Squid + clamav + havp?— LinuxForum.Fans

15.07.2011 13:50 #176966

Добрый день.

Пара вопросов по сабжевой связке:

1. Как правильно организовать ротацию логов havp. Сейчас сделал стандартными средствами -- через newsyslog. Чем это мне грозит? Havp не завалится, если в момент ротации он попытается что-то писать в лог?

2. Havp сканирует на вирусы через libclamav. Вирусная база обновляется раз в сутки по crontab:

text

1 4 * * * /usr/local/bin/freshclam --quiet -l /var/log/clamav/clam-update.log

Нужно ли пнуть havp, что база обновилась и её нужно перечитать? Если да, то как это правильно сделать?

Система: FreeBSD 8.0-RELEASE, havp 0.91, clamav 0.97.

Спасибо.

15.07.2011 14:00 · отредактировано #176970

thetosh написал:
Система: FreeBSD 8.0-RELEASE, havp 0.91, clamav 0.97.

вопрос на засыпку, а havp ресурсы не кушает? у меня в такой связке havp клал систему.
в rc.conf есть ли строчка вида clamav_freshclam_enable="YES"
тогда вот этот велосипед с кроном не нужен будет.
вот что имеем:

Показать

# ls -l
total 2704
-rw-r----- 1 clamav clamav 2097373 Jul 15 12:55 clamd.log
-rw-r----- 1 clamav clamav 622316 Jul 15 12:56 freshclam.log

и

Показать

#tail -10 freshclam.log
ClamAV update process started at Fri Jul 15 12:55:46 2011
WARNING: DNS record is older than 3 hours.
WARNING: Invalid DNS reply. Falling back to HTTP mode.
Reading CVD header (main.cvd): OK (IMS)
main.cvd is up to date (version: 53, sigs: 846214, f-level: 53, builder: sven)
Reading CVD header (daily.cvd): OK (IMS)
daily.cld is up to date (version: 13321, sigs: 151983, f-level: 60, builder: ccordes)
Reading CVD header (bytecode.cvd): OK (IMS)
bytecode.cld is up to date (version: 144, sigs: 41, f-level: 60, builder: edwin)

А чем вам newsyslog не угодил? Вполне нормальное явление.

15.07.2011 14:23 · отредактировано #176973

i2ks написал:
вопрос на засыпку, а havp ресурсы не кушает? у меня в такой связке havp клал систему.

При запуске только отъедает нехило так, но потом всё пучком. Сервер на домашнюю сеть в три компа: P-II 333MHz, RAM 192Mb. :P

i2ks написал:
в rc.conf есть ли строчка вида clamav_freshclam_enable="YES"

Нет. Память экономлю. :D

i2ks написал:
тогда вот этот велосипед с кроном не нужен будет.

Я знаю. Но памяти жалко.

i2ks написал:
вот что имеем:
Показать

#tail -10 freshclam.log
ClamAV update process started at Fri Jul 15 12:55:46 2011
WARNING: DNS record is older than 3 hours.
WARNING: Invalid DNS reply. Falling back to HTTP mode.
Reading CVD header (main.cvd): OK (IMS)
main.cvd is up to date (version: 53, sigs: 846214, f-level: 53, builder: sven)
Reading CVD header (daily.cvd): OK (IMS)
daily.cld is up to date (version: 13321, sigs: 151983, f-level: 60, builder: ccordes)
Reading CVD header (bytecode.cvd): OK (IMS)
bytecode.cld is up to date (version: 144, sigs: 41, f-level: 60, builder: edwin)

А чем вам newsyslog не угодил? Вполне нормальное явление.

Да всем угодил. Тем более, штатная тулза. Но я где-то на буржуйском форуме прочитал, что если в момент ротации havp будет пытаться в лог писать, то он падает.
Вот freshclam отработал сегодня ночью:

