowane przez skaner antywirusowy w przypadku usunięcia podejrzanych lub zainfekowanych obiektów oraz komunikaty dotyczące wirusa wykrytego w programie antywirusowym. 4.2.1. Ładowanie skanera antywirusowego Po uruchomieniu program Scanner ładuje antywirusowe bazy danych. Jeżeli operacja ta zakończy się pomyślnie, na ekranie pojawi się następujący komunikaty: Antiviral databases were loaded. Records: <NNNN> gdzie <NNNN> jest liczbą rozpoznawanych wirusów. Następnie skaner szuka wirusów we własnym kodzie (w module uruchamialnym kavscanner). Jeżeli skaner antywirusowy zostanie zainfekowany wirusem, zaproponuje wyleczenie modułu uruchamialnego. W tym przypadku zalecane jest usunięcie zainfekowanego programu i ponowne jego zainstalowanie. Jeżeli nie istnieje taka możliwość należy wybrać opcję disinfect. Po wyleczeniu pliku skaner antywirusowy zasugeruje swoje ponowne uruchomienie i zakończy działanie. 26

SCANNER Jeżeli skaner antywirusowy nie jest zainfekowany, rozpocznie poszukiwanie wirusów w obiektach zdefiniowanych przez użytkownika stosując określone wcześniej ustawienia. Jeżeli nie określono żadnych typów obiektów przeznaczonych do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select Files and/or Sectors in the *.prf file." Jeżeli na ekranie pojawi się taki komunikat, należy określić rodzaje obiektów przeznaczone do testowania. Jeżeli nie określono żadnej lokalizacji obiektów przeznaczonych do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select at least one directory to scan." Jeżeli na ekranie pojawi się taki komunikat, należy określić lokalizację obiektów przeznaczonych do testowania. 4.2.2. Obsługa zainfekowanych obiektów W przypadku wykrycia obiektów zainfekowanych wirusem, Scanner będzie próbował je wyleczyć. Niestety leczenie nie zawsze jest możliwe (program wyświetla wtedy odpowiedni komunikat). W takim przypadku należy usunąć zainfekowany obiekt. Scanner nie leczy plików uszkodzonych przez wirusy, koni trojańskich, plików zapisanych w archiwach oraz pocztowych baz danych i pocztowych formatów tekstowych. Podczas pracy z zainfekowanymi i podejrzanymi obiektami należy postępować bardzo ostrożnie. Jeżeli zainfekowane są pliki uruchamialne pod żadnym pozorem nie należy ich uruchamiać. 27

SCANNER Jeżeli skaner antywirusowy został skonfigurowany aby umożliwić użytkownikowi wybór metody traktowania zainfekowanych obiektów, po wykryciu takiego obiektu na ekranie pojawi się jego nazwa, nazwa wirusa oraz możliwość wyboru odpowiedniej reakcji. Poniżej znajduje się przykładowe zapytanie programu Scanner: gdzie: Actions Report only (OK/disInfect/Delete/Cancel/Stop) Report only program tylko zapisze informacje o zainfekowanym obiekcie w raporcie; disinfect program spróbuje wyleczyć obiekt; wirus zostanie usunięty; zostanie przywrócona poprawna zawartość obiektu; Delete obiekt usunie obiekt; Cancel program zignoruje obiekt i będzie kontynuował testowanie; Stop program przerwie testowanie. Zapytanie może się różnić w zależności od metody wybranej dla poprzedniego zainfekowanego obiektu. Ogólny format zapytania programu Scanner jest następujący: where: Actions <Reakcja_1> (OK/<Reakcja_2>/<Reakcja_3>/Cancel/Stop) <Reakcja_1> jest metodą domyślną. Może to być jedna z następujących reakcji: Report only, desinfect lub Delete; <Reakcja_2> oraz <Reakcja_3> to pozostałe dwie metody z wymienionych powyżej. Polecenia Cancel oraz Stop zawsze znajdują się na końcu zapytania. 28

SCANNER Aby wybrać metodę domyślną należy wcisnąć na klawiaturze literę odpowiadającą wielkiej literze w nazwie opcji lub klawisz <O> (oznaczający wybranie polecenia OК). Aby wybrać jedną z pozostałych metod należy wcisnąć na klawiaturze literę odpowiadającą wielkiej literze w nazwie opcji. Przykładowo, aby wybrać polecenie disinfect należy wcisnąć na klawiaturze klawisz <I>. Jeżeli zainfekowany jest sektor startowy (MBR, tablica partycji) i wybrana została opcja disinfect lub Delete, Scanner wyświetli poniższe ostrzeżenie: Treatment of sectors is a risky operation! We recommend you to make a complete backup of your drive. Proceed with treatment now? - Yes/No Aby potwierdzić wykonanie operacji należy wcisnąć klawisz <Y> i <ENTER>. Aby anulować należy wcisnąć klawisz <N> i <ENTER>. Jeżeli wykonanie operacji zostanie potwierdzone, Scanner rozpocznie leczenie sektorów i nadpisze je standardowym sektorem startowym MS- DOS 6.0. Jeżeli wykonanie operacji zostanie anulowane, proces testowania zakończy się. W takim przypadku możliwe będzie zamknięcie programu i utworzenie kopii zapasowej dysku przed rozpoczęciem ewentualnego leczenia. Po wybraniu jednej z powyższych metod traktowania zainfekowanych obiektów, na ekranie pojawi się poniższy komunikat: Apply to all Infected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner zastosuje wybraną metodę dla wszystkich zainfekowanych obiektów. Rezultaty testu zostaną zapisane w raporcie. 29

SCANNER 4.2.3. Obsługa uszkodzonych obiektów Zainfekowane obiekty nie zawsze mogą być leczone, ponieważ niektóre wirusy nieodwracalnie zmieniają ich zawartość. Obiekty takie powinny być usuwane. Jeżeli program nie może wyleczyć obiektu, na ekranie pojawi się poniższy komunikat: gdzie: Disinfecting of <NAZWA_OBIEKTU> infected by virus <NAZWA_WIRUSA> is impossible. Delete this object - Yes/No <NAZWA_OBIEKTU> jest nazwą zainfekowanego obiektu; <NAZWA_WIRUSA> jest nazwą wirusa wykrytego w obiekcie. Aby usunąć obiekt należy wcisnąć klawisz <Y> oraz <ENTER>. Program usunie obiekt i wyświetli pytanie: Delete all non disinfected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner automatycznie usunie każdy obiekt, którego leczenie nie jest możliwe. Jeżeli odpowiedź będzie przecząca, przy wykryciu kolejnego obiektu, którego nie można wyleczyć, Scanner umożliwi użytkownikowi podjęcie odpowiedniej decyzji. Aby anulować usuwanie obiektu należy wcisnąć klawisz <N> oraz <ENTER>. Program nie usunie obiektu i wyświetli poniższe pytanie: Do not delete all non-disinfected objects? - Yes/No Jeżeli odpowiedź będzie twierdząca, skaner automatycznie pominie wszystkie obiekty, których leczenie nie jest możliwe. Jeżeli odpowiedź będzie przecząca, przy wykryciu kolejnego obiektu, którego leczenie jest niemożliwe, program umożliwi użytkownikowi podjęcie odpowiedniej decyzji. 30

SCANNER Scanner nie leczy wirusów w pocztowych bazach danych oraz w pocztowych formatach tekstowych. Do leczenia wiadomości poczty elektronicznej przeznaczony jest program Keeper zawarty w pakiecie Kaspersky Anti-Virus for Linux Server. Scanner nie leczy i nie usuwa zainfekowanych plików zapisanych w archiwach. Aby wyleczyć takie pliki należy rozpakować archiwum do tymczasowego katalogu, wyleczyć lub usunąć zainfekowane obiekty i ponownie utworzyć archiwum. 4.2.4. Obsługa podejrzanych obiektów Jeżeli Scanner poinformuje o wykryciu podejrzanego pliku lub sektora zalecamy skontaktowanie się z działem pomocy technicznej. Obiekt taki można również wysłać do firmy Kaspersky Lab (przykładowo, pod adres newvirus@kaspersky.pl) gdzie zostanie on poddany szczegółowej analizie. Przed wysłaniem podejrzanego obiektu do firmy Kaspersky Lab należy go umieścić w archiwum zabezpieczonym hasłem. 4.3. Przeglądanie statystyk dotyczących wydajności Jak przeglądać rezultaty testów? Wiadomości dotyczące testowanych obiektów. Statystyki dotyczące wydajności. Podczas testowania obiektów program wyświetla bieżące rezultaty. Z lewej strony ekranu znajdują się nazwy testowanych obiektów, natomiast, po stronie przeciwnej wyświetlany jest ich status. Lista wszystkich wyświetlanych komunikatów znajduje się w Dodatku B. Po zakończeniu testu program wyświetla statystykę zawierającą informacje o przetestowanych obiektach oraz o wykrytych i usuniętych wirusach. 31

SCANNER Tabela zawierająca statystykę podzielona jest na dwie kolumny: Lewa kolumna zawiera ilość testowanych sektorów, plików, katalogów, plików spakowanych oraz archiwów. W kolumnie tej wyświetlany jest również czas testowania. Prawa kolumna zawiera poniższe wartości: Known viruses ilość wirusów wykrywanych przez Kaspersky Anti-Virus for Linux; Virus bodies ilość plików zainfekowanych znanymi wirusami; Disinfected ilość obiektów, z których usunięto wirusy; Deleted ilość usuniętych obiektów; Warnings ilość obiektów, które zawierają kod podobny do kodu znanego wirusa; Suspicious ilość podejrzanych obiektów, np. wykrytych podczas analizy heurystycznej; Corrupted ilość uszkodzonych obiektów; I/O errors ilość błędów, które wystąpiły podczas odczytywania plików. Informacje dotyczące zainfekowanych obiektów oraz statystyk będą zapisywane w raporcie tylko, gdy program zostanie odpowiednio skonfigurowany. Aby przetworzyć i zsumować dane z raportów by przeglądać szczegóły operacji skanowania należy użyć programu Slogan (patrz rozdział 8). 32

Rozdział 5. Scanner oraz Daemon: korzystanie z przełączników oraz profili 5.1. Ustawienia testowania Jakie obiekty testować? Jak traktować zainfekowane obiekty? Aby wykrywanie wirusów było możliwe należy określić poniższe parametry: Lokalizacja testowanych obiektów: sektory systemowe (Boot Sector, Master Boot Record, tabela partycji) oraz pliki zapisane na lokalnych, sieciowych i zewnętrznych dyskach (floppy, LS- 120, CD). Obiekty przeznaczone do testu: pliki spakowane, archiwa, pocztowe bazy danych, lokalne skrzynki pocztowe, pliki różnych typów. 33

USTAWIENIA Reakcje na wystąpienie zainfekowanych obiektów: obiekty takie mogą być leczone, usuwane lub kopiowane do określonego katalogu. Zaawansowane narzędzia testujące: wyszukiwanie uszkodzonych i zmodyfikowanych wirusów, test redundancyjny (sprawdzający nie tylko punkty wejścia do pliku, ale całą zawartość analizowanego pliku), analizator heurystyczny (pozwalający na wykrywanie nieznanych wirusów). Przeprowadzone testy dowiodły, że analizator heurystyczny wykrywa ponad 92% nieznanych wirusów. Zapisywanie raportu z testu do pliku: program może zapisywać raport z procesu testowania oraz informacje o wydajności do pliku. 5.2. Jak zmieniać ustawienia? Przełączniki linii poleceń, profile oraz program konfiguracyjny. Zalecenia dotyczące korzystania z różnych ustawień. Skaner antywirusowy oraz program Daemon ładuje ustawienia z profilu (przykładowo, z pliku.prf). W celu redagowania profilu należy zastosować jedną z poniższych metod: skorzystać z programu Tuner (patrz rozdział 9). zredagować plik.prf przy użyciu dowolnego edytora testu. Ustawienia z profilu mogą być również zmienione przy użyciu przełączników linii poleceń. Jeżeli Scanner ma być wykorzystywany do różnych celów, możliwy jest wybór jednej z poniższych konfiguracji: Test regularny. Scanner może wykonywać test regularnie (przykładowo, codzienne testowanie dysków). W tym celu należy utworzyć zestaw profili zawierających różne ustawienia i 34

USTAWIENIA uruchamiać skaner antywirusowy z odpowiednimi profilami definiowanymi w linii poleceń Test nieregularny. W niektórych przypadkach może wystąpić konieczność uruchomienia testu z niestandardowymi ustawieniami. Przykładowo, możliwe jest wyszukiwanie wirusów tylko w pocztowych bazach danych. W takim przypadku zaleca się uruchomienie skanera z poziomu linii poleceń przy użyciu odpowiednich przełączników. 5.3. Konfigurowanie lokalizacji obiektów przeznaczonych do testowania Lokalizacja obiektów przeznaczonych do testowania. Testowane obiekty. Indywidualne ustawienia dla lokalizacji obiektów. 5.3.1. Definiowanie lokalizacji obiektów przeznaczonych do testowania Przed zmianą innych ustawień należy podać lokalizację obiektów przeznaczonych do testowania. Jeżeli program zostanie uruchomiony bez określonej lokalizacji obiektów przeznaczonych do testowania, na ekranie pojawi się poniższy komunikat: "Nothing to scan. You should select at least one directory to scan." Lokalizację należy określić w linii Names, w sekcji [Object] profilu. 35

