ClamAV est un moteur antivirus open source offrant de puissantes capacités de détection et de prévention des logiciels malveillants. Son objectif principal est d'analyser les fichiers téléchargés à la recherche de menaces potentielles, garantissant ainsi leur identification et leur traitement adéquats avant qu'ils ne compromettent le système ou ses utilisateurs.

Gestion des fichiers et configuration antivirus

L'intégration de l'antivirus ClamAV est conçue pour améliorer la sécurité des processus de traitement des fichiers.

Taille du fichier et limites d'analyse

Le paramètre de plateforme, antivirus.max.file.size , détermine la taille maximale des fichiers que ClamAV peut analyser. Par défaut, cette valeur est fixée à 25 Mo. Il est important de noter qu'augmenter cette taille maximale allongera la durée d'analyse et pourrait engendrer des problèmes de performances. Ce paramètre de plateforme s'applique à l'accès aux fichiers via l' API Web et l' REST API .

Pour les fichiers dépassant la taille maximale définie, une fenêtre contextuelle s'affiche, proposant de télécharger le fichier ou d'annuler l'opération. Le message d'avertissement affiché est le suivant :

"The file is too large to be scanned by the anti-virus service. Maximum file size is {platform_setting_value}. Do you still want to download the file?"

Si l'utilisateur choisit « Oui », le fichier est téléchargé. Si l'utilisateur choisit « Non », le fichier n'est pas téléchargé. Cette fonctionnalité contextuelle doit être disponible dans l' Classic UI et dans l'interface utilisateur Agent .

Erreur : « Service antivirus indisponible, fichier non analysé. Téléchargement du fichier »

Si cette erreur apparaît :

• La raison la plus courante est que le fichier est relativement petit, mais contient beaucoup de données à analyser, comme des fichiers compressés, des PDF, etc.
• Par exemple, un fichier PDF peut avoir une taille de seulement 6 Mo (inférieure à la taille par défaut de 25 Mo antivirus.max.file.size ), mais ClamAV doit en réalité analyser plus de 100 Mo et est incapable de le terminer dans le délai imparti antivirus.timeout.period et le délai de connexion Tomcat / Apache.

Si la antivirus.timeout.period est augmentée et que les erreurs suivantes apparaissent :

• Les utilisateurs ne reçoivent pas l'erreur antivirus dans l'interface utilisateur.
• Le backend ESM obtiendra soit les résultats de l'analyse et les stockera dans la base de données, soit il atteindra la antivirus.timeout.period et imprimez l'erreur dans le fichier journal.

Dans ce cas, le délai d'attente de Tomcat / Apache (5 minutes) est plus court que antivirus.timeout.period multiplié par antivirus.retry.count .

Prise en charge de l'environnement Cloud

L'analyse ClamAV est disponible dans les installations cloud. Lorsque ClamAV n'est pas activé, les téléchargements de fichiers continuent de fonctionner normalement.

États des fichiers et analyse antivirus

Le fichier a deux états : Scanné - sûr , Scanné - dangereux et Non scanné / nul .

L'état par défaut de tous les nouveaux fichiers est Non analysé / nul jusqu'à ce qu'ils soient analysés pour la première fois.

Un quatrième état, En attente de nouvelle analyse , est utilisé lors des expirations ou des pannes du service antivirus.

Flux de travail de numérisation et gestion de la quarantaine

Le système vérifie l'heure de mise à jour de la base de données virale pour déterminer si un fichier doit être réanalysé. Si la base de données a été mise à jour depuis le dernier accès au fichier, une analyse ClamAV est déclenchée lors de l'accès au fichier. Si la base de données n'a pas été mise à jour, aucune analyse supplémentaire n'est lancée. Ces vérifications s'appliquent aux accès utilisateur et aux accès aux fichiers d'intégration.

Logique de numérisation

Lorsqu'une analyse de fichier est demandée, le système garantit qu'une seule analyse ClamAV est exécutée, même si plusieurs demandes simultanées sont effectuées pour le même fichier.

Si ClamAV détermine qu'un fichier est dangereux, il est marqué comme tel dans la base de données ESM et placé en quarantaine. Les informations relatives au fichier mis en quarantaine sont enregistrées dans le fichier efecte_security.log avec une entrée de niveau AVERTISSEMENT. L'état du fichier est mis à jour et devient « Analysé - dangereux » . Les fichiers mis en quarantaine sont visibles dans la fiche de données, en mode édition et en mode affichage. Cependant, l'interaction avec les fichiers mis en quarantaine est limitée à leur suppression.

Si ClamAV détermine qu'un fichier est sûr, son état est mis à jour et il reste accessible aux utilisateurs. Que le fichier soit dangereux ou sûr , le système met à jour l'heure de la dernière analyse.

Indisponibilité du service ClamAV

En cas d'indisponibilité du service ClamAV, le système relance l'analyse en l'absence de délai d'attente. Ce délai est configurable. Si une requête d'analyse aboutit à un délai d'attente, l'état du fichier passe à « En attente de nouvelle analyse » , mais le fichier reste accessible aux utilisateurs et aux intégrations.

Gestion de la quarantaine

Le système permet des interactions limitées avec les fichiers en quarantaine. Les utilisateurs peuvent supprimer les éléments mis en quarantaine via l'interface utilisateur. Les éléments mis en quarantaine sont inaccessibles via l' REST API ou API Web.