Clamd = Benachrichtigung bei Virus

Lord_Icon

Lord_Icon

Member
Hi,

mit "clamscan -r" mache ich einmals Nachts ein komplett Scan.
Bisher läuft das super und ohne Probleme über mehrere Monate schon ab.

Allerdings frage ich mich immer, was denn passiert, wenn ein Virus auftaucht.
Bekommt dann root eine Email ?

Frage 2: (Will jetzt nicht extra einen neuen Thread eröffnen)
Habe Suse 10.3 / Postfix mit Dovecot
Würde nun gern ein und ausgehende Mails über den "clamav-milter" laufen lassen.
Allerdings habe ich bis dato noch keinen wirklichen HowTo gefunden, wie ich das vornehmen könnte.

Meines Wissens nach müßte ich ja "nur" die transportmap ändern (?)

Frage2.1 (Auch wenn es voreilig ist)
Was macht denn <clamav-milter> wenn ein Virus gefunden wurden ist.
Email Löschen
Email in Container
und User Benachrichtigen ?

-Danke
 
Lord_Icon said:
Allerdings frage ich mich immer, was denn passiert, wenn ein Virus auftaucht.
Bekommt dann root eine Email ?
Click to expand...
Nicht automatisch. Du kannst aber einfach den Rückgabewert von clam(d)scan auswerten. Du willst übrigens clamdscan verwenden, wenn du schon einen clamd laufen hast.

Lord_Icon said:
Allerdings habe ich bis dato noch keinen wirklichen HowTo gefunden, wie ich das vornehmen könnte.
Click to expand...
Was ist dir an den Ausführungen in der mitgelieferten Manpage, der README und http://www.postfix.org/MILTER_README.html unklar?

Lord_Icon said:
Meines Wissens nach müßte ich ja "nur" die transportmap ändern (?)
Click to expand...
Nein.

Lord_Icon said:
Frage2.1 (Auch wenn es voreilig ist)
Was macht denn <clamav-milter> wenn ein Virus gefunden wurden ist.
Click to expand...
Siehe Antwort auf Frage 2.
 
ganz so einfach scheint es doch nicht zu sein.

ich mach mal schnelldurchlauf:

+add (am ende der Datei)=> main.cf
Code: 
content_filter = amavisfeed:[127.0.0.1]:10024

telnet 127.0.0.1 10024 => erfolgreich

+add => master.cf (ab zeile 2 eingefügt)
Code: 
smtp      inet  n       -       n       -       -       smtpd -vv

amavisfeed unix -       -       n       -       2       smtp
        -o smtp_data_done_timeout=1200
        -o smtp_send_xforward_command=yes
        -o smtp_tls_note_starttls_offer=no
        -o disable_dns_lookups=yes

127.0.0.1:10025 inet n  -       n       -       -       smtpd
        -o content_filter=
        -o smtpd_delay_reject=no
        -o smtpd_client_restrictions=permit_mynetworks,reject
        -o smtpd_helo_restrictions=
        -o smtpd_sender_restrictions=
        -o smtpd_recipient_restrictions=permit_mynetworks,reject
        -o smtpd_data_restrictions=reject_unauth_pipelining
        -o smtpd_end_of_data_restrictions=
        -o smtpd_restriction_classes=
        -o mynetworks=127.0.0.0/8
        -o smtpd_error_sleep_time=0
        -o smtpd_soft_error_limit=1001
        -o smtpd_hard_error_limit=1000
        -o smtpd_client_connection_count_limit=0
        -o smtpd_client_connection_rate_limit=0
        -o receive_override_options=no_header_body_checks,no_unknown_recipient_checks,no_milters
        -o local_header_rewrite_clients=
        -o smtpd_milters=
        -o local_recipient_maps=
        -o relay_recipient_maps=
telnet 127.0.0.1 10025 => erfolgreich


Soweit schon mal ganz gut.
/etc/init.d/postfix restart


Testmail senden
Code: 
echo hello world | sendmail -i -f [email protected] [email protected]

per tail -f hab ich die mail log überwacht. Da bekomme ich aber nur:

Oct 22 23:55:05 Spielwiese postfix/pickup[26067]: 0664E220613: uid=0 from=<[email protected]>
Oct 22 23:55:05 Spielwiese postfix/cleanup[26419]: 0664E220613: message-id=<20091022215505.0664E220613@mailserver.*******.de>
Oct 22 23:55:05 Spielwiese postfix/qmgr[26068]: 0664E220613: from=<[email protected]>, size=314, nrcpt=1 (queue active)
Oct 22 23:55:05 Spielwiese postfix/smtp[26421]: connect to 127.0.0.1[127.0.0.1]: Connection refused (port 10024)
Oct 22 23:55:05 Spielwiese postfix/smtp[26421]: 0664E220613: to=<[email protected]>, relay=none, delay=0.07, delays=0.06/0.01/0/0, dsn=4.4.1, status=deferred (connect to 127.0.0.1[127.0.0.1]: Connection refused)
Click to expand...

Das ist der genaue Ablauf meiner Änderungen.

Sprich. Erst war der 10024er Port über telnet erreichbar.
Nach dem Reboot von Postfix scheint dieser tot zu sein. (telnet: connect to address 127.0.0.1: Connection refused)

Hab ich irgendwas vergessen oder gar falsch gemacht ?
 
ahhh...

Edit: ein einfacher amavid restart hatte es dann gebracht.

Abschlussfrage:

Oct 23 00:23:46 Spielwiese postfix/smtp[27307]: A5EE4220613: to=<virusalert@******.de>, relay=none, delay=0.05, delays=0.01/0/0.04/0, dsn=5.4.6, status=bounced (mail for *******.de loops back to myself)
Click to expand...

Wo finde ich denn diese Einstellung ?
Wo kann ich denn "sagen" an welcher Email Addy er diese Information hin senden soll?
 
ahh... alles klar. Ich dachte, diese Datei hätte ich schon durchgesehen.
(Danke)

Bekomme jetzt die Mail.

Ich würde jetzt noch gern den Absender informieren, das er eine Virusmail senden wollte. Habe auch schon entsprechende Befehle darüber gefunden.
Allerdings verstehe ich eins noch nicht.

$warnvirussender = 1;
Das ist der Sender. Im Web wird aber davor gewarnt, das zu aktivieren, weil viele Spammer ja gefakte Addy verwenden. Soweit auch verständlich:

Nun möchte ich aber, das der Sender, der sich korrekt auth. hat eine Mail bekommt. Wenn ich auf mein Rechner z.B. ein Virus habe und diese unerkannt bleibt und sich somit mit an meiner Email hängt, dann würde ich als Sender schon Info darüber haben wollen.

$warnvirusrecip = 1;
Dann hab ich das noch gefunden.

Was müsste ich denn nehmen?
Denn ich hab jetzt schon beides versucht. Aber eine Mail habe ich bis dato noch nicht bekommen (ausser die von ClamAV selbst)

sendmail -i -f info@<sender>.de info@<empfänger>.de < eicar.com
 
Lord_Icon said:
Nun möchte ich aber, das der Sender, der sich korrekt auth. hat eine Mail bekommt.
Click to expand...
Das ist mit dem aktuellen Setup nicht möglich. Amavisd-new kann nicht unterscheiden, ob eine E-Mail empfangen oder verschickt wird, geschweige denn ob der Absender sich zuvor authentifiziert hat oder nicht.

Dazu müsstest du eine eigene smtpd-Instanz (Postfix) mit eigener amavisd-new-Instanz betreiben.
 
You must log in or register to reply here.
Back
Top