USTAWIENIA JEDEN PROFIL MOŻE POSIADAĆ WIĘCEJ NIŻ JEDNĄ SEKCJĘ [Object] dla różnych lokalizacji. Ponadto dla każdej lokalizacji możliwe jest określenie innych ustawień testowania. Aby zdefiniować lokalizację obiektów przeznaczonych do testowania, w linii Names sekcji [Object] należy podać katalogi systemu plików, w których test ma być przeprowadzony. W przypadku podania większej ilości katalogów należy oddzielić je za pomocą średników. Jeżeli program ma wyszukiwać wirusy w podanym katalogu należy poprzedzić nazwę katalogu znakiem *. Przykładowo, jeżeli linia wygląda następująco: Names =*/root/vir;.home/samba; */root/tst; program będzie szukał wirusów tylko w plikach zapisanych w katalogach /root/vir oraz /root/tst. Aby wyłączyć katalog z lokalizacji przeznaczonej do sprawdzania należy poprzedzić jego nazwę znakiem ".". Lokalizacja obiektów przeznaczonych do testowania może być również określona przy użyciu przełączników linii poleceń (patrz rozdział 4.1). Jeżeli zalogowany użytkownik nie posiada dostępu do katalogów lub plików przeznaczonych do testowania, obiekty te zostaną pominięte podczas testu. Aby wyszukiwać wirusy w podkatalogach katalogów określonych w linii Names, należy wpisać Yes w linii SubDirectories sekcji [Object]. W przeciwnym wypadku należy wpisać No. Parametrowi SubDirectories odpowiada przełącznik linii poleceń - R[-]. Przełącznik -R wyłącza, natomiast -R- włącza testowanie podkatalogów zdefiniowanych w linii Names. Jeżeli program ma przekraczać granice systemu plików, należy wpisać Yes w linii CrossFs sekcji [Object]. W przeciwnym wypadku należy wpisać No. Parametrowi CrossFs odpowiada przełącznik linii poleceń -C[-]. Przełącznik -C wyłącza, natomiast -C- włącza przekraczanie granic systemu plików. 36

USTAWIENIA 5.3.2. Definiowanie obiektów przeznaczonych do testowania 5.3.2.1. Typy obiektów Po określeniu lokalizacji obiektów przeznaczonych do testowania (patrz podrozdział) należy zdefiniować w jakich obiektach wyszukiwane będą wirusy. Program może wykrywać wirusy w następujących typach obiektów: sektory (patrz podrozdział 5.3.2.2); pliki (patrz podrozdział 5.3.2.3) włączając: spakowane pliki uruchamialne (patrz podrozdział 5.3.2.4); archiwa, także samo rozpakowujące się (patrz podrozdział 5.3.2.5); pocztowe bazy danych oraz pocztowe formaty tekstowe (patrz podrozdział 5.3.2.6); obiekty OLE osadzone w testowanych plikach (patrz podrozdział 5.3.2.7). Jeżeli program zostanie uruchomiony bez określenia obiektów przeznaczonych do testowania, na ekranie pojawi się poniższy komunikat: "Nothing to scan. You should select Files and/or Sectors in the *.prf file." Obiekty przeznaczone do testowania należy zdefiniować w odpowiednich liniach sekcji [Object] profilu. 5.3.2.2. Sektory Aby program testował (ignorował) sektory w wybranej lokalizacji należy wpisać Yes (No) dla parametru Sectors znajdującego się w profilu. Parametrowi temu odpowiadają przełączniki linii poleceń -P[-] oraz - B[-]. Przełącznik -P wyłącza, natomiast -P- włącza testowanie 37

USTAWIENIA sektora MBR. Przełącznik -B wyłącza, natomiast -B- włącza testowanie sektorów startowych dysków określonych w linii Names. 5.3.2.3. Pliki Aby program testował pliki w wybranej lokalizacji należy: 1. Wpisać Yes w linii Files profilu 2. Jeżeli ustawienia mają być szczegółowe w polu FileMask należy wpisać jeden z poniższych parametrów: 0 testowanie programów (przykładowo wszystkich plików posiadających rozszerzenia.bat,.com,.exe,.ov*,.sys,.bin,.prg,.class,.ini,.vbs,.js,.htm,.dpl,.htt,.hta,.hlp,.pif), plików, których wewnętrzny format jest zbliżony do formatu uruchamialnych plików DOS (*.com, *.exe oraz.sys), plików Windows oraz OS/2 (.exe, *.dll), plików Linux (format.elf), plików posiadających format dokumentów oraz arkuszy pakietu Microsoft Office (OLE2 oraz Access) oraz apletów Javy. Parametr ten umożliwia testowanie wszystkich plików, które mogą przechowywać wirusy. 1 testowanie plików posiadających rozszerzenia: bat,.bin,.cla,.cmd,.com,.cpl,.dll,.doc,.dot,.dpl,.drv,.dwg,.eml,.exe,.fpm,.hlp,.hta,.htm,.htt,.ini,.js,.jse,.lnk,.mbx,.md*,.msg,.msi,.ocx,.otm,.ov*,.php,.pht,.pif,.plg,.pp*,.prg,.rtf,.scr,.shs,.sys,.tsp,.vbe,.vbs,.vxd,.xl*. 2 testowanie wszystkich plików (parametrowi temu odpowiada maska *.*). Wartości 2 parametru FileMask odpowiadają przełączniki linii poleceń -* oraz I2 3 testowanie plików zdefiniowanych przez użytkownika poprzez parametr UserMask. Jeżeli zachodzi potrzeba zdefiniowania większej ilości typów, należy oddzielić je znakiem przecinka. Pliki przeznaczone do testowania mogą być również określone przy użyciu przełącznika linii poleceń: -@!=nazwa_pliku. W takim 38

USTAWIENIA przypadku Scanner będzie testował tylko pliki określone w pliku tekstowym nazwa_pliku (ASCII). Każda z linii tego pliku może zawierać tylko jedną nazwę (wraz z pełną ścieżką dostępu). Jeżeli po zakończeniu testowania plik nazwa_pliku ma być usunięty należy skorzystać z opcjonalnego parametru! (przykładowo, -@!= nazwa_pliku). Jeżeli parametr! nie pojawi się w przełączniku (np. -@=nazwa_pliku), plik nie będzie usunięty. Aby wykluczyć pliki z procesu testowania: 1. należy wpisać jeden z poniższych parametrów w linii ExcludeFiles profilu: 1 wykluczenie z procesu testowania plików określonych poprzez parametr ExcludeMask (patrz poniżej); 2 wykluczenie z procesu testowania plików położonych w katalogach określonych poprzez parametr ExcludeDir (patrz poniżej); 3 wykluczenie z procesu testowania plików określonych poprzez parametry ExcludeMask oraz ExcludeDir. Aby żadne pliki nie zostały wykluczone z procesu testowania należy wpisać wartość 0 w linii ExcludeFiles. 2. Maski plików podawane w linii ExcludeMask należy oddzielić przy użyciu przecinków lub spacji. Parametrowi temu odpowiada przełącznik linii poleceń -XF=maski_plików, gdzie w miejsce parametru maski_plików należy wpisać maski plików, które mają być wykluczone z procesu testowania. 3. Nazwy katalogów podawane w linii ExcludeDir należy oddzielić przy użyciu przecinków lub spacji. Parametrowi temu odpowiada przełącznik linii poleceń -XD=nazwy_katalogów, gdzie w miejsce parametru nazwy_katalogów należy wpisać nazwy katalogów, które mają być wykluczone z procesu testowania. Katalogi zdefiniowane w liniach InfectedFolder, SuspiciousFolder oraz CorruptedFolder pliku 39

USTAWIENIA profilu (patrz podrozdział 5.4.3) będą automatycznie ignorowane podczas testu. Jeżeli występuje podejrzenie zainfekowania komputera należy wpisać wartość Yes dla wszystkich obiektów przeznaczonych do testowania oraz wartość 2 w linii FileMask. Dla codziennych testów zapobiegawczych należy wpisać wartość Yes liniach Sectors oraz Files, wartość 0 w linii FileMask oraz wyłączyć narzędzia testujące archiwa i spakowane pliki uruchamialne. 5.3.2.4. Spakowane pliki uruchamialne Dzięki mechanizmowi Unpacking Engine, Scanner umożliwia wyszukiwanie wirusów w spakowanych plikach uruchamialnych stosując swoiste mechanizmy rozpakowujące. Spakowane pliki uruchamialne zawierają specjalne moduły rozpakowujące. Gdy taki plik jest uruchamiany, moduł rozpakowuje program do pamięci RAM i uruchamia go. Narzędzia pakujące mogą umieścić wirusa w pliku razem z plikami niezainfekowanymi. Jeżeli plik taki będzie testowany przy użyciu konwencjonalnego skanera antywirusowego, zainfekowany plik nie zostanie wychwycony, ponieważ ciało wirusa jest spakowane wraz z kodem programu. Aby uruchomić mechanizm testujący pliki spakowane (Unpacking Engine), należy wpisać wartość Yes w linii Packed pliku profilu. Parametrowi temu odpowiada przełącznik linii poleceń -U[-]. Przełącznik -U wyłącza, natomiast -U- włącza testowanie plików spakowanych. Mechanizm unpacking engine rozpakowuje pliki wykonane przy użyciu większości popularnych narzędzi pakujących (DIET, PKLITE, LZEXE, EXEPACK itp.) do tymczasowego katalogu, w którym Scanner może je przetestować. Po zakończeniu procesu testowania pliki tymczasowe są usuwane. Unpacking Engine tworzy pliki tymczasowe w katalogu określonym poprzez parametr TempPath w sekcji [TempFiles], która znajduje się w profilu (patrz podrozdział 5.4.2). 40

USTAWIENIA Jeżeli w spakowanym pliku zostanie wykryty wirus rozpoznawany przez program Kaspersky Anti-Virus for Linux, możliwe będzie usunięcie takiego wirusa (jeżeli Scanner został odpowiednio skonfigurowany patrz podrozdział 5.3.3). W takim przypadku zainfekowany plik zostanie zastąpiony plikiem rozpakowanym i wyleczonym. Jeżeli mechanizm leczenia plików spakowanych jest wyłączony, Scanner może wykrywać tylko wirusy, które zaatakowały pliki już po ich spakowaniu. Unpacking Engine może prawidłowo rozpakowywać pliki, które zostały skompresowane wielokrotnie. Może również współpracować z programami zabezpieczającymi pliki spakowane (przykładowo, CPAV oraz F-XLOCK) oraz z narzędziami szyfrującymi (takimi jak CryptCOM). Jeżeli mechanizmy Unpacking Engine oraz Extracting Engine są aktywne, Kaspersky Anti-Virus for Linux może wykrywać zainfekowane pliki, nawet jeżeli zostały one zaszyfrowane przy użyciu programu CryptCOM, spakowane za pomocą PKLITE i umieszczone w archiwum PKZIP. 5.3.2.5. Archiwa Dzięki mechanizmowi Extracting Engine, Scanner może wykrywać wirusy w plikach zapisanych w archiwach (włącznie z archiwami samorozpakowującymi się). Został on zaprojektowany w celu wykrywania wirusów w plikach zarchiwizowanych przy użyciu popularnych programów archiwizujących: ZIP, ARJ, LHA, RAR, CAB itp. Możliwość wykrywania wirusów w archiwach jest bardzo ważna, ponieważ zainfekowany plik może być nieświadomie przechowywany w archiwum przez bardzo długi okres czasu i pewnego dnia (po rozpakowaniu archiwum przez użytkownika) zaatakować system. Aby włączyć Extracting Engine należy: 1. Wpisać Yes w linii Archives znajdującej się w profilu (jeżeli mechanizm ma pozostać wyłączony należy wpisać No). 2. Wpisać Yes w linii SelfExtArchives znajdującej się w profilu (w celu testowania archiwów samo rozpakowujących się). Jeżeli mechanizm ten ma pozostać wyłączony należy wpisać No. 41

USTAWIENIA Parametrowi Archives temu odpowiada przełącznik linii poleceń - A[-]. Przełącznik -A wyłącza, natomiast -A- włącza mechanizm Extracting Engine. Scanner nie może rozpakowywać archiwów zabezpieczonych hasłem. Scanner nie usuwa wirusów z plików zapisanych w archiwach lecz tylko je wykrywa. Extracting Engine tworzy pliki tymczasowe w katalogu określonym poprzez parametr TempPath w sekcji [TempFiles], która znajduje się w profilu (patrz podrozdział 5.4.2). Extracting Engine zauważalnie spowalnia proces testowania. Z tego powodu włączanie tego mechanizmu zalecane jest tylko w przypadku zaistnienia podejrzenia obecności wirusa w zarchiwizowanych plikach. 5.3.2.6. Pocztowe bazy danych oraz pocztowe formaty tekstowe Scanner umożliwia wykrywanie wirusów w pocztowych bazach danych i w pocztowych formatach tekstowych. Testowanie pocztowych baz danych, a w szczególności pocztowych formatów tekstowych znacznie spowalnia proces testowania. Z tego powodu nie zaleca się wyłączenie tych opcji podczas wykonywania testów rutynowych. Scanner tylko wykrywa wirusy w pocztowych bazach danych i w pocztowych formatach tekstowych. Program nie usuwa wirusów wykrytych w tych plikach. Kaspersky Anti-Virus for Linux wykrywa wirusy w pocztowych bazach danych następujących typów: Microsoft Outlook, Microsoft Outlook Express (pliki *.pst oraz *.pab); Microsoft Internet Mail (pliki *.mbx); Eudora Pro & Lite; Pegasus Mail; Netscape Navigator Mail; 42

