مقدمه

وجود بدافزار، Backdoor، Web Shell و فایل‌های آلوده یکی از رایج‌ترین مشکلات سرورهای لینوکسی، به‌ویژه سرورهای هاستینگ است. برای شناسایی این فایل‌ها می‌توان از ClamAV استفاده کرد.

ClamAV یک آنتی‌ویروس متن‌باز است که برای اسکن فایل‌ها و شناسایی بدافزارها، ویروس‌ها، تروجان‌ها، Web Shellها و فایل‌های مشکوک طراحی شده است.

اگرچه ClamAV جایگزین راهکارهای امنیتی مانند Imunify360 نیست، اما همچنان یکی از محبوب‌ترین ابزارهای رایگان برای اسکن سرورهای لینوکسی محسوب می‌شود.

ClamAV چیست؟

ClamAV یک آنتی‌ویروس متن‌باز برای لینوکس است که با استفاده از پایگاه داده امضاها (Signature Database)، فایل‌های آلوده را شناسایی می‌کند.

این ابزار معمولاً برای اسکن:

• فایل‌های وب‌سایت
• فایل‌های آپلود شده
• ایمیل‌ها
• نسخه‌های پشتیبان
• کل سیستم

استفاده می‌شود.

نصب ClamAV

Ubuntu و Debian

sudo apt update

sudo apt install clamav clamav-daemon -y

AlmaLinux / Rocky Linux / RHEL

ابتدا مخزن EPEL را فعال کنید:

sudo dnf install epel-release -y

سپس:

sudo dnf install clamav clamav-update -y

بررسی نصب

clamscan --version

نمونه خروجی:

ClamAV 1.x.x

بروزرسانی پایگاه داده ویروس‌ها

قبل از اولین اسکن، حتماً Signatureها را بروزرسانی کنید.

ابتدا سرویس بروزرسانی را متوقف کنید (در صورت اجرا):

sudo systemctl stop clamav-freshclam

سپس:

sudo freshclam

پس از پایان بروزرسانی، سرویس را دوباره اجرا کنید:

sudo systemctl start clamav-freshclam

در برخی توزیع‌ها ممکن است سرویس freshclam به‌صورت خودکار فعال نباشد؛ در این صورت اجرای دستور freshclam کافی است.

اسکن یک فایل

clamscan filename

مثال:

clamscan backup.zip

اسکن یک پوشه

clamscan -r /var/www/html

پارامتر -r به معنی اسکن بازگشتی (Recursive) است.

اسکن کل سیستم

sudo clamscan -r /

از آنجا که اسکن کل سیستم ممکن است زمان‌بر باشد، معمولاً بهتر است مسیرهایی مانند /proc، /sys و /dev را مستثنا کنید.

اسکن فقط فایل‌های آلوده

clamscan -r --infected /var/www

در این حالت فقط فایل‌های آلوده نمایش داده می‌شوند.

نمایش خلاصه نتایج

clamscan -r /var/www

در انتهای خروجی معمولاً اطلاعاتی مانند موارد زیر نمایش داده می‌شود:

Known viruses
Scanned directories
Scanned files
Infected files
Data scanned
Time

انتقال فایل‌های آلوده به قرنطینه

ابتدا پوشه قرنطینه ایجاد کنید:

mkdir /quarantine

سپس:

clamscan -r --move=/quarantine /var/www

حذف خودکار فایل‌های آلوده

clamscan -r --remove /var/www

هشدار: قبل از استفاده از گزینه --remove از فایل‌های خود نسخه پشتیبان تهیه کنید، زیرا فایل‌های آلوده بدون تأیید حذف خواهند شد.

اسکن با Daemon (Clamd)

اگر سرویس Clamd فعال باشد، اسکن سریع‌تر انجام می‌شود.

clamdscan /var/www

یا:

clamdscan -r /var/www

بررسی وضعیت سرویس

Ubuntu:

sudo systemctl status clamav-daemon

Freshclam:

sudo systemctl status clamav-freshclam

محل فایل‌های لاگ

در بسیاری از توزیع‌ها:

/var/log/clamav/

برای مثال:

/var/log/clamav/clamav.log

و:

/var/log/clamav/freshclam.log

اجرای اسکن زمان‌بندی‌شده

برای اجرای روزانه توسط Cron:

0 2 * * * clamscan -r --infected /var/www

چه مسیرهایی را اسکن کنیم؟

معمولاً این مسیرها اهمیت بیشتری دارند:

• /var/www
• /home
• /tmp
• /var/tmp
• /opt
• مسیرهای مربوط به آپلود کاربران
• پوشه‌های نسخه پشتیبان

تفاوت ClamAV و RKHunter

تفاوت ClamAV و Chkrootkit

تفاوت ClamAV و Imunify360

بهترین روش‌ها

• قبل از هر اسکن، پایگاه داده ویروس‌ها را بروزرسانی کنید.
• اسکن‌های دوره‌ای برای مسیرهای مهم تعریف کنید.
• فایل‌های آلوده را ابتدا به قرنطینه منتقل کنید.
• لاگ‌های ClamAV را بررسی کنید.
• از ClamAV در کنار ابزارهایی مانند RKHunter، AIDE و Auditd استفاده کنید.

اشتباهات رایج

• اجرای اسکن بدون بروزرسانی Signatureها
• حذف مستقیم فایل‌های آلوده بدون بررسی
• اسکن نکردن مسیرهای آپلود کاربران
• نادیده گرفتن فایل‌های قرنطینه‌شده
• اسکن کل سیستم در ساعات پرترافیک سرور

چک‌لیست

پس از نصب ClamAV، موارد زیر را بررسی کنید:

• ClamAV با موفقیت نصب شده است.
• پایگاه داده ویروس‌ها بروزرسانی شده است.
• اولین اسکن انجام شده است.
• فایل‌های آلوده بررسی یا قرنطینه شده‌اند.
• سرویس Clamd (در صورت استفاده) فعال است.
• لاگ‌های ClamAV بدون خطای غیرعادی هستند.
• برای اسکن‌های دوره‌ای برنامه‌ریزی انجام شده است.

جمع‌بندی

ClamAV یکی از محبوب‌ترین آنتی‌ویروس‌های متن‌باز برای لینوکس است که می‌تواند فایل‌های آلوده، Web Shellها، Backdoorها و بسیاری از بدافزارهای شناخته‌شده را شناسایی کند. اگرچه این ابزار به‌تنهایی برای تأمین امنیت کامل سرور کافی نیست، اما در کنار راهکارهایی مانند AIDE، Auditd، RKHunter، Chkrootkit و Fail2Ban می‌تواند بخش مهمی از استراتژی دفاعی سرور را تشکیل دهد.

برای دستیابی به بهترین نتیجه، پایگاه داده ClamAV را همواره به‌روز نگه دارید، اسکن‌های دوره‌ای اجرا کنید و نتایج را پیش از حذف یا قرنطینه فایل‌ها به‌دقت بررسی کنید.

کیان پور