シグネチャマッチング

シグネチャとはマルウェア固有の文字列やバイナリパターン、ファイル構造などを定義したもので最も基本的なウイルス定義です。そのシグネチャの入手方法については後述します(ウイルス定義データベース更新機能)。

論理シグネチャ

ファイル内の複数の文字列やバイナリパターンに対して、AND、OR、NOTなどの条件を組み合わせて判定するシグネチャです。
例えば、「特定の文字列AとバイナリパターンBの両方が存在し、文字列Cは存在しない」といった複雑な検出条件を定義できます。
単一の文字列だけで判定する方式よりも、マルウェアの特徴を細かく指定しやすく、誤検知を抑えながら亜種を検出する用途に利用されます。

バイトコードシグネチャ

論理シグネチャのような文字列照合では対応しにくい、複雑なファイル解析や検出ロジックをC言語で実装することができます。ファイル形式の内部構造を解析したり、データを変換したうえで特徴を確認したりできるため、高度なマルウェアや脆弱性を悪用するファイルの検出が可能です。
C言語によるプログラムをコンパイルしてできたバイナリをバイトコードシグネチャと呼んでいます。バイトコードはOS上で直接実行されることはなく、ClamAVが持つ制限された仮想マシン環境内で安全に実行されます。

ヒューリスティック解析

シグネチャを手掛かりとする検出方法と異なり、ファイルの構造や内容に不審な特徴がないかを解析する方法です。
例えば、不自然な実行ファイル構造、難読化されたコード、疑わしいマクロ、破損した文書形式などを検出します。
未知または新しいマルウェアを発見できる可能性がある一方、正常なファイルを誤って不審と判定する場合があります。

次にスキャンの実行方式として、以下の3つがあります。

常駐型スキャン機能（clamd / clamdscan）

ClamAVは継続的かつ高速にスキャンを実施するための常駐型機能としてclamdを提供しています。clamdはLinux上で動作するマルチスレッドデーモンであり、スキャンを行う際には別の実行モジュールであるclamdscanが起動済みのclamdを呼び出します。
clamdはウイルス定義データベースを読み込んだ状態で動作するので、オンデマンド実行でも比較的高速に処理できます。
また、ログ出力やスキャン時の挙動も設定ファイルで細かく調整できます。

ワンタイムスキャン機能（clamscan）

clamscanはデーモンを利用せずにファイルやディレクトリをスキャンするコマンドラインツールです。
必要な時だけ実行する運用に向いており、常駐プロセスを避けたい環境や簡易的な確認用途に適しています。定期バッチや手動確認、トラブルシュート時のスポットスキャンにも利用しやすい機能です。

リアルタイムスキャン機能（On-Access Scanning）

On-Access Scanning はLinuxシステム向けのリアルタイムスキャン機能です。カーネルの機能であるfanotifyを利用し、監視対象にファイルが配置された段階でスキャンを実施します。
ただし、本機能はLinux環境でfanotifyが有効、かつfanotifyに対応したファイルシステムに限定されるため、適用にあたっては有効に機能する環境かどうかの確認が必要です。
また、任意のタイミングでスキャンが実行されることを前提に、性能影響を事前に評価する必要があります。

次に外部連携機能について説明します。

ウイルス定義データベース更新機能（freshclam）

アンチウイルス製品は導入しただけでは十分でなく、定義ファイルを継続的に更新してこそ効果を発揮します。freshclamはそのウイルス定義データベースを更新するためのツールです。
freshclamはインターネット上から最新のウイルス定義を取得します。しかしながら、実際にはインターネットへ直接接続できない閉域環境も多く存在します。その場合はインターネットとの中間地点にプライベートミラーを配置することで解決できます。
プライベートミラーはcvdupdate
コマンドを利用して構築します。プライベートミラーはネットワークの制約を回避するだけでなく、多数のClamAVサーバを運用する際の外部通信量削減や経路統制にも有効です。
freshclamは差分更新に対応しているため、効率的にウイルス定義を更新できます。手動更新と自動更新の両方に対応しており、継続運用しやすい点も特徴です。

メールサーバ連携 (clamav-milter)

Milter APIを使用して、SendmailやPostfixと連携するメールフィルター機能です。
メールの添付ファイルはマルウェア、ランサムウェアの侵入の入口の一つになっています。ClamAVはメール受信時に本文や添付ファイルを検査し、感染メールの受信拒否や検疫隔離を行います。

最後に運用・管理支援機能について説明します。

監視・管理支援機能（clamdtop / sigtool）

ClamAVは運用支援ツールとしてclamdtopを備えています。clamdtopは専用インタフェースを通じてclamdデーモンを監視し、メモリ使用量やジョブキューの状況を可視化します。これは運用時の負荷状況確認やボトルネック把握に役立ちます。
もう一つはウイルスシグネチャの作成や操作を行うsigtool です。このツールは必要に応じて、独自のシグネチャ追加や除外設定を行うことができます。

インストールとバージョン確認

一般的にClamAVはLinuxディストリビューションのパッケージ管理システムを利用してインストールします。
ここでは例として、Red Hat系のディストリビューション(Red Hat Enterprise Linux、AlmaLinux、Fedora)でのインストールの流れを説明します。

Red Hat系でのパッケージを利用したインストール

ClamAVのインストールにはExtra Packages for Enterprise Linux (EPEL)が必要なため、まず以下のようにEPELを有効にします。

$ sudo dnf install -y epel-release

ClamAVはEPEL内で以下のパッケージに分割されています。

• clamd – ClamAVのデーモン
• clamav – ClamAVのエンドユーザー向けツール
• clamav-data – ClamAVのウイルス定義データ
• clamav-devel - 開発者向けのヘッダファイルおよびライブラリ
• clamav-lib – ClamAVのダイナミックリンクライブラリ
• clamav-milter – ClamAVのmilterモジュール
• clamav-freshclam – ClamAVウイルス定義の自動更新機能

以下のコマンドを実行すると上記のパッケージがインストールされます(ただし、開発者向けパッケージを除く)。

$ sudo dnf install -y clamav clamd clamav-update

clamdを自動起動するために/etc/clamd.d/scan.confの以下の項目のコメントアウトを外します。なお、clamdにはlocalモード/TCPモードがありますが、ここではlocalモードでの起動とします。

※「Example」の行やTCPモードに関する設定行はコメントアウトのままにします。

#Example
LocalSocket /run/clamd.scan/clamd.sock
LocalSocketGroup virusgroup

systemdでclamdを有効にし、起動していることを確認します。

$ sudo systemctl enable --now clamd@scan
$ sudo systemctl status clamd@scan

ウイルス検知できているかを確認するには、EICARテストファイルを作成またはダウンロードして配置し、配置したファイルをスキャンしてください。

$ clamdscan --fdpass /path/to/eicar-test-file

「Eicar-Signature FOUND」が表示されれば検知できています。

インストールしたClamAVのバージョンを確認するには以下のいずれかを実行してください。

$ clamd -V
$ clamscan -V

ディストリビューションのパッケージを利用したインストール方法以外に、Dockerコンテナを利用した方法、ソースコードからビルドする方法もあります。
詳細は参考情報のリンク先をご確認ください。