Newsgroup: it.comp.sicurezza.varie
Titolo: sempre su clamav...

... funziona anche con qmail o solo con sendmail ??
grazie

> ... funziona anche con qmail o solo con sendmail ??
Clamav e' solo uno scanner. Per usarlo con un server
di posta occorre usare una estensione per il content
filtering del server o un software esterno (amavis o
altro). A seconda di cosa usi avrai o no il supporto
per clamav. Quindi la domanda giusta dovrebbe essere
relativa non all'MTA, bensi' all'estensione che usi.
A parte le sottigliezze, ci sono modi per utilizzare
clamav con entrambi gli MTA.
Fabio

 ... funziona anche con qmail o solo con sendmail ??
Dovrebbe funzionare con qualsiasi mta.
-- 
Due scopettoni per domarli, un detersivo per lavarli e nel cesso scaricarli

 Fabio
grazie 

 Dovrebbe funzionare con qualsiasi mta.
questo già mi rincuora... :-)

 suggerimenti ?
Qmail-scanner o amavis. Attualmente non uso ne uno ne l'altro, quindi io
non potrei che darti impressioni superficiali o per sentito dire. Facile
che qualcun'altro possa dirti di piu'. Sendmail puo' usare vari prodotti
basati sull'interfaccia di content filtering "milter", ma anche qui sono
un po' a corto di informazioni. Nel complesso ti sconsiglierei sendmail,
ma poi ognuno fa quel che vuole. Anche sull'MTA ti proporrei di prendere
in considerazione postfix, su cui e' piu' facile trovare aiuto (IMHO) ed
e' piu' facile da configurare (IMHO). Aggiungici amavis + clamav e sei a
cavallo (o a pinguino?). Con amavis puoi anche usare piu' di uno scanner
antivirus, che non e' male (prestazioni permettendo).
Considera' che una soluzione, spesso, non preclude l'altra: puoi usare i
filtri di pulizia delle email di anomy o renattach e poi amavis per fare 
la scansione antivirus, o altre combinazioni (a fantasia).
Fabio

 Fabio
non ho parole... grazie

Io ho fatto alcuni test (di cui a un recente post su icsvirus) e sono in 
procinto di un test esteso su un campione di alcune migliaia di virus.
Quello che hai scritto e' perfetto ma alcune considerazioni aggiuntive 
potrebbero essere fatte.
Innanzitutto, premettendo un uso con Amavis per server smtp, questa 
distinzione tra demoni e scanner manuali (spesso preimpostati di default 
come AV di backup in caso di risposta ambigua o failure dei principali) 
risulta molto teorica.
Le velocità di scansione varianto difatti terribilmente tra AV e AV in 
funzione del motore impiegato; in particolare AV molto precisi e che 
analizzano verie forme compresse eseguibili e non come KAV rallentano 
per contro abbondantemente il processo di alcune decine di volte 
rispetto a motori molto piu' veloci e con *qualità* di riconoscimento 
molto alta. Il fatto che sia un demone residente ovvero uno scanner 
manuale chiamato volta per volta allo scopo non fa molta differenza, se 
non a parità di prodotto; grandi risultati si otterrebbero invece 
ordinando accuratamente i motori utilizzati e tenendo in coda (ovvero in 
seconda battuta) quelli piu' accurati ma piu' lenti.
ClamAv, leggermente piu' lento ma comunque annastanza veloce, denota poi 
un vocabolario a mio avviso molto striminzito rispetto ad altri 
concorrenti anche free come f-prot o bit defender. E' imho ancora 
prestino.
Molto diverse poi le prestazioni offerte: si passa dal semplice 
riconoscimento di alcuni, alle possibilità di rinominare estensioni, 
disinfettare e cancellare di altri, prestazioni settabili a mezzo 
parametro.
Una cosa che devo inoltre approfondire ulteriormente e' il Bouncing 
intelligente: sarebbe una peculiarità introdotta con Amvis-new che 
consentirebbe di rispondere al mittente con un avviso in caso di virus 
non spoofante, e di evitarlo in caso di virus della classe spoofante.
Questa distintizione e' tuttavia supporta con una sorta di vettore che 
contiene il nome convenzionanale di alcuni virus (tipo "hybris") 
battezzati direttamente all'interno del file di configurazione e 
apparentemente non sembra poter supportare, prendendo lo script tale e 
quale, una tabella esterna (un file di testo o una query a una tabella 
mysql); tantomeno le sign dei vari AV contengono, che mi risulti, 
informazioni di questo tipo per i vari virus rilevati. Mi chiedevo il 
meccanismo (sottostringa del nome rilevato dall'AV utilizzato) e 
l'affidabilità dato anche molti worm utilizzano nomenclature differenti 
tra AV e AV.

 ... molti worm utilizzano nomenclature differenti tra AV e AV.
e quindi dovrebbe essere una attivita' cross-antivirus, se gestita a
livello di amavis, e richiederebbe una dedizione non indifferente se
gestita da pochi individui.
Fabio

> non ho parole
Dev'essere W32/NoWords.B@mm... affrettati
a installare un antivirus :-P