USTAWIENIA Serwer JSMail SMTP/POP3 (baza danych użytkowników). Aby uaktywnić wykrywanie wirusów w pocztowych bazach danych, należy wpisać Yes w linii MailBases znajdującej się w profilu. W przeciwnym wypadku należy wpisać No. Parametrowi temu odpowiada przełącznik linii poleceń -MD[-]. Przełącznik -MD włącza, natomiast -MD- wyłącza testowanie pocztowych baz danych. Podczas testowania pocztowych baz danych Kaspersky Anti-Virus for Linux skanuje wszystkie ich elementy oraz załączniki. Obsługiwane są formaty następujących typów: UUEncode; XXEncode; btoa (do wersji 5.0); btoa 5.*; BinHex 4.0; ship; NETRUN 3.10; NETSEND 1.0 (nie spakowane); NETSEND 1.0C (spakowane); MIME base64. Aby uaktywnić wykrywanie wirusów w pocztowych formatach tekstowych, należy wpisać Yes w linii MailPlain znajdującej się w profilu. W przeciwnym wypadku należy wpisać No. Parametrowi temu odpowiada przełącznik linii poleceń -MP[-]. Przełącznik -MP włącza, natomiast -MP- wyłącza testowanie pocztowych formatów tekstowych. Podczas testowania pocztowych formatów tekstowych Kaspersky Anti-Virus for Linux skanuje nagłówek każdej wiadomości oraz załączone dane (UUEncode, XXEncode itp.). 5.3.2.7. Osadzone obiekty OLE Aby uaktywnić wykrywanie wirusów w obiektach OLE osadzonych w testowanych plikach, należy wpisać Yes w linii Embedded znajdującej się w profilu. W przeciwnym wypadku należy wpisać No. 43

USTAWIENIA 5.3.3. Definiowanie reakcji na wystąpienie zainfekowanych, podejrzanych oraz uszkodzonych obiektów W liniach sekcji [Object] znajdującej się w profilu możliwe jest określenie reakcji na wystąpienie zainfekowanych, podejrzanych lub uszkodzonych obiektów. Jeżeli Kaspersky Anti-Virus for Linux wyświetli komunikat o wykryciu podejrzanego pliku lub sektora, zaleca się skontaktowanie z działem pomocy technicznej. Obiekt taki należy wysłać do firmy Kaspersky Lab (przykładowo, pod adres newvirus@kaspersky.pl), gdzie zostanie on poddany analizie. Przed wysłaniem podejrzanego obiektu należy umieścić go w zabezpieczonym hasłem archiwum, wraz z hasłem. W celu zdefiniowania reakcji na wystąpienie zainfekowanych, podejrzanych lub uszkodzonych obiektów, należy wpisać jedną z poniższych wartości dla parametru InfectedAction znajdującego się w profilu: 0 zapisywanie w raporcie informacji o zainfekowanych, podejrzanych oraz uszkodzonych obiektach. Informacje te będą wyświetlane na ekranie i zapisywane w pliku raportu (patrz podrozdział 5.4.4). W tym trybie program nie będzie leczył ani usuwał zainfekowanych obiektów. Wartości 0 podawanej dla parametru InfectedAction odpowiada przełącznik linii poleceń -I0. 1 umożliwia użytkownikowi wybór metody traktowania zainfekowanych obiektów (patrz podrozdział 4.2.2). Jest to tryb zalecany, ponieważ umożliwia on użytkownikowi kontrolowanie procesu leczenia. Wartości 1 podawanej dla parametru InfectedAction odpowiada przełącznik linii poleceń -I1. 44

USTAWIENIA 2 leczenie wszystkich zainfekowanych obiektów bez pytania o potwierdzenie. Jeżeli leczenie obiektu nie jest możliwe, program zaproponuje jego usunięcie (patrz podrozdział 4.2.3). Automatyczne leczenie zainfekowanych obiektów może być również uaktywnione przy użyciu przełącznika linii poleceń lub I2. Dla trybu tego przeznaczone są także dwa dodatkowe przełączniki: I2S (automatyczne leczenie zainfekowanych obiektów i pomijanie obiektów, których leczenie nie jest możliwe) oraz I2D (automatyczne leczenie zainfekowanych obiektów i usuwanie obiektów, których leczenie nie jest możliwe). 3 usuwanie zainfekowanych obiektów bez pytania o potwierdzenie. Wartości 3 podawanej dla parametru InfectedAction odpowiadają przełączniki linii poleceń E oraz I3. Podczas testowania Scanner może wykryć zainfekowane obiekty, których leczenie nie jest możliwe. W takim przypadku jedynym sposobem na zabezpieczenie komputera jest usunięcie takich obiektów. W celu zdefiniowania reakcji na wystąpienie zainfekowanych obiektów, których leczenie nie jest możliwe, należy wpisać jedną z poniższych wartości dla parametru IfDisinfImpossible znajdującego się w profilu: 0 zapisywanie w raporcie informacji o zainfekowanych obiektach, których leczenie nie jest możliwe (patrz podrozdział 4.2.3). Informacje te będą wyświetlane na ekranie i zapisywane w pliku raportu (patrz podrozdział 5.4.4). W tym trybie program nie będzie usuwał obiektów. Wartości 0 podawanej dla parametru IfDisinfImpossible odpowiada przełącznik linii poleceń I2S. 1 usuwanie obiektów, których leczenie nie jest możliwe. Wartości 1 podawanej dla parametru IfDisinfImpossible odpowiada przełącznik linii poleceń I2D. Program może kopiować zainfekowane i podejrzane obiekty do określonego katalogu. Kopie takie mogą być w niektórych przypadkach bardzo użyteczne. Przykładowo, jeżeli Scanner usuwa zainfekowane 45

USTAWIENIA obiekty (wartość 3 w linii InfectedAction), możliwe będzie wykorzystanie kopii do późniejszego odzyskania danych. W celu kopiowania zainfekowanych plików do określonego katalogu, należy wpisać Yes w linii BackupInfected znajdującej się w profilu. Katalog przeznaczony do przechowywania kopii zainfekowanych plików musi być określony w sekcji [ActionWithInfected] profilu (patrz podrozdział 5.4.3). 5.3.4. Definiowanie wykorzystania zaawansowanych narzędzi testujących W liniach sekcji [Object] możliwe jest włączenie/wyłączenie następujących narzędzi testujących: Zaawansowane narzędzie testujące szuka uszkodzonych i zmodyfikowanych wirusów. Jeżeli plik lub sektor zawiera takiego wirusa lub podejrzany kod program wyświetla odpowiednie ostrzeżenie. Analizator kodu (heurystyczne narzędzie testujące) testuje pliki i sektory w poszukiwaniu kodu zbliżonego do instrukcji wykonywanych przez wirusy. Narzędzie przeprowadzające test redundancyjny skanuje nie tylko punkty wejściowe plików wykorzystywane przez system operacyjny lecz całą ich zawartość. W większości przypadków wirusy dopisują do punktów wejściowych atakowanych plików odwołania do niebezpiecznego kodu zapisanego wewnątrz pliku. W celu usunięcia takiego wirusa wystarczające jest uruchomienie konwencjonalnego skanera antywirusowego. Jednak niektóre wirusy dzielą swój kod na kilka części i umieszczają je w wolnych obszarach infekowanych plików. W takim przypadku konwencjonalny skaner wyleczy tylko punkt wejściowy oraz usunie główną część kodu wirusa z pliku, jednak pozostałe elementy niebezpiecznego kodu pozostaną nietknięte. 46

USTAWIENIA W przypadku takim konieczne będzie skorzystanie z testu redundancyjnego. Aby uaktywnić wyszukiwanie uszkodzonych oraz zmodyfikowanych wirusów, należy wpisać Yes w linii Warnings znajdującej się w profilu. Aby uaktywnić analizator kodu wykrywający nieznane wirusy, należy wpisać Yes w linii CodeAnalyser znajdującej się w profilu. Wartości tej odpowiada przełącznik linii poleceń -H[-]. Przełącznik - H wyłącza, natomiast -H- włącza analizator kodu. Domyślnie analizator kodu jest zawsze włączony. Wyłączanie tej opcji nie jest zalecane! Jeżeli analizator kodu wykryje podejrzane instrukcje (takie jak otwarcie pliku, zapisanie do niego danych, przechwytywanie systemowych przerwań itp.) plik, z którego je uruchomiono zostanie sklasyfikowany jako podejrzany, a program wyświetli odpowiedni komunikat: Suspicion: <TYP> gdzie <TYP> jest zastępowany jedną z poniższych możliwości: Com podejrzenie ataku wirusa infekującego pliki.com; Exe podejrzenie ataku wirusa infekującego pliki.exe; ComExe podejrzenie ataku wirusa infekującego pliki.com oraz.exe; ComTSR, ExeTSR, SysTSR, ComExeTSR podejrzenie ataku wirusa infekującego pliki.com,.exe oraz.sys; Boot plik/sektor prawdopodobnie został zainfekowany bootwirusem lub programem instalującym boot-wirusy; Trojan plik prawdopodobnie jest koniem trojańskim; Trivial plik prawdopodobnie jest zainfekowany nieznanym wirusem zastępującym pliki uruchamialne zapisane w bieżącym katalogu swoim kodem (rozmiar takich wirusów zazwyczaj nie przekracza 300 bajtów); Win32 plik prawdopodobnie jest zainfekowany nieznanym wirusem działającym w systemie Windows; 47

USTAWIENIA Formula plik programu Excel zawierający podejrzane instrukcje. Jak każdy inny algorytm heurystyczny, analizator kodu może generować fałszywe alarmy. Jeżeli program wyświetli taki alarm należy wysłać podejrzany plik do firmy Kaspersky Lab gdzie zostanie on poddany analizie. Uaktywnienie analizatora kodu wydłuża czas testowania o około 20%, jednak narzędzie to prawidłowo wykrywa ponad 92% nieznanych wirusów (wirusów nie zapisanych w antywirusowych bazach danych programu). Aby uaktywnić test redundancyjny, należy wpisać Yes w linii RedundantScan znajdującej się w profilu. Parametrowi temu odpowiada przełącznik linii poleceń -V[-]. Przełącznik -V włącza, natomiast -V- wyłącza test redundancyjny. Uaktywnienie testu redundancyjnego jest zalecane jeżeli standardowy test nie wykrywa żadnych wirusów, a zachowanie systemu jest podejrzane (przykładowo, komputer często się zawiesza lub restartuje, aplikacje pracują bardzo wolno itp.). W przeciwnym wypadku włączanie testu redundancyjnego nie jest zalecane, ponieważ powoduje on znaczne spowolnienie procesu testowania oraz zwiększenie prawdopodobieństwa występowania fałszywych alarmów. 5.4. Ustawienia łączne lokalizacji obiektów przeznaczonych do testowania 5.4.1. Ustawienia łączne W przeciwieństwie do ustawień dla poszczególnych lokalizacji obiektów przeznaczonych do testowania definiowanych dla konkretnych sekcji 48

USTAWIENIA [Object] znajdujących się w profilu (patrz podrozdział 5.3), ustawienia łączne dotyczą wszystkich sekcji [Objects] zdefiniowanych w profilu. Ustawienia ogólne zgromadzone są w kilku sekcjach pliku defunix.prf (szczegółowe informacje na ten temat znajdują się w Dodatku В). Możliwe jest zdefiniowanie następujących ustawień ogólnych: Ogólne parametry testowania oraz pracy skanera antywirusowego (patrz podrozdział 5.4.2). Definiowanie testu oraz działania: Scanner oraz Daemon wykorzystywane do obsługi zainfekowanych, podejrzanych oraz uszkodzonych obiektów (patrz podrozdział 5.4.3). Generowanie raportu oraz statystyk (patrz podrozdział5.4.4). 5.4.2. Definiowanie ustawień testu oraz działania: Scanner oraz Daemon Ogólne parametry dotyczące działania programu znajdują się w sekcji [Customize] profilu. Sekcja ta umożliwia określenie częstotliwości uaktualniania antywirusowych baz danych programu Kaspersky Anti- Virus for Linux oraz zdefiniowanie akcji jakie mają być podjęte w przypadku gdy bazy są zainfekowane. Możliwe jest również określenie jakie komunikaty będą wyświetlane przez program. Ogólne parametry dotyczące testowania znajdują się w sekcjach [Options] oraz [Tempfiles] profilu. Parametry te umożliwiają określenie Definiowanie ogólnych ustawień pracy programu testowania katalogów zapisanych na dyskach wymiennych, testowania łączy i podkatalogów oraz generowania plików tymczasowych. Definiowanie ogólnych ustawień pracy programu Nowe wirusy pojawiają się codziennie. Jeżeli program antywirusowy ma wydajnie chronić komputer konieczne jest regularne uaktualnianie antywirusowych baz danych. 49

USTAWIENIA W celu określenia częstotliwości wyświetlania przypomnienia o aktualizacji należy: 1. Wpisać Yes w linii updatescheck znajdującej się w sekcji [Customize] profilu. 2. Wpisać interwał (w dniach) w linii updatesinterval. 1. Aby uaktywnić zgłaszanie komunikatów o błędach należy wpisać Yes w linii Othermessages znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. Aby program pytał o potwierdzenie chęci włączenia testu redundancyjnego należy wpisać Yes w linii Redundantmessage znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku program będzie uruchamiał narzędzie testu redundancyjnego bez potwierdzania. Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii Redundantscan znajdującej się w sekcji [Object]. Aby program pytał o potwierdzenie chęci usunięcia zainfekowanego obiektu należy wpisać Yes w linii Deleteallmessage znajdującej się w sekcji [Customize] profilu. Jeżeli podana zostanie wartość No program będzie usuwał zainfekowane pliki bez informowania o tym użytkownika. Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość 3 w linii InfectedAction znajdującej się w sekcji [Object]. Aby program kończył swoje działanie w przypadku wykrycia uszkodzonych antywirusowych baz danych należy wpisać Yes w linii ExitOnBadBases znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. 50

