[inetdoc.LINUX]

Ce paquet contient le scanner clamscan que l'on utilise au niveau système de fichiers. Ce mode de traitement est excessivement coûteux en temps d'accès disque et dégrade très sensiblement les performances du traitement du courrier électronique. Le service amavisd-new ne fait appel à ce scanner qu'en secours ; lorsque les antivirus primaires travaillant en RAM ne sont plus disponibles.

Vis-à-vis du service amavisd-new, le scanner est un antivirus secondaire. On obtient les informations suivantes lors du lancement du service.

amavis[3000]: Found secondary av scanner ClamAV-clamscan at /usr/bin/clamscan

Ce paquet contient le démon clamd qui réside en mémoire de façon permanente et qui communique avec le service amavisd-new via un socket UNIX. C'est ce mode de traitement qui donne les meilleures performances. Une fois que le service a extrait tous les objets contenu dans les champs d'un message, il transmet ces objets aux anitivirus pour examen. Il est possible de stocker les objets à traiter dans un système de fichiers «monté» en RAM pour accroître encore les performances.

Vis-à-vis du service amavisd-new, le démon est un antivirus primaire. On obtient les informations suivantes lors du lancement du service.

amavis[3000]: Using internal av scanner code for (primary) ClamAV-clamd

Ce paquet contient le démon freshclam qui réside en mémoire de façon permanente et qui collecte périodiquement les nouvelles signatures de virus. Ce démon est aussi chargé de notifier le démon clamd pour qu'il recompose son cache en fonction des nouvelles signatures.

Ce démon n'a aucune interaction avec le service amavisd-new.

La configuration de ce démon suit les directives du paquet Debian.

$ cat /etc/clamav/freshclam.conf
# Automatically created by the clamav-freshclam postinst
# Comments will get lost when you reconfigure the clamav-freshclam package

DatabaseOwner clamav
UpdateLogFile /var/log/clamav/freshclam.log
LogFileMaxSize 0
MaxAttempts 5
# Check for new database 8 times a day
Checks 8
DatabaseMirror db.local.clamav.net
DatabaseMirror database.clamav.net
DatabaseDirectory /var/lib/clamav/
NotifyClamd 
DNSDatabaseInfo current.cvd.clamav.net

La configuration de ce démon suit aussi les directives du paquet Debian.

$ cat /etc/clamav/clamd.conf
#Automatically Generated by clamav-base postinst
#To reconfigure clamd run #dpkg-reconfigure clamav-base
#Please read /usr/share/doc/clamav-base/README.Debian.gz for details
LocalSocket /var/run/amavis/clamd.sock 
FixStaleSocket
User amavis 
AllowSupplementaryGroups
ScanMail
ScanArchive
ArchiveMaxRecursion 5
ArchiveMaxFiles 1000
ArchiveMaxFileSize 10M
ArchiveMaxCompressionRatio 250
ScanRAR
MaxDirectoryRecursion 15
ReadTimeout 180
MaxThreads 12
MaxConnectionQueueLength 15
LogSyslog
LogFile /var/log/clamav/clamav.log
LogTime
LogFileMaxSize 0
PidFile /var/run/amavis/clamd.pid
DatabaseDirectory /var/lib/clamav/
SelfCheck 3600

L'utilisateur clamav doit faire partie du groupe amavis.

$ cat /etc/group |grep clam
amavis:!:109:clamav
clamav:!:112:

À partir du site Mises à jour Sophos™, on télécharge l'archive linux.intel.libc6.glibc.2.2.tar.Z.

Il s'agit essentiellement de copier des fichiers dans l'arborescence /usr/local/.

$ tar xvzf linux.intel.libc6.glibc.2.2.tar.Z
<snipped/>
$ cd sav-install
$ su
Password:
# ./install.sh -v 
Utilitaire d'installation de Sophos Anti-Virus [[Linux/Intel]]
Copyright (c) 1998-2005 Sophos Plc, Oxford, Angleterre

Initialisation...

Les binaires seront installés dans '/usr/local/bin'
Les bibliothèques seront installées dans '/usr/local/lib'
Les pages man seront installées dans '/usr/local/man'
Les données virales seront installées dans '/usr/local/sav'
Le texte de message sera installé dans '/usr/local/sav'

SWEEP sera installé
InterCheck ne sera pas installé
<snipped/>
Ajustement en cours de /etc/sav.conf
<snipped/>

Les mises à jour mensuelles et le script sophos-ide-update.pl renomment les fichiers de signatures virales et les bibliothèques sans les effacer. Le répertoire /usr/local/sav/ doit donc être purgé régulièrement.

