virusscan hoe best te doen

[Grom]

Mijn situatie:

- ADSL verbinding (ZyXEL 600 router).
- Netwerk met Debian (Woody) server die niet als gateway/router functioneerd maar alleen als webserver en mailserver.
- clients zijn allemaal (5 stuks) Windows 98 SE en af en toe een linux experiment met een grafische desktop (KDE/Gnome ed).

De Debian server dient als webserver en mailserver voor 3 (privé) domeinen en is o.a. geïnstalleerd met:
- apache
- php
- mysql
- apache-perl
- apache-ssl
- ssh
- samba (+swat)
- postfix
- fetchmail
- courier-imap
- procmail
- spamassasin

Wat ik wil is de Win cliënts virus vrije e-mail aanbieden via de Debian server en ze een mail kunnen laten versturen die eerst op de aanwezigheid van virussen wordt gecontroleerd door de server(dit moet, ala AVG oid, worden vermeld in het mailtje zelf in een footnote oid).

Het aantal te ontvangen e-mails is circa 10 per dag, het aantal te vezenden e-mails is ook circa 10 per dag voor alle domeinen samen.

Wat is volgens jullie de beste oplossing om een up to date (virus) beveiliging te hebben voor mijn Win clients en mijn server. Kan ik dit beter op de clients afhandelen of kan de server daar een rol inspelen? Voor Win zijn er immers meer virus bedreigingen dan voor Linux. Mijn Linux server kan ik wellicht alleen naar Linux (virus) bedreigingen laten kijken. De Win clients doen het dan maar lekker zelf.

Ik wil wel alleen gebruik hoeven te maken van gratis (voor thuis gebruik) software en (virus) updates.

Ik ben benieuwd wat jullie mening (met agrumentatie) is over dit soort situaties en wat jullie de beste oplossing vinden.

[Verwijderd]

Ik scan de mails op m'n debian bak met f-prot, wordt automatisch geupdate etc.
Ook de windows virussen worden daarmee gedetecteerd, het geheel is helemaal transparant dus geen inmening van gebruiker nodig ofzo.

[Pim.]

Ik gebruik Clamav, gewoon apt-get install clamav (of was het clamav-base )

Er wordt automatisch freshclam geinstalleerd die de scanner up to date houdt (werkt ook mooi met exim

[Grom]

Wat ik me dus afvraag is of virusdetectie een servertask is of een clienttask of wellicht voor beide (de laatste variant lijkt me vrij nutteloos, dubbel werk )

BTW @ ./Proxy
ik gebruik geen exim.

[ Voor 12% gewijzigd door Grom op 21-12-2003 19:02 ]

[Tony Vroon]

Ik gebruik amavisd-new met postfix.
Die voert de mail aan SpamAssassin, en daarna aan clamav. In tegenstelling tot "spamcheck.pl"-achtige oplossingen levert dit geen load average boven de 20 op als er eens wat meer mailtjes binnenkomen.

[Grom]

@ Tony Vroon

Ik blijf me dus afvragen of in het geval dat de cliënt direct (zonder tussenkomst van de server) ook kontakt kunnen maken met intenet het niet gewoon een cliënttask is om virussen te ontdekken en af te handelen.

[Justin_Time]

Als je toevallig XS4all hebt voor ADSL kan je daar ook gratis een mcafee virus scanner downloaden. Deze is ook zeer makkelijk te integreren in ieder binnenkomend mailtje via amavis.

En je hebt ook geen omkijken naar voor het updaten gewoon dit in een cron gooien.

code:

#!/bin/bash

# Install directory of uvscan
install_directory="/usr/local/uvscan"

# Create a download directory
mkdir /tmp/dat-updates
cd /tmp/dat-updates

# Get the version of the currently installed .DATs
# from the info given by the --version switch
current_version=`$install_directory/uvscan --version | \
grep "Virus data file" | awk '{ print substr($4,2,4) }'`
echo "Current version is $current_version"
echo "Working directory=$PWD"

# Get the version of the new .DATs from the filename.
new_version=`ncftpls ftp://ftp.nai.com/pub/antivirus/datfiles/4.x/ | grep tar | awk '{ print subs
tr($1,5,4) }'`

echo "New version is $new_version"

# If they are the same age or older than the current ones,
# do not install them
if [ "$current_version" -ge "$new_version" ] ;then
  echo "No new .DATs available at this time"
  echo "Currently installed version: $current_version"
  echo "Version on FTP site: $new_version"
else
  ncftpget ftp://ftp.nai.com/pub/antivirus/datfiles/4.x/dat-*.tar
  tar -xf dat-*.tar

# Move them to the install directory, making sure
# the filename is lower case.
  for file in `tar -tf dat-*.tar`
  do
    newfile=`echo $file | tr [A-Z] [a-z]`
    mv ./$file $install_directory/$newfile
  done