USTAWIENIA Aby program wykorzystywał rozszerzone kody wyjścia w raporcie należy wpisać Yes w linii Useextendedexitcode znajdującej się w sekcji [Customize] profilu. W przeciwnym wypadku należy wpisać No. Definiowanie ogólnych ustawień operacji skanowania Aby program pomijał dane zapisane na wymiennych dyskach podczas testowania całego systemu plików (domyślnie ten typ mediów jest także sprawdzany) należy wpisać No w linii ScanRemovable znajdującej się w sekcji [Options] profilu. W przeciwnym wypadku należy wpisać Yes. Aby test podkatalogów odbywał się jako ostatni (po zakończeniu przetwarzania obiektów przeznaczonych do testu) należy wpisać Yes w linii ScanSubDirAtEnd znajdującej się w sekcji [Options] profilu. W przeciwnym wypadku należy wpisać No. Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii SubDirectories znajdującej się w sekcji [Object] (patrz podrozdział 5.3.1). Aby określić, czy i jak program będzie testował dowiązania symboliczne należy wpisać jedną z poniższych wartości w linii Symlinks znajdującej się w sekcji [Options]: 0 program nie będzie testował plików i katalogów dostępnych poprzez dowiązania symboliczne. Wartości 0 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LP. 1 program będzie testował pliki i katalogi dostępne poprzez dowiązania symboliczne określone w wierszu poleceń. Pozostałe dowiązania będą ignorowane. Jest to ustawienie domyślne. Wartości 1 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LH. 51

USTAWIENIA 2 program będzie testował pliki i katalogi dostępne poprzez dowiązania symboliczne. Wartości 2 podanej w linii Symlinks odpowiada przełącznik linii poleceń -LL. Cztery opisane poniżej parametry sekcji [Options] dotyczą tylko programu Scanner. Parametry te nie działają bez aktywnego pliku klucza oraz nie są dostępne w programie Kaspersky Anti-Virus Rescue Disk. Aby program testował kilka plików jednocześnie należy: 1. Wpisać Yes w linii ParallelScan. W przeciwnym wypadku należy wpisać No. 2. Określić maksymalną ilość plików testowanych jednocześnie w linii LimitForProcesses. Aby uaktywnić testowanie w pętli należy: 1. Wpisać Yes w linii EndlesslyScan. W przeciwnym wypadku należy wpisać No. 2. Określić interwał między pętlami (w sekundach) w linii ScanDelay. Dla interwału równego zeru należy wpisać wartość -1. Aby program tworzył pliki tymczasowe w pamięci (nie będą one zapisywane na dysku) należy: 1. Wpisać Yes w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. W przeciwnym wypadku należy wpisać No. Wtedy pliki tymczasowe będą tworzone na dysku twardym. 2. Aby ograniczyć rozmiar plików tymczasowych tworzonych w pamięci należy określić maksymalny rozmiar (w kilobajtach) w linii LimitForMemFiles. Każdy plik tymczasowy, którego rozmiar przekroczy zdefiniowany limit zostanie zapisany na dysku. Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. 52

USTAWIENIA 3. Aby ograniczyć rozmiar plików rozpakowywanych w pamięci należy określić maksymalny rozmiar (w kilobajtach) w linii MemFilesMaxSize. W takim przypadku, jeżeli rozpakowywany w pamięci plik przekroczy podany rozmiar operacja zostanie zakończona, a na dysku zostanie utworzony plik tymczasowy. Opisywane ustawienie będzie wykorzystywane tylko dla lokalizacji, dla których wpisano wartość (Yes) w linii UseMemoryFiles znajdującej się w sekcji [Tempfiles] profilu. Wartości podawane w liniach LimitForMemFiles oraz MemFilesMaxSize nie mogą przekraczać ilości dostępnej pamięci RAM. Aby określić katalog, w którym program będzie zapisywał pliki tymczasowe należy, wpisać ścieżkę dostępu w linii TempPath. Przykładowo, TempPath=/tmp 5.4.3. Definiowanie reakcji na wystąpienie zainfekowanych i podejrzanych obiektów Trzy poniższe sekcje umożliwiają zdefiniowanie reakcji jakimi program odpowie w przypadku wystąpienia zainfekowanych, podejrzanych lub uszkodzonych obiektów: Parametry sekcji [ActionWithInfected] definiują obsługę zainfekowanych obiektów. Parametry sekcji [ActionWithSuspicion] definiują obsługę podejrzanych obiektów. Parametry sekcji [ActionWithCorrupted] definiują obsługę uszkodzonych obiektów. 53

USTAWIENIA Aby program kopiował zainfekowane pliki do specjalnego katalogu należy w sekcji [ActionWithInfected] profilu: Wpisać Yes w linii InfectedCopy. Określić ścieżkę dostępu do katalogu w linii InfectedFolder. Domyślna ścieżka dostępu to /infected. Aby program kopiował podejrzane pliki do specjalnego katalogu należy w sekcji [ActionWithSuspicion] profilu: Wpisać Yes w linii SuspiciousCopy Określić ścieżkę dostępu do katalogu w linii SuspiciousFolder. Domyślna ścieżka dostępu to /suspicious. Aby program kopiował uszkodzone pliki do specjalnego katalogu należy w sekcji [ActionWithCorrupted] profilu: Wpisać Yes w linii CorruptedCopy. Określić ścieżkę dostępu do katalogu w linii CorruptedFolder. Domyślna ścieżka dostępu to /corrupted. Aby program kopiował zainfekowane, podejrzane oraz uszkodzone pliki wraz ze ścieżkami dostępu należy wpisać Yes w liniach CopyWithPaths znajdujących się w powyższych sekcjach. W przeciwnym wypadku należy wpisać No. Zalecane jest uaktywnienie powyższej opcji, ponieważ w różnych katalogach mogą być zapisane pliki o podobnych lub jednakowych nazwach. Aby program zmieniał rozszerzenia zainfekowanych, podejrzanych oraz uszkodzonych plików należy w opisanych powyżej sekcjach : Wpisać Yes w liniach ChangeExt. 54

USTAWIENIA Określić docelowe rozszerzenie w linii NewExtension. Przykładowo, vir dla zainfekowanych plików, susp dla podejrzanych plików oraz corr dla uszkodzonych plików. Aby program zmieniał właściciela plików, których leczenie nie powiodło się należy zdefiniować docelową nazwę właściciela w liniach ChownTo powyższych sekcji. Aby program nie zmieniał właściciela należy wpisać None. Aby program zmieniał atrybuty zainfekowanych, podejrzanych oraz uszkodzonych plików, których leczenie nie powiodło się należy określić docelową maskę atrybutu w liniach ChModTo powyższych sekcji. Przykładowo, wartość 640 ustawia następujące atrybuty: Odczyt przez właściciela, Zapis przez właściciela oraz Odczyt przez grupę. Aby program nie zmieniał właściciela należy wpisać No. Podczas pracy z zainfekowanymi i podejrzanymi obiektami oraz z ich kopiami należy postępować bardzo ostrożnie! Nigdy nie należy uruchamiać zainfekowanych plików uruchamialnych. 5.4.4. Definiowanie ustawień raportu Aby przeglądanie rezultatów testu wykonywanego przez program było możliwe należy zdefiniować parametry zgromadzone w sekcji [Report] znajdującej się w profilu. Sekcja ta umożliwia również włączenie lub wyłączenie umieszczania dodatkowych informacji w raporcie. Aby program tworzył plik raportu należy: 1. Wpisać Yes w linii Report. 2. Określić nazwę pliku raportu w linii ReportFileName. Wartość domyślna to report.txt. Jeżeli nazwa pliku raportu zostanie poprzedzona znakiem ~ plik ten zostanie utworzony w katalogu domowym. 55

USTAWIENIA Aby ograniczyć rozmiar pliku raportu należy: Wpisać Yes w linii ReportFileLimit. Określić maksymalny rozmiar pliku raportu (w kilobajtach) w linii ReportFileSize. Aby program dopisywał raport do istniejącego pliku należy wpisać Yes w linii Append. Jeżeli plik raportu ma być zawsze nadpisywany należy wpisać No. Aby program zapisywał informacje o każdym testowanym obiekcie należy wpisać Yes w linii RepForEachDisk. Aby określić maskę atrybutów pliku raportu należy wpisać numer żądanej maski w linii RepCreateFlag. Przykładowo, RepCreateFlag=600 Aby podczas zapisywania raportu program stosował powrót karetki oraz znaki linefeed (zakończenia linii) w celu oddzielania wpisów należy wpisać Yes w linii UseCR. Domyślnie linie raportu oddzielane są tylko znakami linefeed. W niektórych edytorach tekstu może to powodować nieprawidłowe wyświetlanie. W celu zdefiniowania pliku raportu można również użyć przełącznika linii poleceń -W[T][A][+][=nazwa pliku], gdzie nazwa pliku jest nazwą pliku raportu (domyślna nazwa to report.txt). Dodanie do przełącznika litery A spowoduje dopisywanie raportu do pliku, natomiast, gdy użyta zostanie litera T plik raportu będzie zawsze nadpisywany nową zawartością. Użycie znaku + spowoduje dodanie do raportu szczegółowych informacji. Program może zapisywać rezultaty testu w raporcie systemowym lub w raporcie użytkownika. Aby program zapisywał rezultaty testu do raportu systemowego należy wpisać Yes w linii UseSysLog Wpisując No rezultaty testu będą dodawane do pliku zdefiniowanego przez użytkownika. 56

USTAWIENIA Podanie wartości (Yes) w linii UseSysLog spowoduje automatyczne wyłączenie parametrów: ReportFileName, Append, ReportFileLimit, ReportFileSize oraz RepCreateFlag. Dwa poniższe parametry mogą być wykorzystane tylko wtedy, gdy proces demona wywoływany jest z pliku skryptu. Aby program dodawał rezultaty testu do pliku zdefiniowanego przez użytkownika należy: 1. Wpisać Yes w linii UserReport. 2. Zdefiniować nazwę pliku w linii UserReportName. Jeżeli nazwa pliku zostanie poprzedzona znakiem ~ plik ten będzie utworzony w katalogu domowym. Aby program dodawał do raportu szczegółowe informacje należy wpisać Yes w linii ExtReport. Poniższe parametry umożliwiają zdefiniowanie opcjonalnych informacji zapisywanych w raporcie: WriteTime zapisywana będzie data i czas wyświetlenia informacji przez program. Aby uaktywnić tę opcję należy wpisać Yes. WriteTimeInfo zapisywana będzie data i czas ostatniej modyfikacji, oraz rozmiar każdego zainfekowanego obiektu. Aby uaktywnić tę opcję należy wpisać Yes. ShowOK zapisywane będą informacje o niezainfekowanych obiektach. Aby uaktywnić tę opcję należy wpisać Yes. Parametrowi temu odpowiada przełącznik linii poleceń -O[-]. Przełącznik -O włącza, natomiast -O- wyłącza zapisywanie informacji o niezainfekowanych obiektach. ShowPack zapisywane będą informacje o archiwach i obiektach spakowanych. Aby uaktywnić tę opcję należy wpisać Yes. 57

USTAWIENIA Parametrowi temu odpowiada przełącznik linii poleceń -K[-]. Przełącznik -K włącza, natomiast -K- wyłącza zapisywanie informacji o archiwach i obiektach spakowanych. Showpassworded zapisywane będą informacje o archiwach zabezpieczonych hasłem. Aby uaktywnić tę opcję należy wpisać Yes. ShowSuspicion zapisywane będą informacje o podejrzanych obiektach. Aby uaktywnić tę opcję należy wpisać Yes. Showwarning zapisywane będą informacje o obiektach prawdopodobnie zainfekowanych modyfikacjami znanych wirusów. Aby uaktywnić tę opcję należy wpisać Yes. Showcorrupted zapisywane będą informacje o uszkodzonych obiektach. Aby uaktywnić tę opcję należy wpisać Yes. Showunknown zapisywane będą informacje o wykryciu nieznanych wirusów. Aby uaktywnić tę opcję należy wpisać Yes. 58

Rozdział 6. Proces Daemon: Integrowanie ochrony antywirusowej z klientami 6.1. Cechy programu Daemon Opis funkcji oraz możliwości programu. Proces antywirusowy kavdaemon został stworzony w celu integracji ochrony antywirusowej z oprogramowaniem klienckim (na przykład Monitor) na komputerze pracującym pod kontrolą systemu operacyjnego Linux. Daemon działa jako proces systemowy i dziedziczy wszystkie funkcje programu Scanner, dlatego opis programu Scanner odnosi się również do programu Daemon. W przeciwieństwie do programu Scanner, Daemon ładuje antywirusowe bazy danych do pamięci tylko raz, podczas pierwszego uruchomienia. Powoduje to znaczne zmniejszenie ilości czasu potrzebnego do wykonania testu. Cecha ta powoduje, że Daemon może być z powodzeniem wykorzystywany na serwerach pocztowych oraz WWW działających pod 59

DAEMON kontrolą systemu Linux. Wszystkie obiekty docierające do takich serwerów powinny być testowane na obecność wirusów. Daemon posiada wszystkie funkcje programów antywirusowych znanych z innych platform i umożliwia wykrywanie wirusów we wszystkich typach plików (włącznie z archiwami, plikami spakowanymi oraz plikami poczty elektronicznej). Daemon udostępnia także mechanizm heurystycznego wykrywania wirusów oraz testowanie redundancyjne. Proces może pełnić funkcje serwera oraz klienta. Instalacja, konfiguracja oraz uaktualnianie antywirusowych baz danych przebiega podobnie jak w przypadku programu Scanner. Różni się jedynie linia poleceń oraz zestaw dostępnych przełączników (patrz podrozdział 6.2). 6.2. Uruchamianie procesu Daemon Linia poleceń programu Daemon. Przełączniki linii poleceń charakterystyczne dla procesu Daemon. Profile. Daemon może być uruchomiony z poziomu linii poleceń, z pliku skryptowego lub poprzez programy użytkownika. Jeżeli podczas uruchamiania program Daemon nie zlokalizuje pliku klucza, to uruchomi się w trybie demonstracyjnym, tzn. wyłączone zostaną opcje poszukiwania wirusów w archiwach oraz wiadomościach pocztowych, a także wyboru akcji przez użytkownika w przypadku wykrycia wirusa. Ogólny format linii poleceń procesu Daemon wygląda następująco:./kavdaemon [przełącznik1] [przełącznik 2] [...] [przełącznik #] [ścieżka] gdzie [przełącznik ] jest opcjonalnym przełącznikiem wiersza poleceń; 60

