Squid-Kit-Clamav Rocky

Konzepte

ICAP

• Allgemein ist ICAP ein schlankes Protokoll, um einen „Remote Procedure Call" für HTTP(S) und FTP auszuführen.
• ICAP-Clients können HTTP-Daten an einen ICAP-Server weitergeben, der seinerseits die Inhalte umformt oder bearbeitet.
• Der Server sendet die Daten nach der Bearbeitung zurück an den Client.
• Normalerweise sind die adaptierten Inhalte HTTP(S)/FTP-Anfragen oder -Antworten.
• Ein ICAP-Client ist im Normalfall ein Proxy, der HTTP(S)/FTP-Requests von einem Browser entgegennimmt.
• Die Daten werden zu einem ICAP-Server gesendet, um dort bearbeitet zu werden.
• Diese Bearbeitung kann eine Überprüfung des URL, ein Virenscan etc. sein.
• Der Server sendet eine Antwort zurück, die dann über den ICAP-Client zurück zum Browser geht und dort angezeigt wird.
• ICAP verwendet standardmäßig den TCP-Port 1344

ClamAV

• ClamAV (Clam AntiVirus) ist ein unter der GNU General Public License stehendes Virenschutzprogramm
• Bei ClamAV handelt es sich um eine Bibliothek, die in eigene Anwendungen eingebunden werden kann.
• ClamAV läuft als Dienst im Hintergrund (Daemon) oder als eine Befehlszeilen-Anwendung.
• Unter Linux greift ClamAV auf fanotify zurück, um den Zugriff auf das Dateisystem über den Virenscanner umzuleiten
• Es kann daher als Echtzeitscanner verwendet werden.

Schaubild

Installation

EPEL aktivieren

• dnf install -y epel-release

Pakete installieren

• dnf install -y clamav clamd clamav-update c-icap c-icap-libs c-icap-modules git gcc make

Pakete zur Installation

clamav

• Open-Source-Virenschutzprogramm
• Überprüft Dateien und Daten auf Viren und Malware

clamd

• Hintergrunddienst (Daemon) von ClamAV
• Ermöglicht Virenscans im Echtzeitmodus

clamav-update

• freshclam — aktualisiert die ClamAV-Virendatenbank automatisch

c-icap

• ICAP-Server — nimmt Anfragen von Squid entgegen und leitet sie an ClamAV weiter

c-icap-libs

• Bibliotheken für c-icap

c-icap-modules

• Zusätzliche Module für c-icap, wird für squidclamav benötigt

git / gcc / make

• Werden benötigt um squidclamav aus dem Quellcode zu kompilieren

Über git clone squidclamav Source herunterladen

"SquidClamAV" ist ein Drittanbieter-Plug-In für den Squid-Proxy-Server, das speziell zur Integration von ClamAV in den Proxy entwickelt wurde. SquidClamAV ermöglicht es Squid, den HTTP-Datenverkehr zu überwachen und nach Viren und Malware zu scannen.

• git clone https://github.com/darold/squidclamav

Kompilieren

• cd squidclamav
• ./configure && make && make install

Squid Konfiguration erweitern

unter die http_access rules

• vi /etc/squid/squid.conf

icap_enable on
icap_send_client_ip on
icap_send_client_username on
icap_client_username_encode off
icap_client_username_header X-Authenticated-User
icap_preview_enable on
icap_preview_size 1024

icap_service service_req reqmod_precache bypass=0 icap://127.0.0.1:1344/squidclamav
icap_service service_resp respmod_precache bypass=0 icap://127.0.0.1:1344/squidclamav

adaptation_access service_req allow all
adaptation_access service_resp allow all

aktivieren

Modul squidclamav aktivieren

• echo "Service squidclamav squidclamav.so" >> /etc/c-icap/c-icap.conf

Fehlerseite zuweisen

• vi /etc/c-icap/squidclamav.conf

Ersetze diese Zeile

redirect http://proxy.domain.dom/cgi-bin/clwarn.cgi

Durch diese Zeile

redirect https://virus-found.xinux.de

Wer dies selbst aufsetzen will

• Squid-Clamav-Virus-detect

Dienste starten

• systemctl enable --now clamav-freshclam clamd@scan c-icap squid

Firewall

• firewall-cmd --zone=public --add-port=1344/tcp --permanent
• firewall-cmd --reload

Hier kann man Testen

• https://www.eicar.org/download-anti-malware-testfile/

Der Log zum clamav

• tail -f /var/log/clamav/clamd.log

instream(local): Win.Test.EICAR_HDB-1(44d88612fea8a8f36de82e1278abb02f:68) FOUND

Der Log zum c-icap

• tail -f /var/log/c-icap/server.log

Links

• https://github.com/darold/squidclamav