Voici une exemple de script exécuté chaque mois :

MailGw:/etc/cron.monthly# cat sav-cleanup
#! /bin/sh

[ -d /usr/local/sav/ ] || exit 0

find /usr/local/sav/ -mtime +90 -exec rm {} \;

Le site principal sophie indique la version la plus récente du démon.

$ wget http://www.clanfield.info/sophie/sophie-3.05.tar.bz2
$ su
Password:
# mv sophie-3.05.tar.bz2 /usr/local/src
# cd /usr/local/src
# tar xf sophie-3.05.tar.bz2
# chown -R root.src sophie-3.05

Pour que la compilation du logiciel fasse appel à la bibliothèque d'exploitation des signatures de virus, il est nécessaire de créer un lien symbolique vers la dernière version de cette bibliothèque.

MailGw:/usr/local/lib# ln -s libsavi.so.3 libsavi.so
MailGw:/usr/local/lib# ls -larth libsavi.so*
-r-xr-xr-x 1 bin  bin   1,7M 2006-09-04 16:12 libsavi.so.3.2.07.145
-r-xr-xr-x 1 bin  bin   1,7M 2006-10-03 23:34 libsavi.so.3.2.07.149
-r-xr-xr-x 1 bin  bin   1,7M 2006-11-09 09:57 libsavi.so.3.2.07.155
-r-xr-xr-x 1 bin  bin   1,7M 2006-12-01 20:07 libsavi.so.3.2.07.157
lrwxrwxrwx 1 root staff   21 2006-12-01 20:07 libsavi.so.3 -> libsavi.so.3.2.07.157
lrwxrwxrwx 1 root staff   21 2006-12-01 20:07 libsavi.so.2 -> libsavi.so.3.2.07.157
lrwxrwxrwx 1 root staff   12 2006-12-01 22:11 libsavi.so -> libsavi.so.3

On retrouve ici les étapes rituelles de compilation d'un logiciel libre.

La commande ./configure contrôle la présence des outils et des bibliothèques nécessaires à la compilation et génère les Makefiles.

MailGw:/usr/local/src/sophie-3.05# ./configure
<snipped/>
checking if only fatal errors will be reported... no
configure: creating ./config.status
config.status: creating Makefile
config.status: creating sophie.cfg
config.status: creating config.h
config.status: config.h is unchanged

La commande make lance la compilation proprement dite.

MailGw:/usr/local/src/sophie-3.05# make
gcc -g -O2 -Wall -Isav_if   -c -o sophie.o sophie.c
gcc -g -O2 -Wall -Isav_if   -c -o sophie_init.o sophie_init.c
gcc -g -O2 -Wall -Isav_if   -c -o sophie_scandir.o sophie_scandir.c
gcc -g -O2 -Wall -Isav_if   -c -o sophie_core.o sophie_core.c
gcc -g -O2 -Wall -Isav_if   -c -o sophie_notify.o sophie_notify.c
gcc -g -O2 -Wall -Isav_if -Wl,--strip-all -Wl,-rpath,/usr/local/lib \
                 -L/usr/local/lib -lsavi sophie.o sophie_init.o \
		 sophie_scandir.o sophie_core.o sophie_notify.o \
		 -o sophie

Comme pour les autres éléments, on installe le programme dans l'arborescence locale du système indépendante des paquets de la distribution /usr/local.

# mv /usr/local/bin/sophie /usr/local/bin/sophie.old
# cp /usr/local/src/sophie-3.05/sophie /usr/local/bin/

Il ne reste plus qu'à lancer le démon.

# /etc/init.d/sophie stop
# /etc/init.d/sophie start

On valide le chargement du démon en mémoire en consultant les messages systèmes.