DAEMON [ścieżka] to opcjonalna ścieżka systemu Linux definiująca lokalizację do sprawdzenia. Znaczenie ścieżki w przypadku wiersza poleceń procesu Daemon jest inne niż dla programu Scanner. W przypadku programu Scanner parametr ten określa lokalizację obiektów przeznaczonych do testowania, natomiast w przypadku procesu Daemon ścieżka określa listę lokalizacji obiektów przeznaczonych do testowania (przykładowo parametr Object znajdujący się w profilu). Obiekty przeznaczone do testowania definiowane są poprzez przełącznik -o (patrz poniżej). Większość przełączników linii poleceń procesu Daemon jest identyczna jak w przypadku programu Scanner (patrz Dodatek B). Wyjątek stanowią przełączniki -D oraz -@!. Niektóre przełączniki przeznaczone są tylko dla linii poleceń procesu Daemon: -q -k -ka -v zamyka proces po zakończeniu testowania i leczenia bez uruchamiania procesu demona. Przełącznik ten może być użyty tylko wtedy, gdy Deamon nie jest uruchomiony. zabija główny proces Daemon. Nie zaleca się korzystania z tego przełącznika. zabija wszystkie uruchomione procesy Daemon (zarówno proces główny jak i procesy potomne). wyświetla numer wersji. -o{ lista plików, katalogów lub dowiązań symbolicznych oddzielonych dwukropkami} testuje określone pliki, katalogi oraz dowiązania symboliczne. Jeżeli dostęp do obiektów nie będzie możliwy zostaną one pominięte. -f= nazwa katalogu tworzy w zdefiniowanym katalogu pliki AvpCtl oraz AvpPid. Jeżeli Daemon nie jest uruchomiony z poziomu użytkownika root, dostęp do 61

DAEMON niektórych plików może być zabroniony. W takim przypadku należy użyć przełącznika f podczas uruchamiania procesu Daemon. -WU[=nazwa pliku tymczasowego] definiuje plik tymczasowy, w którym Daemon będzie zapisywał rezultaty testu. Podczas uruchamiania procesu Daemon inicjowane są dwa dodatkowe procesy: pierwszy obsługuje wywołania programów klienckich natomiast drugi opisuje rezultaty działania pierwszego procesu. Możliwe jest wyłączenie drugiego procesu. -dl wyłącza start drugiego procesu programu Daemon. Linia poleceń programu Daemon wygląda następująco:./kavdaemon /home -o{/home/my_mail} -A -K Jeżeli Daemon nie wykryje drugiego aktywnego procesu Daemon, działa podobnie do programu Scanner (patrz podrozdział 4.2), po czym uruchamia proces Daemon. Dzieje się tak tylko wtedy, gdy nie użyto przełącznika -q. Jeżeli przełącznik ten został podany w linii poleceń proces Daemon nie zostanie uruchomiony. Po uruchomieniu procesu program Daemon łączy się z nim i używa tego połączenia do przesyłania parametrów podawanych z poziomu linii poleceń. Następnie proces wykorzystuje połączenie do przesyłania rezultatów testowania. Gdy test zostanie zakończony program zrywa połączenie. Aby program Daemon mógł się poprawnie uruchamiać plik inicjalizacyjny AvpUnix.ini (patrz Dodatek B) musi znajdować się w tym samym katalogu co moduł Daemon. Jeżeli plik uruchamialny kavdaemon zostanie przeniesiony do innego katalogu, plik AvpUnix.ini musi być również skopiowany do tego samego katalogu i odpowiednio zredagowany. Aby zoptymalizować proces ładowania można ustalić priorytet procesu głównego oraz procesów potomnych. W tym celu należy zmienić wartości parametrów Father oraz Child znajdujące się w sekcji [Priority] profilu. 62

DAEMON 6.3. Wywoływanie procesu z programu klienckiego Jak wywołać proces z programu klienckiego? Przykład. Aby wywołać istniejący proces Daemon z programu klienckiego należy: 1. Utworzyć gniazdko. 2. Połączyć gniazdko z programem Daemon. 3. Wpisać odpowiednią komendę do gniazdka. Format komendy jest następujący: <flagi>data_i_czas:parametr_komendy Pole <flagi> należy zastąpić jedną z poniższych wartości: 0 parametr_komendy przesyła nazwę pliku oraz parametry linii poleceń. W najprostszym przypadku przesłana zostanie tylko nazwa pliku a komenda będzie miała następującą postać: <0>27 Mar 13:40:11:/tmp/test.tgz. Jeżeli przesyłana będzie nazwa pliku oraz parametry linii poleceń format komendy będzie następujący: <flagi>data_i_czas: 0xfeparametr1[ parametr2[ parametr3[ ]]] 0xfeścieżka1[;ścieżka2[;ścieżka3[ ]]] gdzie: 0xfe oznacza początek sekcji; [parametrn] określa parametr linii poleceń (bez znaku wiodącego ); ścieżkan określa ścieżkę dostępu do obiektów przeznaczonych do testu. Ilość ścieżek i parametrów nie jest ograniczona. 63

DAEMON 3 parametr_komendy przesyła parametry pamięci współdzielonej, w której zostały umieszczone testowane obiekty. Tryb ten wykorzystywany jest do testowania obiektów zanim zostaną one zapisane na dysku. W takim przypadku format komendy będzie następujący: <flags> data_i_czas:<przełącznik rozmiar > gdzie: jest znakiem oddzielającym sekcje; switch jest wartością pobraną przy użyciu funkcji ftok(); length jest rozmiarem pamięci współdzielonej. Wartość 3 może być wykorzystywana tylko w serwerowej wersji programu Daemon. 4 wyświetla numer wersji. 4. Odczytać rezultaty testu z gniazdka. Rezultaty odczytywane są w postaci dwóch bajtów. Młodszy bajt zawiera standardowe kody wyjścia lub wartość 0x3f (jeżeli program kliencki musi przesłać dodatkowe informacje, które będą uwzględnione przez proces Daemon). Starszy bajt zawiera flagi definiujące późniejsze operacje. Wartość 0x2 w starszym bajcie oznacza, że do odczytu muszą być wykorzystane 4 bajty zawierające dodatkowo rozmiar pamięci współdzielonej, w której znajduje się wyleczony obiekt. Wartość 0x2 może występować tylko wtedy, gdy podczas przesyłania danych flaga została zmieniona na 3 (lub 1), a kod wyjścia ma wartość 5. W takim przypadku konieczne będzie otwarcie pamięci współdzielonej i odczytanie z niej testowanego obiektu. Wartość 0x1 w starszym bajcie oznacza, że do odczytu muszą być wykorzystane 4 bajty zawierające bufor raportu oraz jego rozmiar. 5. Usunąć gniazdko. Przykład wywoływania procesu Daemon (program AvpDaemonClient) znajduje się w pakiecie dystrybucyjnym. Pakiet ten zawiera również program kliencki Monitor (patrz rozdział 7). 64

DAEMON Przykłady oraz programy klienckie dostarczone są w postaci kodów źródłowych zawierających opis metod użytych w celu wywołania programu Daemon z poziomu oprogramowania klienckiego. 65

Rozdział 7. Anti-Virus Monitor: antywirusowe monitorowanie systemu 7.1. Możliwości i funkcje Funkcje i możliwości programu Monitor. Monitor został stworzony w celu poszukiwania wirusów w plikach podczas każdorazowej operacji ich otwarcia, zapisu czy wykonywania. Program obsługuje pliki systemu Linux, FTP, HTTP, HTTP Proxy, POP3, Samba i innych serwerów sieciowych, których systemy plików znajdują się na lokalnym komputerze. Gdy program jest zainstalowany (patrz podrozdział 7.2.1), skonfigurowany (patrz podrozdział 7.2.2) i uruchomiony (patrz podrozdział 7.3) może on spełniać następujące funkcje: Zapobiegać otwarciu, uruchomieniu lub zapisaniu zainfekowanego pliku na lokalnym i zamontowanym systemie plików lokalnego komputera. 66

MONITOR Zapisywać wyniki wykonywanych działań do pliku logów. Monitor jest klientem procesu Daemon, który musi być zainstalowany i skonfigurowany aby Monitor mógł być uruchomiony. 7.2. Kompilacja i konfiguracja Kompilacja antywirusowego modułu jądra Linux i monitora antywirusowego. Edycja pliku konfiguracyjnego programu Monitor. 7.2.1. Kompilacja programu Monitor Aby włączyć funkcję monitorowania otwieranych, zapisywanych lub wykonywanych plików należy najpierw zainstalować i skompilować antywirusowy moduł jądra systemu Linux. Moduł ten zwany klmon jest dostarczany razem z programem Monitor. Podstawową cechą tego modułu jest jego konstrukcja, która pozwala na uruchomienie i zatrzymanie monitora antywirusowego bez restartu systemu Linux. Monitor spełnia swoją funkcję wyłącznie w połączeniu z antywirusowym modułem klmon i programem Daemon. Rysunek 9 przestawia proces antywirusowego monitorowania systemu plików Linux. Rysunek 1. Proces monitorowania 67

MONITOR Zaraz przed otwarciem, zapisaniem lub wykonaniem plik w systemie plików Linux jest interpretowany przez moduł antywirusowy i przesyłany do programu Monitor. Monitor przetwarza plik i przekazuje jego nazwę do procesu demona, który sprawdza plik w poszukiwaniu wirusów. Jeżeli plik nie jest zainfekowany, Daemon zwraca odpowiedni kod do programu Monitor, który następnie informuje moduł antywirusowy o udzieleniu pozwolenia na pracę z tym plikiem. W przypadku gdy plik jest zainfekowany, proces demon zwraca kod błędu i Monitor zwalnia moduł antywirusowy z pracy z tym plikiem. Plik jest przejmowany przez proces demona stosujący zdefiniowane wcześniej ustawienia. Jak widać jest to łańcuch połączonych programów, w którym każdy komponent nie może spełniać swoich funkcji bez innych. Antywirusowy moduł klmon oraz Monitor są dostarczane w postaci kodów źródłowych, dlatego też przed uruchomieniem muszą zostać skompilowane. Po instalacji (patrz rozdział 2) źródła programu Monitor oraz podkatalog module.linux zawierający kod źródłowy modułu antywirusowego znajdują się w katalogu kavmonitor. Wyłącznie administrator (użytkownik root) jest uprawniony do kompilowania oraz instalowania modułu antywirusowego. Aby zainstalować i skompilować moduł antywirusowy oraz program Monitor, należy wykonać następujące kroki: 1. Za pomocą komendy cd przejść do katalogu zawierającego kody źródłowe modułu antywirusowego. Na przykład: cd /opt/avp/kavmonitor/module.linux 2. Skompilować moduł za pomocą komendy make. Proces kompilacji będzie wyświetlany na ekranie. Moduł jądra musi zostać skompilowany w systemie operacyjnym Linux na którym będzie uruchomiony. Należy zwrócić uwagę, że moduł antywirusowy musi odpowiadać wersji jądra, ponieważ użycie niepoprawnego modułu może spowodować zniszczenie systemu. Aby wyświetlić numer wersji jądra systemu Linux, należy wpisać w linii poleceń komendę uname a. Jeżeli jądro systemu Linux zostało uaktualnione, należy ponownie skompilować moduł antywirusowy. 68

MONITOR 3. Aby system operacyjny automatycznie uruchamiał moduł, należy dodać plik zawierający linię insmod <nazwa_pliku> (gdzie <nazwa_pliku> jest pełną ścieżką dostępu do wykonywalnego pliku modułu) do odpowiedniego poziomu startowego. Na przykład: insmod monitor-2.2.18.о 4. Za pomocą komendy cd przejść do katalogu z kodem źródłowym monitora. Na przykład cd /opt/avp/kavmonitor 5. Skompilować Monitor używając komendy make. 7.2.2. Konfigurowanie programu Monitor Program Monitor można skonfigurować zmieniając jego ustawienia w pliku konfiguracyjnym monitor.conf. Edytując ten plik można: Zdefiniować parametry wykonywania się programu. Zdefiniować tryb raportowania oraz ścieżkę do pliku raportu zawierającego wyniki działania programu. Plik konfiguracyjny zawiera dwie sekcje: sekcję Report file, w której można zdefiniować tryb raportowania, oraz sekcję Options, w której można zdefiniować parametry działania programu. Podczas przetwarzania i zapisywania pliku na dysk, Monitor zwraca odpowiedni kod wyjścia. Jednakże wiele programów nie przetwarza kodów wyjścia funkcji zamykających plik i kontynuują obsługę zainfekowanych plików. Aby zapobiec takim sytuacjom, zaleca się użycie programu Monitor do obsługi zainfekowanych obiektów. Aby zdefiniować sposób reakcji monitora na zainfekowane pliki, należy wpisać jedną z poniższych opcji do linii WriteInfedtedAction w sekcji Options: remove usuń plik; rename zmień nazwę pliku przez dodanie łańcucha.infected do jego rozszerzenia; none zignoruj plik. Jest to domyślna wartość. 69