Показать

# cat /var/log/clamav/clam-update.log
Jul 15 00:00:00 wifihub newsyslog[36559]: logfile turned over
Fri Jul 15 04:01:01 2011 -> --------------------------------------
Fri Jul 15 04:01:01 2011 -> Current working dir is /var/db/clamav
Fri Jul 15 04:01:01 2011 -> Max retries == 3
Fri Jul 15 04:01:01 2011 -> ClamAV update process started at Fri Jul 15 04:01:01 2011
Fri Jul 15 04:01:01 2011 -> Using IPv6 aware code
Fri Jul 15 04:01:01 2011 -> Querying current.cvd.clamav.net
Fri Jul 15 04:01:01 2011 -> TTL: 273
Fri Jul 15 04:01:01 2011 -> Software version from DNS: 0.97.1
Fri Jul 15 04:01:01 2011 -> WARNING: Your ClamAV installation is OUTDATED!
Fri Jul 15 04:01:01 2011 -> WARNING: Local version: 0.97 Recommended version: 0.97.1
Fri Jul 15 04:01:01 2011 -> DON'T PANIC! Read http://www.clamav.net/support/faq
Fri Jul 15 04:01:01 2011 -> main.cvd version from DNS: 53
Fri Jul 15 04:01:01 2011 -> main.cld is up to date (version: 53, sigs: 846214, f-level: 53, builder: sven)
Fri Jul 15 04:01:01 2011 -> daily.cvd version from DNS: 13321
Fri Jul 15 04:01:03 2011 -> Retrieving http://database.clamav.net/daily-13319.cdiff
Fri Jul 15 04:01:04 2011 -> Trying to download http://database.clamav.net/daily-13319.cdiff (IP: 194.186.47.19)
Fri Jul 15 04:01:04 2011 -> Downloading daily-13319.cdiff [100%]
Fri Jul 15 04:01:06 2011 -> cdiff_apply: Parsed 1984 lines and executed 1984 commands
Fri Jul 15 04:01:06 2011 -> Retrieving http://database.clamav.net/daily-13320.cdiff
Fri Jul 15 04:01:06 2011 -> Trying to download http://database.clamav.net/daily-13320.cdiff (IP: 194.186.47.19)
Fri Jul 15 04:01:06 2011 -> Downloading daily-13320.cdiff [100%]
Fri Jul 15 04:01:06 2011 -> cdiff_apply: Parsed 14 lines and executed 14 commands
Fri Jul 15 04:01:06 2011 -> Retrieving http://database.clamav.net/daily-13321.cdiff
Fri Jul 15 04:01:06 2011 -> Trying to download http://database.clamav.net/daily-13321.cdiff (IP: 194.186.47.19)
Fri Jul 15 04:01:07 2011 -> Downloading daily-13321.cdiff [100%]
Fri Jul 15 04:01:07 2011 -> cdiff_apply: Parsed 1923 lines and executed 1923 commands
Fri Jul 15 04:01:08 2011 -> Loading signatures from daily.cld
Fri Jul 15 04:01:14 2011 -> Properly loaded 151983 signatures from new daily.cld
Fri Jul 15 04:01:14 2011 -> daily.cld updated (version: 13321, sigs: 151983, f-level: 60, builder: ccordes)
Fri Jul 15 04:01:14 2011 -> bytecode.cvd version from DNS: 144
Fri Jul 15 04:01:14 2011 -> Retrieving http://database.clamav.net/bytecode-144.cdiff
Fri Jul 15 04:01:15 2011 -> Trying to download http://database.clamav.net/bytecode-144.cdiff (IP: 194.186.47.19)
Fri Jul 15 04:01:15 2011 -> Downloading bytecode-144.cdiff [100%]
Fri Jul 15 04:01:15 2011 -> cdiff_apply: Parsed 119 lines and executed 119 commands
Fri Jul 15 04:01:15 2011 -> Loading signatures from bytecode.cld
Fri Jul 15 04:01:24 2011 -> Properly loaded 41 signatures from new bytecode.cld
Fri Jul 15 04:01:24 2011 -> bytecode.cld updated (version: 144, sigs: 41, f-level: 60, builder: edwin)
Fri Jul 15 04:01:37 2011 -> Database updated (998238 signatures) from database.clamav.net (IP: 194.186.47.19)

И вот как после этой процедуры пнуть havp, чтобы он базу перечитал? Нарыл у freshclam опцию '--on-update-execute=COMMAND', а havp (если верить доке) по сигналу SIGHUP перечитывает базу. Если я так напишу:

text

freshclam --on-update-execute="/bin/kill -s HUP `cat /var/run/havp/havp.pid`"

-- так прокатит?

15.07.2011 14:42 #176976

thetosh написал:
И вот как после этой процедуры пнуть havp, чтобы он базу перечитал?

