ClamAV のセットアップと運用

パッケージ導入と定義データベースの初期化

ディストリビューションに対応するパッケージマネージャーを用いて ClamAV を導入します。導入直後にウイルス定義ファイルを最新状態に同期させる必要があります。

$ sudo pacman -S clamav
$ sudo freshclam --verbose

定義ファイルは通常 /var/lib/clamav/ ディレクトリ配下に daily.cvd、main.cvd、bytecode.cvd として格納されます。

バックグラウンドサービスの構成

定義ファイルの自動更新とスキャンデーモンの連携を有効化します。初回サービス起動前に必ずデータベースの更新を完了させてください。

$ sudo systemctl enable --now clamav-freshclam.service
$ sudo systemctl enable --now clamd@scan.service

EICAR テストファイルによる動作検証

無害なテストシグネファイルをローカルに保存し、スキャンエンジンが正しく反応するか確認します。

$ wget -q -O /tmp/antivirus_test.txt https://secure.eicar.org/eicar.com.txt
$ clamscan /tmp/antivirus_test.txt

出力結果に Win.Test.EICAR_HDB-1 FOUND が含まれていれば、エンジンと定義ファイルの連携は正常に動作しています。

スキャン実行と高度なオプション

対象ディレクトリや個別ファイル単位でのスキャンが可能です。大規模な環境や圧縮アーカイブを扱う場合は、サイズ制限と除外パスを適切に設定します。

# 単一ファイルの検査
$ clamscan /opt/data/suspicious_file.bin

# 再帰的検索、感染ファイルのみ表示、結果をファイルに記録
$ clamscan -r -i --log=/var/log/clamav_scan.log /home/user/documents

# システム全体スキャン（仮想ファイルシステムを除外）
$ sudo clamscan -r -i --exclude-dir='^/proc|^/sys|^/dev|^/run' / -l /var/log/system_scan.log

# 大容量ファイル対応（単一ファイルおよびコンテナの最大読み取り量を2000MBに設定）
$ clamscan -r --max-filesize=2000M --max-scansize=2000M /data/archive

--remove オプションを使用すると感染ファイルを直接削除できますが、重要なデータが誤って消去されるリスクがあるため、代わりに --move=/quarantine_dir を指定して隔離領域へ移動させる運用が推奨されます。

主要コマンドフラグ一覧

Rkhunter によるルートキット検知

導入とプロパティデータベースの初期化

ファイルの整合性チェックを行うため、初回実行時はシステムのファイルハッシュ値を記録します。

$ sudo pacman -S rkhunter
$ sudo rkhunter --propupd

システムチェックと設定検証

以下のコマンドでシステムのセキュリティ状態を診断します。出力されるサマリーには、検出された疑わしいファイルやルートキットの兆候が含まれます。

$ sudo rkhunter -c --skip-keypress

設定ファイルの構文や整合性を事前に確認する場合は以下を実行します。

$ sudo rkhunter --configcheck

誤検知の抑制と設定ファイル

主要設定ファイルは /etc/rkhunter.conf です。デフォルトでは、スクリプトラッパーやパッケージマネージャーの変更により正当なファイルが警告対象となる場合があります。これらを抑止するため、ホワイトリストを活用します。

# 正当なスクリプト/バイナリをホワイトリストに追加
SCRIPTWHITELIST=/usr/bin/egrep
SCRIPTWHITELIST=/usr/bin/fgrep
SCRIPTWHITELIST=/usr/bin/ldd

# SSH設定の検証を緩和する場合
ALLOW_SSH_ROOT_USER=no

スキャンログは通常 /var/log/rkhunter.log に保存されます。アラート通知が必要な場合は MAIL-ON-WARNING 設定を構成します。

主要コマンドフラグ一覧

参考リソース

• ClamAV 公式ドキュメント: https://docs.clamav.net/
• Rkhunter プロジェクトサイト: http://rkhunter.sourceforge.net/
• Arch Linux Wiki: ClamAV / Rkhunter