MONITOR Linia w tej sekcji może wyglądać następująco: WriteInfedtedAction none System często tworzy, zapisuje i wykonuje pliki, które na pewno nie zawierają wirusów (na przykład pliki logów oraz pliki w katalogu bin), a ich testowanie tylko zwalnia szybkość działania systemu. Dlatego zalecane jest wyłączyć te pliki z procesu monitorowania. Aby wykluczyć niektóre pliki z obiektów, które mają być sprawdzane podczas otwierania, zapisywania lub uruchamiania należy w sekcji Options pliku konfiguracyjnego zdefiniować wartości następujących linii: OpenExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy otwieraniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: OpenExcludeMask /etc:/var/log:/usr/include:/lib:/usr/lib WriteExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy zapisywaniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: WriteExcludeMask /etc:/var/log ExecExcludeMask ścieżka do katalogu z plikami, które mają być ignorowane przy wykonywaniu. Można zdefiniować więcej niż jedną ścieżkę, rozdzielając poszczególne wpisy dwukropkami. Na przykład: ExecExcludeMask /usr/bin:/bin:/sbin Ustawienia te będą także dotyczyć podkatalogów zawartych w katalogach zdefiniowanych w powyższych liniach. Niektóre pliki, które są otwierane bardzo często, są za każdym razem testowane w poszukiwaniu wirusów. Może to w spowodować istotny spadek komfortu i wydajności pracy użytkownika. Aby rozwiązać ten problem została wprowadzona podręczna pamięć do przechowywania nazw tych plików oraz czasu ich ostatniego sprawdzania. W ten sposób, przed poszukiwaniem wirusów w pliku, Monitor poszukuje dokładniejszych informacji o pliku w pamięci podręcznej. Przyspiesza to proces sprawdzania, choć trzeba pamiętać, że zbyt dużo plików w pamięci 70

MONITOR podręcznej może spowolnić działanie programu (gdy czas potrzebny na testowanie plików jest równy czasowi przeszukiwania pamięci podręcznej). Aby zdefiniować liczbę plików skanowanych tylko podczas ich pierwszego otwarcia należy wprowadzić odpowiednią wartość w linii CacheSize sekcji Options. Na przykład: CacheSize 2500 Wartość ta zależy od wydajności komputera i powinna zawierać się w przedziale pomiędzy 500 a 5000. Można zredukować czas testowania plików przez zwiększenie liczby plików przetwarzanych jednocześnie. Aby nie spowalniać wydajności systemu nie należy skanować więcej jak 5 do 15 plików jednocześnie Aby zdefiniować maksymalną liczbę jednocześnie skanowanych plików należy: wpisać wymaganą ich liczbę do linii MaxConcurrentCheck. Na przykład: MaxConcurrentChecks 10 Aby włączyć opcję raportowania błędów należy: wpisać OK do linii Warnings sekcji Options. Aby zdefiniować tryb raportowania działania programu należy: w sekcji Report file pliku konfiguracyjnego nadać odpowiednie wartości następującym liniom: LogFile ścieżka dostępu do pliku raportu. Na przykład: LogFile /tmp/kasperskymonitor.log Aby program zapisywał w pliku raportu wszystkie rezultaty działania, należy zdefiniować pełną ścieżkę dostępu do tego pliku. W przeciwnym wypadku Monitor wcale go nie utworzy. Append aby nowy raport był dopisywany do już istniejącego pliku należy wpisać Yes. Aby plik był tworzony na nowo za każdym razem, należy wpisać No. Przykładowy plik konfiguracyjny programu Monitor znajduje się w Dodatku B. 71

MONITOR Monitor jest programem klienckim procesu Daemon, dlatego podczas poszukiwania wirusów oraz usuwania ich Monitor stosuje ustawienia procesu Daemon. Na przykład, jeżeli katalog nie jest uwzględniany podczas testowania przez program Daemon, będzie on ignorowany nawet jeżeli katalog ten nie jest wyłączony ze sprawdzania w programie Monitor. 7.3. Uruchamianie programu Monitor Jak uruchomić program Monitor? Aby uruchomić Monitor, należy wykonać następujące kroki: 1. Uruchomić Daemon, na przykład, przez wpisanie następującej linii:./kavdaemon Programu Monitor nie można uruchamiać przed wystartowaniem procesu demona i załadowaniem antywirusowego modułu jądra. 2. Jeżeli antywirusowy moduł klmon nie został załadowany automatycznie przez system operacyjny należy to zrobić ręcznie, na przykład wpisując linię insmod klmon.o 3. Zredagować plik monitor.conf jeżeli nie zostało to uczynione wcześniej (patrz podrozdział 7.2.2). 4. Uruchomić program Monitor wpisując w linii poleceń ścieżkę dostępu do pliku konfiguracyjnego. Na przykład:./monitor monitor.conf Jeżeli podczas uruchamiania program wygeneruje jakiś błąd, zostanie on wpisany do raportu, a program zostanie zamknięty. Szczegóły dotyczące możliwych błędów znajdują się w podrozdziale 7.5 72

MONITOR 7.4. Przeglądanie rezultatów działania Jak przeglądać rezultaty działania programu.? Podczas testowania otwieranych, zapisywanych czy uruchamianych plików Monitor (jeżeli jest tak skonfigurowany) rejestruje rezultaty swoich działań do pliku raportu. Nazwa pliku raportu oraz tryb raportowania są zdefiniowane w sekcji Report file pliku konfiguracyjnego monitor.conf. Pliki raportu mogą być przeglądane w dowolnym edytorze tekstowym. 7.5. Problemy i ich rozwiązywanie Najczęściej pojawiające się problemy i ich rozwiązania. Uruchamiając program Monitor można natknąć się na problemy. Poniżej zostaną opisane i omówione sposoby rozwiązania najczęściej występujących problemów. Jeżeli nie jest możliwe załadowanie antywirusowego modułu jądra klmon oraz na ekranie pojawia się informacja: unresolved symbol należy sprawdzić numer wersji modułu. Wersja modułu musi odpowiadać wersji jądra systemu Linux, w przeciwnym wypadku nie będzie możliwe uruchomienie modułu antywirusowego. Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: ERROR: Could not open kavmonitor peer file: No such file or directory należy sprawdzić czy moduł antywirusowy został poprawnie zainstalowany. Po wpisaniu w linii poleceń komendy lsmod, na 73

MONITOR ekranie zostanie wyświetlona lista wszystkich załadowanych modułów, wśród których powinien znajdować się także moduł klmon. Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: ERROR: Could not open kavmonitor peer file: permission denied znaczy to, że użytkownik nie posiada odpowiednich praw do uruchomienia programu Monitor. Tylko użytkownik root może uruchamiać program Monitor. Jeżeli wszystkie pliki w raporcie działania programu Monitor są oznaczone jako UNKNOWN należy sprawdzić czy program Daemon został poprawnie zainstalowany i uruchomiony. Po wpisaniu w linii poleceń komendy ps ax, na ekranie zostanie wyświetlona lista uruchomionych procesów, na której powinien znajdować się proces demona. Jeżeli podczas uruchamiania programu Monitor zostanie wyświetlony na ekranie komunikat: "Error opening daemon socket: no such file or directory" oznacza to, że proces demona nie jest uruchomiony lub używa złego gniazdka. Należy uruchomić demona z podaniem prawidłowego położenia gniazdka. Jeżeli monitor nie wykrywa wirusów w plikach, które są na pewno zainfekowane oznacza to, że pliki nie są zdefiniowane w lokalizacji skanowania przez program Daemon. Aby być w pełni zabezpieczonym, Daemon powinien być skonfigurowany do testowania wszystkich katalogów. Monitor nie jest w stanie znaleźć wirusa w plikach zapisywanych w systemie plików NFS. Spowodowane jest to przez niestandardową procedurę zapisywania plików zastosowaną przez serwer NFS w jądrze Linux. Jeżeli pojawia się problem należy spróbować zdefiniować jego źródło postępując według następujących kroków: 74

MONITOR 1. Wpisać w linii poleceń komendę ps ax aby sprawdzić, czy proces demona jest uruchomiony. 2. Wpisać w linii poleceń komendę lsmod aby sprawdzić, czy został załadowany moduł antywirusowy jądra. 3. Spróbować uruchomić program Monitor ze ścieżką do pliku konfiguracyjnego podaną w linii poleceń. 75

Rozdział 8. Slogan: Przetwarzanie i sumowanie raportów 8.1. Możliwości i funkcje Możliwości i funkcje programu. Program Slogan został stworzony do przetwarzania danych pochodzących z raportów generowanych przez programy Scanner i Daemon. Może on spełniać następujące funkcje: sumowanie rezultatów działania powyższych programów dla okresu zdefiniowanego przez użytkownika; monitorowanie bieżących zmian danych w plikach raportów. 76

SLOGAN 8.2. Uruchamianie programu Slogan Uruchamianie programu z linii poleceń. Aby uruchomić program Slogan, w linii poleceń należy wpisać jego nazwę wraz z odpowiednimi przełącznikami:./slogan [przełącznik1] [przełącznik 2] [ ] [przełącznik N] gdzie [przełącznik N] jest opcjonalnym przełącznikiem linii poleceń programu Slogan. Należy pamiętać, by zdefiniować pliki raportów do przetwarzania. W tym celu można użyć przełącznika wiersza poleceń s (szczegóły poniżej). Jeżeli program będzie uruchomiony bez przełączników w linii poleceń, na ekranie pojawi się lista dostępnych przełączników. Lista ta może zostać wyświetlona za pomocą przełącznika h. Uruchamiając program Slogan można wykorzystać następujące przełączniki wiersza poleceń: -s plik1 plik 2 plikn lub s maska_pliku. gdzie: plik1 plik 2 plikn to lista plików raportów przeznaczonych do przetworzenia przez Slogan; maska_pliku jest maską plików raportów przeznaczonych do przetworzenia przez Slogan. Podsumowanie stworzone przez Slogan zawiera skumulowane informacje o wszystkich zdefiniowanych plikach! -h Wyświetla plik pomocy z listą dostępnych przełączników linii poleceń. -t nazwa_pliku Opcjonalny plik szablonu używanego do tworzenia przez Slogan raportu sumarycznego. 77

SLOGAN Program zawiera różne pliki szablonów *.tm, które Slogan może użyć podczas sumowania danych raportowych (więcej szczegółów na temat szablonów znajduje się w podrozdziale 14.7 Dodatek B). Domyślnie program generuje raport sumaryczny z użyciem szablonu template.tm (patrz Rysunek 2). Rysunek 2. Przykładowy raport sumaryczny stworzony przez Slogan -ds dd.mm.rrrr Program sumuje raporty wygenerowane od dnia zdefiniowanego przez przełącznik. 78

SLOGAN -de dd.mm.rrrr -e Program sumuje raporty wygenerowane do dnia zdefiniowanego przez przełącznik. Przełącznik umożliwia użycie języka angielskiego w raporcie sumarycznym. Domyślnie do generowania raportów program Slogan używa języka zdefiniowanego przez odpowiednie ustawienia systemu operacyjnego. -tt nazwa_pliku Przełącznik włącza tryb monitorowania czasu rzeczywistego (więcej szczegółów znajduje się w podrozdziale 8.3) 8.3. Slogan w trybie monitorowania czasu rzeczywistego Działanie programu w trybie monitorowania. Tryb monitorowania w czasie rzeczywistym pozwala na tropienie i badanie zmian w predefiniowanych plikach raportów. Ogólny format linii poleceń programu Slogan dla trybu monitorowania to:./slogan s [plik1] [ ] [plikn] tt [przełącznik1] [ ] [przełącznikn] gdzie: -tt przełącznik włączający tryb monitorowania programu Slogan. [plikn] opcjonalny plik raportów przeznaczony do monitorowania w czasie rzeczywistym. 79

SLOGAN [przełącznikn] opcjonalny przełącznik linii poleceń definiujący ustawienia programu Slogan dla trybu monitorowania. Uruchamiając program w trybie monitorowania czasu rzeczywistego można użyć następujących przełączników linii poleceń: -R sec -fast Ustawia wymagany czas odświeżania ekranu statystyk czasu rzeczywistego programu Slogan. Na przykład, aby ekran był uaktualniany co 30 sekund należy wprowadzić przełącznik -R 30. Domyślnie ekran jest odświeżany co sekundę. Pozwala na wyświetlanie tylko końca monitorowanego pliku raportu. Jeżeli nie jest on włączony, będą pokazywane zmiany czasu rzeczywistego w pliku raportu z autoprzewijaniem do miejsca zmiany. Dopóki całkowita liczba zmian w plikach raportów może być duża, zaleca się używanie tego przełącznika. -prev -r Włącza funkcję badania przez program wszystkich danych prezentowanych w pliku raportu. Wyświetla ponownie plik raportu jeżeli był on przez pewien czas niedostępny. Ekran (patrz Rysunek 3) wyświetlany przez Slogan w trybie monitorowania czasu rzeczywistego jest podzielony na dwa panele: Główne statystyki przedstawiają następujące podsumowania: Request sprawdzone obiekty. Archives sprawdzone archiwa. Packed sprawdzone spakowane pliki wykonywalne. Corrupted wykryte uszkodzone obiekty. OK sprawdzone pliki. I/O Errors błędy wejścia/wyjścia. 80

SLOGAN Infected wykryte zainfekowanie obiekty. Disinfected obiekty nie wyleczone. Suspicion wykryte podejrzane obiekty. Disinfections failed wykryte obiekty niemożliwe do odzyskania. Deleted obiekty usunięte. Warnings wykryte zmodyfikowane i zepsute wirusy. Koniec monitorowanego pliku raportu. Kombinacja klawiszy <CTRL+C> umożliwia wyjście z trybu monitorowania czasu rzeczywistego. Rysunek 3. Slogan w trybie monitorowania czasu rzeczywistego 81

