ClamAV Days
クラムエーヴイデイズ

In the Internet, open source developers met. Their relation defense the net, and users selects their apps.

KOJIMA Hajime
kjm@rins.ryukoku.ac.jp

ClamAV って何?
z UNIX/Linux 用のアンチウイルスソフト
z http://www.clamav.net/

z 内容物
z ウイルススキャナ
z スタンドアロン版 clamscanz デーモン版 clamd / clamdscanz シグネチャ更新用デーモン freshclam
z milter デーモン clamav-milterz sigtool

開発
z 開発主体: ClamAV teamz SourceFire に買収された

http://www.sourcefire.com/products/clamav/z 今のところは「パトロンがついた」程度の認識でよい？
z 開発は活発z 新たな機能追加もリリース毎に行われている

z セキュリティホールもときどき見つかるz リリース毎に fix されている

http://www.clamav.net/

特徴
z フリー
z 使い物になる
z 拡張できる

フリー

フリー
z ライセンス: GNU GPL version 2
z ソースとバイナリを再配布できる
z 改変可能、ただし改変版を公開する場合は改変部分のソースも要公開フリーなので……
z Windows 移植版
z ClamWin: Cygwin を利用したもの
z http://www.clamwin.com/
z オンデマンドスキャンのみ
z 安定して動作する

z Moon Secure AntiVirus: ClamAV エンジンを利用した Windows ネイティブアプリ

z http://sourceforge.net/projects/moonav/z オンアクセススキャンにも対応
z 複数エンジン搭載
z まだ安定していない？

http://www.clamwin.com/

http://sourceforge.net/projects/moonav/

使い物になる使い物になるz 安定して動作z ぶっちゃけ、検出力は今ひとつ
z エンジンの性能
z 検体採取体制

z オンアクセススキャンには未対応
z 商用アンチウイルスソフトの補助としてなら十分有用
z 商用ソフトよりも対応がよい場合もあるmilter 対応
z sendmail のメールフィルタリング API
z 8.10 以降（オプション）、8.12 以降（標準）z postfix 2.3 以降（標準）z こんな感じで sendmail.mc に設定する
INPUT_MAIL_FILTER(`clmilter',`S=local:/var/run/clamav/clmilter.sock, F=,
T=S:4m;R:4m')dnl
define(`confINPUT_MAIL_FILTERS', `clmilter')z postfix なら main.cf に
smtpd_milters = unix:/var/run/clamav/clmilter.sock
milter_default_action = accept

ウイルスシグネチャを自作できるz MD5 を利用したシグネチャの例% sigtool --md5 ossec-agent-win32-0.9.exe
d4b2e9fcc540bf1ae4bfb00618cf2559:205698:ossec-agent-win32-0.9.exe
z # sigtool --md5 ossec-agent-win32-0.9.exe >> /var/db/clamav/test.hdb
z % clamscan ossec-agent-win32-0.9.exe
ossec-agent-win32-0.9.exe: ossec-agent-win32-0.9.exe FOUNDz % clamdscan ossec-agent-win32-0.9.exe/home/kjm/ossec-agent-win32-0.9.exe: ossec-agent-win32-0.9.exe
FOUNDzウイルスシグネチャを自作できるz 特徴抽出したシグネチャの例% strings withlove.exe（中略）
fPPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDING
PADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDING
z % echo -n PADDINGPADDINGXXPADDINGPADDINGXX | sigtool --hexdump
50414444494e4750414444494e47585850414444494e4750414444494e47585
8%z

ウイルスシグネチャを自作できるz 特徴抽出したシグネチャの例（つづき）% cat test.dbhoge.hoge-1=50414444494e4750414444494e47585850414444494e47504
14444494e475858
z % clamscan --database=test.db withlove.exe install_flash_player.exe
withlove.exe: hoge.hoge-1 FOUND
install_flash_player.exe: OKzz 他にもいろいろ……。参照:
z docs/signatures.pdf
z ClamAV のソース

