ClamAV on avoimen lähdekoodin virustorjuntamoottori, joka tarjoaa vahvan haittaohjelmien tunnistus- ja torjuntakyvyn. Sen ensisijainen tarkoitus järjestelmässä on skannata ladatut tiedostot mahdollisten uhkien varalta, jotta haitalliset tiedostot tunnistetaan ja käsitellään asianmukaisesti ennen kuin ne voivat vaarantaa järjestelmän tai sen käyttäjät.

Tiedostojen käsittely ja virustorjunnan määritys

ClamAV-virustorjunnan integrointi on suunniteltu parantamaan tiedostojenkäsittelyprosessien tietoturvaa. 

Tiedostokoko ja skannausrajat

Alustan asetus antivirus.max.file.size määrittää suurimman tiedostokoon, jonka ClamAV voi skannata. Oletusarvo on 25 Mt. On tärkeää huomata, että suurimman tiedostokoon kasvattaminen pidentää skannausaikaa ja saattaa aiheuttaa suorituskykyongelmia. Tämä alustan asetus koskee tiedostojen käyttöä sekä WebAPI:n että REST APIn kautta.

Jos tiedosto ylittää määritetyn enimmäiskoon, käyttäjälle näytetään ponnahdusikkuna, jossa hän voi joko ladata tiedoston tai peruuttaa toiminnon. Ponnahdusikkunassa näytettävä varoitusviesti on seuraava:

"The file is too large to be scanned by the anti-virus service. Maximum file size is {platform_setting_value}. Do you still want to download the file?" (Tiedosto on liian suuri virustorjuntapalvelun skannattavaksi. Suurin sallittu tiedostokoko on {platform_setting_value}. Haluatko silti ladata tiedoston?)

Jos käyttäjä valitsee "Yes", tiedosto ladataan. Jos käyttäjä valitsee "No", tiedostoa ei ladata. Tämän ponnahdusikkunan toiminnallisuuden on oltava käytettävissä sekä Classic UI:ssa että Agent UI:ssa.

Virhe “Antivirus service not available, file not scanned. Downloading the file”

Jos tämä virhe ilmenee:

• Yleinen syy on, että tiedosto on suhteellisen pieni, mutta sisältää paljon skannattavaa dataa, kuten pakatut tiedostot, PDF:t jne. 
• Esimerkiksi PDF-tiedosto voi olla kooltaan vain 6 Mt (pienempi kuin oletusarvoinen antivirus.max.file.size, 25 Mt), mutta ClamAV:n on todellisuudessa skannattava yli 100 Mt, eikä se ehdi saada sitä valmiiksi antivirus.timeout.period-ajan ja Tomcat-/Apache-yhteyden aikakatkaisun puitteissa.

Jos antivirus.timeout.period-arvoa kasvatetaan ja seuraavat virheet ilmenevät:

• Käyttäjät eivät saa virustorjuntavirhettä käyttöliittymässä.
• ESM-taustajärjestelmä joko saa skannaustulokset ja tallentaa ne tietokantaan, tai se saavuttaa antivirus.timeout.period -rajan ja kirjoittaa virheen lokitiedostoon.

Tässä tapauksessa Tomcat-/Apache-aikakatkaisu (5 minuuttia) on lyhyempi kuin  antivirus.timeout.period kerrottuna antivirus.retry.count-arvolla. 

Tuki pilviympäristölle

ClamAV-skannaus on käytettävissä pilviasennuksissa. Tapauksissa, joissa ClamAV ei ole käytössä, tiedostojen lataaminen toimii edelleen normaalisti.

Tiedostojen tilat ja virusskannaus

Tiedostolla on kaksi tilaa: Scanned - safe (skannattu - turvallinen), Scanned - harmful (skannattu - haitallinen), ja Not scanned / null (ei skannattu / tyhjä). 

Kaikkien uusien tiedostojen oletustila on Not scanned / null (ei skannattu / tyhjä), kunnes ne skannataan ensimmäisen kerran. 

Neljättä tilaa, Pending rescan (odottaa uudelleenskannausta), käytetään virustorjuntapalvelun aikakatkaisujen tai käyttökatkojen aikana.

Skannaustyönkulku ja karanteenin hallinta

Järjestelmä tarkistaa virustietokannan päivitysajan määrittääkseen, tarvitseeko tiedosto uudelleenskannauksen. Jos tietokanta on päivitetty edellisen tiedostokäytön jälkeen, ClamAV-skannaus käynnistyy tiedostoa käytettäessä. Jos tietokantaa ei ole päivitetty, uutta skannausta ei käynnistetä. Nämä tarkistukset koskevat sekä käyttäjän että integraation tiedostokäyttöä.

Skannauslogiikka

Kun tiedoston skannausta pyydetään, järjestelmä varmistaa, että vain yksi ClamAV-skannaus suoritetaan, vaikka samalle tiedostolle tehtäisiin useita samanaikaisia pyyntöjä.

Jos ClamAV toteaa tiedoston haitalliseksi, tiedosto merkitään haitalliseksi ESM-tietokannassa ja siirretään karanteenikansioon. Tieto karanteenissa olevasta tiedostosta kirjataan efecte_security.log-tiedostoon WARN-tason merkintänä. Tiedoston tila päivitetään arvoon Scanned - harmful (skannattu - haitallinen). Karanteenissa olevat tiedostot näkyvät datakortissa sekä muokkaus- että katselutilassa. Karanteenissa olevien tiedostojen kanssa voi kuitenkin ainoastaan poistaa niitä.

Jos ClamAV toteaa tiedoston turvalliseksi, tiedoston tila päivitetään arvoon Scanned - safe (skannattu - turvallinen), ja tiedosto pysyy käyttäjien saatavilla. Sekä haitallisen että turvallisen tuloksen yhteydessä järjestelmä päivittää tiedoston viimeisimmän skannausajan.

ClamAV-palvelun saavuttamattomuus

Tilanteissa, joissa ClamAV-palvelu ei ole saatavilla, järjestelmä yrittää skannausta uudelleen, jos aikakatkaisua ei tapahdu. Aikakatkaisukynnys on määritettävissä. Jos skannauspyyntö johtaa aikakatkaisuun, tiedoston tila päivitetään arvoon Pending rescan (odottaa uudelleenskannausta), mutta tiedosto pysyy käyttäjien ja integraatioiden saatavilla.

Karanteenin hallinta

Järjestelmä sallii rajoitetut toiminnot karanteenissa oleville tiedostoille. Käyttäjät voivat poistaa karanteenissa olevia kohteita  käyttöliittymän kautta. Karanteenissa olevat kohteet eivät ole käytettävissä REST APIn tai WebAPI:n kautta.