# tail -250 /var/log/syslog
<snipped/>
sophie[337]: NOTICE           : SIGNAL '15' caught - cleaning up and exiting.
sophie[337]: NOTICE           : pSAVI cleaned up and released/terminated
sophie[903]: WARNING          : Socket '/var/run/amavis/sophie.sock' already exists!
sophie[903]: NOTICE           : Removing existing socket
sophie[905]: NOTICE           : Setting configuration options - please wait...
sophie[903]: /usr/local/bin/sophie Placed in the background [PID: 9004]
sophie[905]: NOTICE           : Configuration options set
sophie[905]: Sophos engine    : Sophos engine version 2.40
sophie[905]: Sophie IDE       : Sophos IDE version 4.12 (detects 202043 viruses)
sophie[905]: SAVI config      : /etc/sophie.savi
sophie[905]: Max processes    : 20
sophie[905]: Socket path      : /var/run/amavis/sophie.sock
sophie[905]: Umask            : 7
sophie[905]: PID file         : /var/run/amavis/sophie.pid
sophie[905]: Timeout          : 300 seconds
sophie[905]: Running as user  : amavis
sophie[905]: Socket group     : amavis
sophie[905]: Logname          : sophie
sophie[905]: Log facility     : 16 (mail)
sophie[905]: Log priority     : 5 (notice)
sophie[905]: Error strings?   : yes
sophie[905]: Timestamps?      : no
sophie[905]: Show virus name? : yes
sophie[905]: Callbacks?       : yes
sophie[905]: limit_classif    : 10
sophie[905]: limit_nextfile   : 10000
sophie[905]: limit_decompr    : 1000
sophie[905]: socket_check     : yes
sophie[905]: Sophie version   : 3.05

Voici un script d'initialisation à la mode Debian GNU/Linux que l'on intègre dans les runlevels à l'aide de la commande # update-rc.d sophie defaults.

# cat /etc/init.d/sophie
#!/bin/sh

PATH=/sbin:/bin
DAEMON=sophie
SOPHIE=/usr/local/bin/$DAEMON

test -f $SOPHIE || exit 0

case "$1" in
start)
  echo -n "Running $DAEMON daemon"
  start-stop-daemon --start --quiet -c amavis \
                    --pidfile /var/run/amavis/$DAEMON.pid \
                    --exec $SOPHIE -- -D
  sleep 5
  test -f /var/run/amavis/$DAEMON.pid || echo "(failed)." || exit 1
  echo "."
  ;;
stop)
  echo -n "Killing $DAEMON daemon"
  start-stop-daemon --stop --quiet -c amavis --pidfile /var/run/amavis/$DAEMON.pid
  echo "."
  ;;
*)
  echo "Usage: /etc/init.d/sophie {start|stop}"
  exit 1
esac

exit 0

Pour que la configuration soit complète, il manque deux fichiers de configuration nécessaires au bon fonctionnement du démon et à son association avec le service amavisd-new. Ces deux fichiers doivent être placés dans le répertoire /etc.

le fichier sophie.cfg contient les paramètres de fonctionnement du démon tels que son identification de processus, l'emplacement du fichier socket, son propriétaire, etc.

Voici un patch adapté à la configuration des services utilisés dans ce document.

# diff -uBb /usr/local/src/sophie-3.05/etc/sophie.cfg /etc/sophie.cfg
--- /usr/local/src/sophie-3.05/etc/sophie.cfg   2003-03-06 13:00:00.000000000 +0100
+++ /etc/sophie.cfg     2004-02-06 18:27:05.000000000 +0100
@@ -23,12 +23,12 @@
 # Location of PID file
 #
 # Change requires: RESTART
-pidfile: /var/run/sophie.pid
+pidfile: /var/run/amavis/sophie.pid

 # Location of socket file
 #
 # Change requires: RESTART
-socketfile: /var/run/sophie
+socketfile: /var/run/amavis/sophie.sock

 # Umask for the socket file
 #
@@ -38,12 +38,12 @@
 # User to run Sophie as
 #
 # Change requires: RESTART
-user: mail
+user: amavis

 # Group to run Sophie as
 #
 # Change requires: RESTART
-group: mail
+group: amavis

 # Scanning timeout (in seconds)
 # If Sophie child doesn't finish scanning a file within this timeframe,

Le fichier sophie.savi contient les paramètres des bibliothèques d'exploitation des signatures de virus. À priori, on s'appuie sur les paramètres fournis avec la distribution de sophie. On se contente donc de copier ce fichier.

# cp /usr/local/src/sophie-3.05/etc/sophie.savi /etc