Rozdział 9. Tuner: Konfigurowanie programów Scanner i Daemon 9.1. Możliwości i funkcje Możliwości i funkcje programu. Tuner jest programem konfiguracyjnym, pozwalającym na tworzenie i edytowanie profili, tj. plików zawierających odpowiedni zestaw predefiniowanych ustawień skanera antywirusowego i procesu demona: lista obiektów przeznaczonych do skanowania na obecność wirusów; sposób przetwarzania zainfekowanych obiektów; użycie zaawansowanych narzędzi skanujących itp. 82

TUNER 9.2. Uruchamianie programu Tuner Uruchamianie programu z linii poleceń. Dostępne przełączniki linii poleceń. Ogólna postać linii poleceń programu Tuner wygląda następująco:./kavtuner [przełącznik1] [ ] [przełącznikn], gdzie [przełącznik1] jest opcjonalnym przełącznikiem linii poleceń (patrz poniżej). Uruchamiając Tuner można użyć następujących przełączników linii poleceń: -g Włącza użycie pliku defunix.prf z katalogu /opt/avp/ jako profilu. -ua=nazwa_użytkownika Włącza (jeżeli nie jest stworzony) użycie pliku defunix.prf jako domyślnego profilu dla zdefiniowanego użytkownika. -ud= nazwa_uż ytkownika -v -e Wyłącza użycie pliku defunix.prf jako domyślnego profilu dla zdefiniowanego użytkownika. Wyświetla numer wersji programu. Włącza generowanie przez program raportów, wiadomości tekstowych itp. w języku angielskim. 83

TUNER 9.3. Interfejs Omówienie interfejsu. Funkcje stron. Podczas uruchamiania programu na ekranie pojawia się jego główne okno, podzielone na dwie następujące części: listwę menu i obszar roboczy. Na górze okna znajduje się listwa menu zawierająca trzy menu: File, Settings, Help. Aby wybrać menu należy nacisnąć przycisk <ALT> i przycisk zawierający literę podświetloną w nazwie menu. Jeżeli program Tuner jest uruchamiany przez telnet, aby użyć skrótu klawiszowego należy dwukrotnie nacisnąć przycisk <ESC> i wymagany klawisz skrótu. Kombinacja <ALT+WYMAGANY_KLAWISZ> nie będzie działać! Aby poruszać się po menu należy użyć klawiszy strzałek lub odpowiednich kombinacji klawiszy. Pod listwą menu znajduje się główne obszar roboczy. Zawiera on sześć zakładek z różnymi nazwami (Location, Options, Report, ActionsWith, Customize i Mail). Po uruchomieniu programu w głównym oknie będzie wyświetlona strona Location. Aby przełączyć się do następnej strony należy wybrać jego nazwę w menu Settings lub nacisnąć przycisk <ALT> i przycisk zawierający literę podświetloną w nazwie strony. Aby przełączyć się do następnej strony należy wybrać polecenie Next Page z menu Settings. Aby przełączyć się do poprzedniej strony należy wybrać polecenie Previous Page z menu Settings. Wybierając opcje na stronie można używać następujących przycisków: 84

TUNER <HOME> przesunięcie kursora do początku pola tekstowego; <END> przesunięcie kursora do końca pola tekstowego; <SPACE> zaznaczenie/odznaczenie opcji; <TAB> przejście do następnego elementu; <F10> przejście do listwy menu (File, Settings, Help). Aby wyjść z programu konfiguracyjnego należy wybrać polecenie Exit z menu File lub użyć kombinacji klawiszy <ALT+X>. 9.4. Tworzenie, edytowanie i zapisywanie profilu Tworzeni, edytowanie i zapisywanie profilu z użyciem programu konfiguracyjnego. Aby skaner korzystał z wartości zdefiniowanych w obszarze roboczym programu konfiguracyjnego, należy zachować je w profilu Aby stworzyć nowy profil należy wykonać następujące kroki: 1. Uruchomić Tuner. Na ekranie pojawi się główne okno. 2. Zmienić wymagane ustawienia (więcej szczegółów znajduje się w podrozdziałach 9.5 9.9) 3. Wybrać polecenie Save Profile As z menu File. Na ekranie pojawi się okno dialogowe Save Profile 4. Wybrać katalog z listy Files. 5. Wprowadzić nazwę profilu w polu tekstowym Profile name. 6. Nacisnąć przycisk Save. Ustawienia będą zapisane do zdefiniowanego pliku.prf. 85

TUNER Aby anulować zapisywanie ustawień należy nacisnąć przycisk Cancel. Aby edytować profil należy wykonać następujące kroki: 1. Uruchomić Tuner. Na ekranie pojawi się główne okno. Podczas uruchamiania program ładuje domyślny profil (jego nazwa jest określona w pliku.ini) lub plik zdefiniowany w linii poleceń (patrz podrozdział ) 2. Wybrać polecenie Load Profile... z menu File. Na ekranie pojawi się okno dialogowe Load Profile... 3. Na liście Files wybrać katalog z profilem przeznaczonym do edycji. 4. Wybrać profil. 5. Nacisnąć przycisk Open. Ustawienia z tego pliku będą załadowane do głównego okna. Aby anulować ładowanie ustawień profilu należy nacisnąć przycisk Cancel. 6. Zmienić wymagane ustawienia. 7. Zapisać zmiany (jak opisano powyżej). 8. Nacisnąć przycisk Yes w okno dialogowe potwierdzającym. Zmiany zostaną zapisane do zdefiniowanego pliku.prf. Aby zapisać ustawienia w domyślnym profilu, którego nazwa jest zdefiniowana w linii DefaultProfile pliku AvpUnix.ini należy, wybrać polecenie Save Profile as default z menu File. 86

TUNER 9.5. Strona Location Definiowanie lokalizacji do testowania. Ustawienia dotyczące poszukiwania wirusów definiowane dla oddzielnych katalogów. 9.5.1. Definiowanie lokalizacji przeznaczonej do testowania Na stronie Location (patrz Rysunek 4) można zdefiniować listę katalogów przeznaczonych do testowania w poszukiwaniu wirusów. Rysunek 4. Strona Location Strona Location odpowiada sekcji [Object] profilu. Jeżeli program został uruchomiony bez predefiniowanej lokalizacji do testowania, na ekranie pojawi się następujący komunikat: "Nothing to scan. You should select at least one directory to scan" 87

TUNER Aby zdefiniować lokalizację do testowania należy stworzyć listę katalogów przeznaczonych do sprawdzania na obecność wirusów. Jest to główna lista katalogów przeznaczonych do testowania. Katalogi, które powinny być sprawdzane są oznaczone znakiem "+", a katalogi które powinny być pominięte znakiem "-". Aby edytować pozycje na liście należy należy nacisnąć klawisz SPACE lub dwukrotnie kliknąć przyciskiem myszy. Można wybrać następujące opcje dla każdej pozycji: pozycja ma być sprawdzana na obecność wirusa (poprzedzona znakiem "+"); pozycja ma być pominięta przy sprawdzaniu na obecność wirusa (poprzedzona znakiem "-") pozycja ma być neutralna (bez prefiksu). Aby dodać katalog do listy należy wykonać następujące kroki: 1. Nacisnąć przycisk Add folder. Na ekranie pojawi się okno dialogowe Add folder z polem Directory Name, odpowiednią listą rozwijaną, drzewem katalogów i przyciskami OK, Cancel i Revert 2. Wybrać wymagany katalog. Aby to zrobić można podać pełną ścieżkę do katalogu w polu Directory name, wybrać katalog z rozwijanej listy lub znaleźć na liście Directory tree. 3. Nacisnąć przycisk OK. Katalog będzie dodany do listy z poprzedzającym go znakiem "+". Aby usunąć katalog z listy należy wybrać go używając klawiszy kontrolnych kursora i naciskając klawisz <DEL>. Nie trzeba usuwać katalogu z listy aby pominąć jego skanowanie. Wystarczy użyć klawisza <SPACE> aby wyłączyć jego przedrostek ("+" lub "-") co jest to bardzo użyteczne, jeżeli ustawienia zostały zachowane w profilu (patrz podrozdział 9.4). 88

TUNER 9.5.2. Definiowanie ustawień skanowania dla pojedynczego katalogu 9.5.2.1. Okno Property katalogu: wybieranie wymaganego katalogu Aby zdefiniować ustawienia skanowania dla pojedynczego katalogu należy wykonać następujące kroki: 1. Za pomocą klawiszy strzałek lub myszki wybrać wymagany katalog. Domyślnie program wybiera pierwszy katalog na liście. 2. Nacisnąć przycisk Property. Na ekranie pojawi się okno Property for. zawierające zakładki Objects, Actions, i Options oraz przyciski Accept, Accept to all, Save as i Cancel. Opcje w zakładkach pozwalają na definiowanie następujących ustawień wybranego katalogu: typy obiektów i plików przeznaczonych do skanowania (więcej szczegółów znajduje się w podrozdziale 9.5.2.2); sposób przetwarzania zainfekowanych obiektów (więcej szczegółów znajduje się z podrozdziale 9.5.2.3); użycie zaawansowanych narzędzi skanujących (więcej szczegółów znajduje się z podrozdziale 9.5.2.4). 3. Przyciski znajdujące się na dole okna Property for pozwalają wykonać następujące operacje: Accept zastosowanie zdefiniowanych ustawień dla wybranego katalogu na stronie Location. Accept to all zastosowanie zdefiniowanych ustawień dla lokalizacji przeznaczonej do testowania (dla wszystkich katalogów z listy zdefiniowanej na stronie Location). 89

TUNER Save as pozwala na dodanie do lokalizacji przeznaczonej do testowania ustawień zdefiniowanych dla nowego katalogu. Po naciśnięciu przycisku pojawi się okno Add folder, którego można użyć do dodania wymaganego katalogu do listy na stronie Location (więcej szczegółów na temat dodawania lokalizacji przeznaczonej do testowania patrz podrozdział 9.5.1). Katalog będzie dodany do listy i poprzedzony znakiem "+". Cancel opuszczenie okna Property for bez zachowywania zmian. 9.5.2.2. Okno Property katalogu: obiekty przeznaczone do testowania Opcje dostępne w oknie Property strony Objects (patrz Rysunek 5) pozwalają na zdefiniowanie następujących ustawień: typy obiektów przeznaczonych do testowania w poszukiwaniu wirusów; obiekty i katalogi które mają być ignorowane; typy plików przeznaczonych do testowania w poszukiwaniu wirusów; Rysunek 5. Strona Objects 90

TUNER Definiowanie obiektów przeznaczonych do skanowania w wybranym katalogi: Sectors włącza poszukiwanie wirusów w sektorach dysku. Files włącza poszukiwanie wirusów w plikach. Zaznaczając tą opcję należy wybrać typy plików przeznaczone do testowania. Więcej szczegółów na ten temat znajduje się poniżej. Packed files włącza poszukiwanie wirusów w spakowanych modułach wykonywalnych (więcej szczegółów znajduje się w podrozdziale 5.3.2.4) Archives włącza poszukiwanie wirusów w plikach archiwów (więcej szczegółów znajduje się w podrozdziale 5.3.2.5) Mechanizmy extracting engine i unpacking engine znacząco spowalniają proces skanowania wykonywany przez Kaspersky Anti- Virus for Linux. Zaleca się włączenie tych mechanizmów wyłącznie w przypadku dużego prawdopodobieństwa zainfekowania pliku w archiwach i plikach spakowanych. Mail Databases włącza poszukiwanie wirusów w pocztowych bazach danych (więcej szczegółów znajduje się w podrozdziale 5.3.2.6) Plain Mail formats włącza poszukiwanie wirusów w tekstowych formatach pocztowych (więcej szczegółów znajduje się w podrozdziale 5.3.2.6) Skanowanie pocztowych baz danych a zwłaszcza tekstowych plików pocztowych znacząco spowalnia proces skanowania wykonywany przez Kaspersky Anti-Virus for Linux. Zaleca się wyłączenie tej opcji przy wykonywaniu regularnego poszukiwania wirusów. Kaspersky Anti-Virus for Linux nie usuwa wirusów z archiwów, pocztowych baz danych i tekstowych formatów tekstowych. Embedded włącza poszukiwanie wirusów w osadzonych obiektach OLE badanych plików. 91

TUNER Wybranie jednej z poniższych opcji pozwala na zdefiniowanie typów plików do testowania: Smart skanuje programy, tj. wszystkie pliki z rozszerzeniami.bat,.com,.exe,.ov*,.sys,.bin,.prg,.class,.ini,.vbs,.js,.htm,.dpl,.htt,.hta,.hlp,.pif; a także pliki, których wewnętrzny format odpowiada plikom wykonywalnym DOS (*.com, *.exe and.sys), Windows i OS/2 (.exe, *.dll), Linux (w formacie.elf); pliki w formacie dokumentów i arkuszy Microsoft Office (OLE2 i Access) oraz aplety Java. Wartość ta włącza więc skanowanie wszystkich plików, które mogą zawierać kod wirusa. Programs skanuje wszystkie pliki z rozszerzeniami:.bat,.bin,.cla,.cmd,.com,.cpl,.dll,.doc,.dot,.dpl,.drv,.dwg,.eml,.exe,.fpm,.hlp,.hta,.htm,.htt,.ini,.js,.jse,.lnk,.mbx,.md*,.msg,.msi,.ocx,.otm,.ov*,.php,.pht,.pif,.plg,.pp*,.prg,.rtf,.scr,.shs,.sys,.tsp,.vbe,.vbs,.vxd,.xl*. All files skanuje wszystkie pliki każdego typu (wartość ta odpowiada masce *.*). User defined skanuje pliki typów zdefiniowanych przez użytkownika w polu tekstowym. Definiując więcej niż jeden typ plików należy oddzielać je przecinkami. Definiowanie plików i/lub katalogów, które mają być ignorowane podczas testowania: Exclude files włącza ignorowanie plików zdefiniowanych w polu tekstowym. W polu tym należy wprowadzić odpowiednie nazwy plików lub maski. Można także użyć przycisku Add aby wybrać te pliki z drzewa katalogów z okienka Add folder (więcej szczegółów znajduje się w podrozdziale Ошибка! Источник ссылки не найден.). Aby upewnić się, że nie ma wirusów w podanej lokalizacji, zaleca się testowanie wszystkich plików (opcja All files). Exclude directories włącza ignorowanie katalogów zdefiniowanych w polu tekstowym. W polu tym należy wprowadzić odpowiednie nazwy katalogów. Można także użyć przycisku Add aby wybrać te pliki z drzewa katalogów z okienka Add folder (więcej szczegółów znajduje się w podrozdziale 9.5.1). 92