а зачем? у него же в конфиге явно указывается откуда что брать, например вот:

text


CLAMDBDIR /var/db/clamav

thetosh написал:
что если в момент ротации havp будет пытаться в лог писать, то он падает

Ммм, надо будет по тестировать. Такое в первый раз слышу.

15.07.2011 14:44 #176979

thetosh написал:
-- так прокатит?

т.е. это при каждом обновлении что ли так будет?

15.07.2011 14:55 #176989

i2ks написал:
[quote=thetosh]И вот как после этой процедуры пнуть havp, чтобы он базу перечитал?

а зачем? у него же в конфиге явно указывается откуда что брать, например вот:

text


CLAMDBDIR /var/db/clamav

[/quote]
А ещё у него в конфиге есть опция DBRELOAD. Наверно неспроста. Скорее всего libclamav базу сигнатур таки в памяти держит. Да и вряд ли havp следит за изменениями базы. Хотя я в этом не уверен, но...

i2ks написал:
[quote=thetosh] что если в момент ротации havp будет пытаться в лог писать, то он падает

Ммм, надо будет по тестировать. Такое в первый раз слышу.[/quote]
За что купил, за то и продаю. Правда у человека был Debian и havp более древний.

15.07.2011 14:59 #176992

i2ks написал:
[quote=thetosh]-- так прокатит?

т.е. это при каждом обновлении что ли так будет?[/quote]А что тут такого? По сигналу HUP havp перечитает базу сигнатур и только-то.
У меня обновление происходит раз в сутки, в четыре часа утра. Так что для меня эта операция не критична.

15.07.2011 15:10 #176999

thetosh написал:
А что тут такого? По сигналу HUP havp перечитает базу сигнатур и только-то.

а почему бы и нет, как вариант, но все же я так думаю, то что надо по внимательней по читать о конфиге havp :rolleyes:

15.07.2011 15:31 #177010

i2ks написал:
[quote=thetosh]А что тут такого? По сигналу HUP havp перечитает базу сигнатур и только-то.

а почему бы и нет, как вариант, но все же я так думаю, то что надо по внимательней по читать о конфиге havp :rolleyes:[/quote]
Не, теперь уже пора расчехлять документацию. Может быть она прольёт свет на эти тёмные моменты. smile

16.07.2011 00:19 #177138

Да верно кажысь в конфиге HAVP есть опцыя перечитывания базы сигнатур. Щас не скажу с памяти, а в воскресенье доберусь до компа на работе тогда точно напишу.

16.07.2011 08:35 · отредактировано #177177

kisil написал:
Да верно кажысь в конфиге HAVP есть опцыя перечитывания базы сигнатур. Щас не скажу с памяти, а в воскресенье доберусь до компа на работе тогда точно напишу.

По сигналу SIGHUP он перечитывает. Или по истечении времени, указанного в DBRELOAD в конфиге. Меня устраивает первый вариант. Т.е. в конфиге freshclam прописываю:

text

OnUpdateExecute /bin/kill -s HUP `cat /var/run/havp/havp.pid`

Но вот тут проблема: на чтение havp.pid прав не хватает. :(
Сейчас буду пробовать:

text

OnUpdateExecute /bin/kill -s HUP `/usr/local/bin/sudo -u havp cat /var/run/havp/havp.pid`

18.07.2011 13:11 · отредактировано #177616

Верно но зачем изобретать велосипед. Если ты используеш libclamav, то пропишы обновление freshclam например в целый час, а в настройках havp по умолчанию стоит 1 раз в час перегружать базы и всё. А так делал и всё было норм. Вот мой кусок лога

Показать

15/10/2010 16:24:30 ClamAV: Reloaded 840588 signatures (engine 0.96.2)
15/10/2010 18:24:37 ClamAV: Reloaded 840666 signatures (engine 0.96.2)
15/10/2010 19:24:43 ClamAV: Reloaded 840720 signatures (engine 0.96.2)
15/10/2010 20:24:49 ClamAV: Reloaded 840949 signatures (engine 0.96.2)
16/10/2010 02:25:00 ClamAV: Reloaded 840953 signatures (engine 0.96.2)
17/10/2010 05:25:33 ClamAV: Reloaded 840959 signatures (engine 0.96.2)
17/10/2010 06:25:39 ClamAV: Reloaded 840960 signatures (engine 0.96.2)