# Get the current version again and make sure
# the new .DATs installed correctly.
  current_version=`$install_directory/uvscan --version | \
  grep "Virus data file" | awk '{ print substr($4,2,4) }'`
  if [ ! "$current_version" -eq "$new_version" ] ;then
    echo "DAT file updates did not work correctly."
    echo "Please try manually."
  else
    echo "New Virus DAT files downloaded Version: $new_version" | tee -a /var/log/messages
   /usr/bin/mailto [e-mail] << OET
New virus DAT files:

The new version of the DAT files is: $new_version

OET

  /usr/bin/mailto [e-mail] << OET
New virus DAT files:

The new version of the DAT files is: $new_version
OET
  fi

fi
# Delete the directory that you created.
cd /
rm -fr /tmp/dat-updates

ps: Ik denk zelf dat mail virussen toch echt een werkje is voor een server. helemaal omdat de server er toch voor is gecreerd om werk te doen voor de client. Ik zie virusvrije email daar ook onder en qua load is dit echt niets.

Ook scheelt het heel veel werk om de clients stuk voor stuk telkens te updaten en naar mijn gevoel wordt vooral een windows client hier gewoon een stuk "langzamer" door.

En als je echt de hele pc wil scannen zou je deze natuurlijk af en toe via een samba share kunnen mounten en zo laten scannen... maar dat vind ik zelf overbodig.

[ Voor 16% gewijzigd door Justin_Time op 21-12-2003 19:19 ]

[Grom]

@ Justin_Time

Ik heb Demon dus helaas is dat geen oplossing.
Overigens kunnen de cliëntŽs in mijn situatie ook internet op zonder tussenkomst van de server (server != gateway/router).

Wellicht ( gebaseerd op de replyŽs) dat ik mijn vraag moet herformuleren naar:
Is het zinvol mijn server ook gateway/router te laten zijn zodat ik mijn (Win) cliënts niet hoef te belasten met virusscanning en firewalling?

[ Voor 4% gewijzigd door Grom op 21-12-2003 19:29 ]

[Justin_Time]

Ik weet natuurlijk niet het niveau van de mensen met clients.. Want zelfs al laat je al je clients via de server gateway lopen dan nog kan men virussen binnenhalen.
Voor mail is het natuurlijk makkelijk te controleren omdat de server deze zelf binnenhaalt maar als men met bijvoorbeeld kazaa ofzo wat virussen binnenslurpt dan kan je daar als server nog vrij weinig aan doen.

Dus ik zou zeggen wil je ze alleen voorzien van virusvrije email laat het gerust de server doen, wil je dat het gehele internet verkeer gescant wordt op virussen laat dan gewoon op de client zelf een virusscanner draaien.

[Verwijderd]

*DE* oplossing is: altijd de patches van software installeren (op zowel client als server), de gebruikers (als user laten werken zonder extra rechten) en voorlichten (als het belangrijk is dat de gebruiker z'n eigen bestanden en die van de groep belangrijk vindt)

[ Voor 3% gewijzigd door Verwijderd op 21-12-2003 21:32 ]

[Tony Vroon]

Ik heb clients die ervoor kiezen om insecure operating systems te draaien. Die kan ik geen keuzes opleggen, maar ik vind wel dat ik een verantwoordelijkheid heb om het internet zo schoon mogelijk te houden.

Mijn content-filter checkt zowel incoming als outgoing mail, waardoor e-mail virussen zo weinig mogelijk kans krijgen om zich te verspreiden.

[avatar]

Virusscanning moet imho op de server EN op de werkstations gebeuren. En bij voorkeur 2 verschillende scanners. Wat de een niet oppakt, ziet de ander misschien wel.

[Justin_Time]

avatar schreef op 22 december 2003 @ 11:55:
Virusscanning moet imho op de server EN op de werkstations gebeuren. En bij voorkeur 2 verschillende scanners. Wat de een niet oppakt, ziet de ander misschien wel.

Vind je dat echt? Bij workstations in een bedrijf misschien ok, maar gewoon een prive netwerkje waar de gebruikers genoeg verstand hebben van wat wijs is en wat niet....

Ik vind de meeste virusscanners nog altijd erg "zwaar" voor een workstation. Maargoed het is maar waar je het voor gaat gebruiken.

[frim]

Een virusscanner op je server installeren is een goed idee, daarmee wordt de mail wel gefilterd op virussen. Maar als een van de clients naar een website gaat met vervelend javascripte, dan doet je mailserver daar weinig tegen. Als iemand op Ja drukt bij de vraag of diegene een dialer of wat dan ook wil installeren, ook dan doet je mail server daar weinig aan. Als de clients alleen worden gebruikt om te emailen, dan kun je dus volstaan met alleen viruschecking op de server. Als ze ook nog gaan webbrowsen en zo, dan zou ik er toch echt zwaar over denken om ook op de workstations virusscanners te draaien.

Ook al maken ze geen gebruik van internet, als iemand met een besmette floppie/cd aankomt, dan ben je nog steeds de pisang.

En als je dan toch een virus client op de workstations draait, dan heeft een virusscanner op de mailserver IMO een stuk minder nut