TUNER 9.5.2.3. Okno Property katalogu: definiowanie akcji antywirusowych Opcje dostępne w oknie Property strony Actions (patrz Rysunek 6) pozwalają na zdefiniowanie akcji jakie mają zostać podjęte na zarażonych i podejrzanych obiektach. Aby zdefiniować obsługę zainfekowanych i podejrzanych obiektów należy wybrać jedną z poniższych opcji: Report only wyświetla informacje o zainfekowanych i podejrzanych obiektach, a jeśli program jest skonfigurowany to zapisuje je do pliku raportu. Program nie będzie leczył ani kasował obiektów. Display Disinfect Dialog wyświetla zapytanie o rodzaj działania na zainfekowanym obiekcie. Program sugeruje wyleczenie obiektu (dla obiektów możliwych do wyleczenia) lub skasowanie go (dla obiektów niemożliwych do wyleczenia). Disinfect automatically program leczy zainfekowane obiekty bez uprzedniego pytania. W przypadku obiektów, których nie da się wyleczyć sugeruje usunięcie obiektu. Delete object automatically program usuwa zainfekowane obiekty bez uprzedniego pytania. Rysunek 6. Strona Actions 93

TUNER Aby zdefiniować obsługę obiektów, których nie da się wyleczyć należy wybrać jedną z poniższych opcji: Report only wyświetla informacje o obiektach niemożliwych do wyleczenia, a jeśli program jest skonfigurowany to zapisuje je do pliku raportu. Program nie będzie usuwał lub tych obiektów. Delete object automatically program usuwa zainfekowane obiekty bez uprzedniego pytania. Aby skonfigurować program by robił kopie zapasowe zainfekowanych plików przeznaczonych do kasowania lub leczenia należy zaznaczyć opcję: Backup infected kopiuje zainfekowane pliki do katalogu zdefiniowanego w polu Copy to infected folder (patrz podrozdział 9.8). 9.5.2.4. Okno Property katalogu: definiowanie użycie zaawansowanych narzędzi skanowania. Strona Options. Opcje dostępne w oknie Property strony Options (patrz Rysunek 7) pozwalają na włączenie/wyłączenie zaawansowanych narzędzi skanujących. Można użyć następujących zaawansowanych narzędzi skanujących: Warnings włącza zaawansowane narzędzie sprawdzające do poszukiwania uszkodzonych lub zmodyfikowanych wirusów. Code Analyzer włącza analizator heurystyczny poszukujący nieznanych wirusów. 94

TUNER Rysunek 7. Strona Options Czasami plik może być zainfekowany w niewłaściwy sposób, co sprawia, że jest do odzyskania, ale bez możliwości usunięcia wirusa. W takim wypadku, aby wykryć wirusa należy wykonać dogłębny test (narzędzie skanowania redundancyjnego). Redundant scan włącza narzędzie skanowania redundancyjnego Scan subdirectories włącza skanowanie podkatalogów. Cross filesystems włącza możliwość skanowania wszystkich dostępnych, dołączonych systemów plików. 9.6. Strona Options Opcje dostępne na stronie Options. Opcje dostępne na stronie Options głównego okna programu Tuner (patrz Rysunek 8) pozwala na definiowanie ustawień skanowania dla całej listy katalogów przeznaczonych do testowania (skumulowana lokalizacja do testowania). Strona Options odpowiada sekcji [Options] profilu. 95

TUNER Rysunek 8. Strona Options Aby zdefiniować czy i jak program ma sprawdzać dowiązania symboliczne, należy wybrać jedną z poniższych opcji: On the command line skanuje tylko dowiązania symboliczne zdefiniowane w wierszu poleceń. All symbolic links testuje wszystkie dowiązania symboliczne. Skip symbolic links nie testuje dowiązań symbolicznych. Można zdefiniować następujące ustawienia: Scan subdir at end skanuje podkatalogi na końcu (po przeskanowaniu innych predefiniowanych obiektów). Scan removable poszukuje wirusów na dyskach wymiennych. Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Daemon (tj. kiedy Tuner został uruchomiony z linii poleceń z przełącznikiem pd)! Scan files in parallel włącza jednoczesne skanowanie obiektów zdefiniowanych w polach ze słowem Scan. Use memory files włącza tworzenie tymczasowych plików w pamięci (nie na dysku twardym). Jeżeli ta opcja jest zaznaczona należy zdefiniować poniższe ustawienia: 96

TUNER Limit for mem. files ograniczenie wielkości tworzonego w pamięci pliku tymczasowego. W polu tekstowym należy podać jego maksymalny rozmiar (w kilobajtach). Domyślną wartością jest 3000 kb i oznacza, że jeżeli rozmiar pliku tymczasowego przekroczy tę wartość, to zostanie on stworzony na twardym dysku. Mem. files max size ograniczenie wielkości plików rozpakowywanych z archiwów zdefiniowane w kilobajtach. Domyślną wartością jest 20000 kb i oznacza, że jeżeli plik rozpakowywany z archiwum przekroczy tę wartość to program skończy rozpakowywanie go do pamięci i rozpocznie generowanie pliku tymczasowego na dysku twardym. Temp path w polu tekstowym można zdefiniować ścieżkę dostępu do katalogu plików tymczasowych. Domyślnym katalogiem tych plików jest /tmp. Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Daemon (tj. kiedy Tuner jest został uruchomiony z linii poleceń z przełącznikiem pd)! Endlessly scan włącza opcję zapętlonego skanowania w poszukiwaniu wirusów. Scan delay określa interwał czasowy pomiędzy dwoma pętlami (w sekundach). Parametr ten jest używany wyłącznie jeżeli zaznaczona została opcja Endlessly scan. Jeżeli wartość pola Scan delay wynosi 0, pomiędzy pętlami nie będzie przerwy! 97

TUNER 9.7. Strona Report Opcje dostępne na stronie Report. Opcje dostępne na stronie Report głównego okna programu Tuner (patrz Rysunek 9) pozwala na definiowanie formatu i zawartości raportów programów. Strona Report odpowiada sekcji [Report] profilu. Rysunek 9. Strona Report Na tej stronie można zdefiniować następujące ustawienia raportowania: Report file włącza dodawanie wyników sprawdzania do pliku logów (raportu) zdefiniowanego w polu tekstowym. Use syslog włącza dodawane raportów do logów systemowych. Zaznaczona opcja Use syslog automatycznie wyłącza działanie następujących parametrów: ReportFileName, Append, ReportFileLimit ReportFileSize i RepCreateFlag. Append nowy raport będzie dodawany do istniejącego pliku logów. Extended report włącza dodawanie do raportu 98

TUNER szczegółowych informacji. Limit sizes of report file, kb włącza ograniczanie wielkość pliku logów. W polu tekstowym należy zdefiniować jego maksymalny rozmiar w kilobajtach. Domyślną wartością jest 500 kb. Use CR włącza dodatkowo użycie znaku powrotu karetki dla oddzielnych rekordów w pliku logów. Domyślnie rekordy są oddzielane wyłącznie za pomocą znaku LF, co może utrudnić czytanie raportów w niektórych edytorach tekstu gdyż wszystkie informacje będą wyświetlone w jednej linii. Report for each object umożliwia umieszczanie w raporcie informacji o wszystkich testowanych obiektach. Use long strings zaznaczenie tej opcji wyłącza łamanie linii podczas wyświetlania raportu. Następujące opcje nie są wyświetlane podczas używania programu Tuner do zmiany ustawień programu Scanner (tj. kiedy Tuner jest został uruchomiony z linii poleceń z przełącznikiem ps)! User report włącza tworzenie raportów działania w pliku logów użytkownika. W polu tekstowym należy określić pełną nazwę tego pliku. Domyślnie ma on nazwę userreport.log. Aby zdefiniować atrybuty dostępu tworzonego pliku raportów należy w tym polu tekstowym Report create flag określić docelową maskę atrybutów w tym polu tekstowym. Na przykład wartość 600 przypisuje następujące atrybuty: odczyt przez właściciela i zapis przez właściciela. Przycisk Showing na stronie Report pozwala na zdefiniowanie opcjonalnych informacji dodawanych do raportu. Naciśnięcie przycisku Showing spowoduje otworzenie odpowiedniego okna dialogowego (Rysunek 10) podzielonego na dwie następujące części: Obszar roboczy z listą opcji definiujących opcjonalne informacje, które mogą zostać zawarte w raporcie działania programów. Domyślnie wszystkie opcje są zaznaczone. 99

TUNER Zestaw przycisków: Accept zapisuje dokonane zmiany. Cancel opuszcza okno bez zapisu dokonanych zmian. Użycie poniższych opcji pozwala na zdefiniowanie opcjonalnych informacji dodawanych do raportu: Show clean object in the log włącza dodawanie informacji o obiektach nie zawierających wirusów. Rysunek 10. Lista opcji w oknie Showing Show pack info in the log włącza dodawanie informacji o spakowanych plikach wykonywalnych. Show passworded in the log włącza dodawanie informacji o archiwach zabezpieczonych hasłami. Show suspicion in the log włącza dodawanie informacji o podejrzanych obiektach. Show warning in the log włącza dodawanie informacji o obiektach podejrzanych o zainfekowanie modyfikacją znanego wirusa. Show corrupted in the log włącza dodawanie informacji o uszkodzonych obiektach. Show unknown in the log włącza dodawanie informacji o wykrytych nieznanych wirusach. 100

TUNER 9.8. Strona ActionWith Opcje dostępne na stronie ActionWith. Opcje dostępne na stronie ActionWith głównego okna programu Tuner (patrz Rysunek 11) pozwala na definiowanie sposobu obchodzenia się z zainfekowanymi i podejrzanymi plikami znalezionymi w kumulacyjnej lokalizacji przeznaczonej do testowania. Strona ActionWith odpowiada sekcji [ActionWithInfected] i [ActionWithSuspicion]profilu. Rysunek 11. Strona ActionWith Strona ta zawiera dwa zestawy identycznych opcji dla zainfekowanych i podejrzanych obiektów, dlatego poniżej zostaną opisane tylko opcje dla zainfekowanych plików, które mają to samo znaczenie w odniesieniu do obiektów podejrzanych. Poniższe opcje definiują sposób obsługi przez program zainfekowanych obiektów: Copy to infected folder włącza kopiowanie zainfekowanych plików do oddzielnego katalogu zdefiniowanego w polu tekstowym. Domyślnym katalogiem jest infected położony w tym samym katalogu co pakiet Kaspersky Anti- 101

TUNER Virus for Linux. Zaleca się wprowadzenie całkowitej, a nie relatywnej, ścieżki do katalogów przeznaczonych do przechowywania obiektów podejrzanych i zainfekowanych Należy bardzo uważać przy obchodzeniu się z podejrzanymi i zainfekowanymi obiektami lub ich kopiami! Jeżeli zainfekowany jest plik wykonywalny, nie wolno go uruchamiać! Copy with path włącza kopiowanie zainfekowanych obiektów łącznie ze ścieżkami dostępu do nich. Change extension to włącza zmianę rozszerzeń zainfekowanych plików na rozszerzenie podane w polu tekstowym. Użycie poniższych pól tekstowych umożliwia definiowanie praw dostępu do zainfekowanych plików: 1. Chown to zmienia nazwę właściciela zainfekowanego pliku niemożliwego do wyleczenia, na podaną w polu tekstowym. Domyślną wartością jest None co oznacza, że program nie zmieni nazwy właściciela. 2. Chmod to zmienia prawa dostępu zainfekowanego pliku niemożliwego do wyleczenia na zdefiniowane w postaci maski w polu tekstowym. Na przykład, wartość 640 przypisuje następujące prawa do pliku: odczyt przez właściciela, zapis przez właściciela, odczyt przez grupę. Domyślną wartością jest No co oznacza, że program nie zmienia praw dostępu. 9.9. Strona Customize Opcje dostępne na stronie Customize. Opcje dostępne na stronie Customize głównego okna programu Tuner (patrz Rysunek 12) pozwala na definiowanie ustawień działania programu. Strona Customize odpowiada sekcji [Customize] profilu. 102

TUNER Rysunek 12. Strona Customize Użycie poniższych opcji umożliwia definiowanie ustawień działania programu: Sound effect włącza użycie efektów dźwiękowych podczas procesu skanowania. Check updates via włącza opcję przypominania o uaktualnianiu baz antywirusowych. W polu tekstowym można wpisać interwał czasu pomiędzy dwoma przypomnieniami. Other messages włącza raportowanie o błędach generowanych podczas uruchamiania programu. Redundant message włącza pytanie o potwierdzenie przed włączeniem skanowania redundancyjnego. Powyższe ustawienie będzie użyte wyłącznie przy skanowaniu katalogu z włączoną opcją użycia narzędzia skanowania redundancyjnego (patrz podrozdział 9.5.2.4). "Delete all " message włącza pytanie o potwierdzenie przed usunięciem zainfekowanego obiektu. Powyższe ustawienie będzie użyte wyłącznie przy skanowaniu katalogu z włączoną opcją Delete objects automatically na stronie Actions (patrz podrozdział 9.5.2.3). 103