拡張できる拡張できるz 3rd party 製シグネチャ
z SaneSecurity - Phishing and Scam Signatures

for ClamAVz http://www.sanesecurity.co.uk/
z http://www.st.ryukoku.ac.jp/~kjm/security/20071201-

matcha139/Sanesecurity.ppt

z MTA 用ツール
z Qmail: Qmail-Scannerz http://qmail-scanner.sourceforge.net/

z Exim: Exim 4.5 以降でネイティブサポート

拡張できるz ClamAV 付き http proxyz HAVP (HTTP AntiVirus proxy)z http://www.server-side.de/index.htm

z Apache モジュール
z mod_clamavz http://software.othello.ch/mod_clamav/z mod_streamavz http://streamav.sourceforge.net/

拡張できるz ClamFS - FUSE を使ったユーザ空間ファイルシステム
z http://clamfs.sourceforge.net/

z Dazuko - A Virtual Device Driver to Allow

Online File Access Control

z http://dazuko.dnsalias.org/wiki/index.php/Main_Pagez Linux, FreeBSD

z samba-vscan - samba の VFS (virtual filesystem) 機能を利用

z http://www.openantivirus.org/projects.php#samba-vscan

拡張できるz その他にもいろいろ……
z http://www.clamav.org/download/third-party-tools/

まとめz ClamAV は……
z フリー
z 使い物になる
z 拡張できる

z使える道具は便利に使おう特許の話

,.=-'''￣￣￣￣￣￣｀ -､
／＼./
.＼{}
.|
／￣""''-=,,,,＿,,,,,,==-'''"＼ |.l, .（ ,. - ' .､,. - , .} |l
> ,=ﾆ＼ ゛ | ''゛_,=ヘ､ r' {_/～''i /／＿＼_..`７| l､{''″／__`>ヽ |r｀il .{`|./ ヽ二・ﾆゝﾁ､ ! .ゝrﾆ・二r } ! i l{ {（l {ﾉ | |ヽ:: }| ｿ/ トレンドマイクロの者だが……
ヽヽ|.{／ | | ＼i.|//＼|.i／ ,,.. | l._,, . ＼ i !/
乂i /- (__,）-゛' {丿
.l .!､.
,. !., .,/|人 ＼.!''''"￣～￣`''! ／ 人./ | .＼ ,＼ '-"" ゛-' ／ ／ | .ヽノ .{ ＼ .ヽ,.,.:,ｲ ／ } ヽ-'″ l｀' ､`.───″.}ヽ

,.=-'''￣￣￣￣￣￣｀ -､／＼./.＼{}.|／￣""''-=,,,,＿,,,,,,==-'''"＼ |.l, .（ ,. - ' .､,. - , .} |l> ,=ﾆ＼ ゛ | ''゛_,=ヘ､ r' {_/～''i /／＿＼_..`７| l､{''″／__`>ヽ |r｀il .{`|./ ヽ二・ﾆゝﾁ､ ! .ゝrﾆ・二r } ! i l{ {（l {ﾉ | |ヽ:: }| ｿ/ 特許 No.5,623,600 の件だ……
ヽヽ|.{／ | | ＼i.|//＼|.i／ ,,.. | l._,, . ＼ i !/
乂i /- (__,）-゛' {丿
.l .!､.
,. !., .,/|人 ＼.!''''"￣～￣`''! ／ 人./ | .＼ ,＼ '-"" ゛-' ／ ／ | .ヽノ .{ ＼ .ヽ,.,.:,ｲ ／ } ヽ-'″ l｀' ､`.───″.}ヽゴルゴの話
z Barracuda Network を提訴
z ClamAVを同梱している製品を販売

z Barracuda が敗訴した場合、理論的には、ClamAV を利用している組織の多くが特許違反?!
z これまでのターゲットz マカフィーWebShield GroupShieldz シマンテック Norton Antivirus for Internet E-mail Gatewaysz Fortinet のアプライアンス製品