Skanowanie plików w renderowanych sesjach HTTP

Fudo Enterprise może przesyłać pliki przekazywane podczas sesji w wybranych sejfach do Twojego silnika antywirusowego za pomocą protokołu ICAP (Internet Content Adaptation Protocol). Plik odrzucony przez silnik jest blokowany, zanim dotrze na drugą stronę.

Uwaga

Skanowanie plików obejmuje wyłącznie wysyłanie i pobieranie plików w renderowanych sesjach HTTP.

Niezależnie od skanowania Fudo Enterprise rejestruje w szczegółach sesji każdy przesłany plik we wszystkich sejfach - zob. Rejestrowanie przesyłanych plików.

Zasada działania

  • Skanowanie włącza się dla sejfów. Dostawców i limity czasu konfiguruje się raz dla całego systemu, ale żaden plik nie jest skanowany, dopóki skanowanie nie zostanie włączone dla sejfu.

  • Brak skanowania oznacza blokadę. Gdy skanowanie jest włączone dla sejfu, a pliku nie da się przeskanować - żaden dostawca nie jest osiągalny, dostawca zwraca błąd, upływa limit czasu skanowania lub plik zmienia się w trakcie skanowania - transfer jest blokowany. Nie ma opcji przepuszczania takich plików.

  • Dostawcy są używani po kolei. Fudo Enterprise wysyła każdy plik do pierwszego dostawcy na liście, a do następnego przechodzi tylko wtedy, gdy nie uda się nawiązać połączenia. Dostawca, który odpowiada błędem, nie jest pomijany - jego odpowiedź jest wynikiem skanowania.

  • Pliki czekają w kolejce. Każdy dostawca skanuje jednocześnie najwyżej Maks. liczba jednoczesnych skanowań plików. Pozostałe pliki czekają w kolejce; plik, który czeka dłużej niż Limit czasu skanowania, jest blokowany.

Uwaga

Użytkownik widzi w przeglądarce komunikat o każdym zablokowanym pliku, np. Transfer blocked: the scanning service rejected the file (Eicar-Test-Signature). It was not transferred.

Rejestrowanie przesyłanych plików

Niezależnie od skanowania Fudo Enterprise rejestruje każdy plik wysłany lub pobrany w renderowanej sesji HTTP we wszystkich sejfach - również w sejfach z wyłączonym skanowaniem.

Zapis zawiera nazwę, rozmiar, lokalizację, hashe SHA-256, SHA-1 i MD5 pliku oraz - jeśli plik został przeskanowany - wynik skanowania. Zawartość plików nie jest przechowywana. Zapisy są widoczne na zakładce Pliki szczegółów sesji.

Wymagania

Przed skonfigurowaniem skanowania plików upewnij się, że spełnione są następujące wymagania:

  • Silnik antywirusowy z usługą ICAP obsługującą metodę RESPMOD, np. ClamAV z c-icap lub OPSWAT MetaDefender.

  • Adres, port (domyślnie 1344) i ścieżka usługi ICAP silnika, podane przez dostawcę oprogramowania antywirusowego.

  • Fudo Enterprise musi mieć dostęp do silnika na tym porcie.

  • W przypadku połączenia TLS - certyfikat CA, którym podpisano certyfikat silnika.

Skonfiguruj usługę ICAP używaną przez Fudo Enterprise tak, aby skanowała każdy otrzymany plik:

  • nie ustawiaj limitu rozmiaru pliku niższego niż limit przesyłania plików w Fudo Enterprise - na przykład c-icap z ClamAV zwraca pliki większe niż jego maksymalny rozmiar jako czyste, bez skanowania,

  • wyłącz rozbrajanie i rekonstrukcję zawartości (CDR) - zmodyfikowany plik jest traktowany jako wykrycie zagrożenia,

  • sprawdź wyjątki dla typów plików - na przykład domyślna konfiguracja c-icap nie skanuje plików PNG, PDF i większości plików multimedialnych,

  • zezwól na odpowiedź 204 dla czystych plików (w c-icap: allow204=on), w przeciwnym razie każdy czysty plik jest odsyłany przez sieć.

Dodawanie dostawcy

  1. Wybierz Ustawienia > System.

  2. Przejdź na zakładkę Ogólne i przewiń do sekcji Skanowanie plików.

  3. Kliknij Dodaj dostawcę.

  4. Wypełnij formularz:

    • Nazwa dostawcy - Nazwa wyświetlana na liście dostawców.

    • Adres - Adres IP lub nazwa hosta usługi ICAP.

    • Port - Port ICAP, domyślnie 1344.

    • Ścieżka usługi - Nazwa usługi ICAP bez początkowego ukośnika, np. avscan, respmod lub virus_scan.

    • Maks. liczba jednoczesnych skanowań - Maksymalna liczba plików wysyłanych jednocześnie do tego dostawcy, domyślnie 64. Wartość obsługiwaną przez silnik znajdziesz w dokumentacji oprogramowania antywirusowego.

    • TLS włączony - Szyfruje połączenie z dostawcą. Wgraj certyfikat CA (Certyfikat CA), którym podpisano certyfikat dostawcy.

../../_images/6-3-file-scanning-provider.png

  1. Kliknij Zapisz dostawcę.

  2. Kliknij Edytuj obok dostawcy, a następnie Testuj połączenie, aby sprawdzić, czy Fudo Enterprise może się z nim połączyć.

Uwaga

Testuj połączenie działa tylko dla zapisanego dostawcy. Aby przetestować zmiany, najpierw je zapisz.

Lista dostawców pokazuje stan połączenia z każdym z nich. Pierwszy dostawca na liście jest oznaczony etykietą główny. Aby zmienić kolejność, przeciągnij dostawcę za uchwyt.

../../_images/6-3-file-scanning-section.png

Ustawianie limitów czasu

W obszarze Ustawienia limitów czasu ustaw:

  • Limit czasu połączenia (s) - Czas oczekiwania na nawiązanie połączenia z dostawcą, od 1 do 60 sekund, domyślnie 5. Po tym czasie Fudo Enterprise próbuje połączyć się z kolejnym dostawcą na liście.

  • Limit czasu skanowania (s) - Czas oczekiwania na wynik skanowania, od 1 do 600 sekund, domyślnie 60. Obejmuje on czas oczekiwania w kolejce i próby połączenia z kolejnymi dostawcami. Po jego upływie plik jest blokowany.

Kliknij Zapisz, aby zastosować zmiany.

Włączanie skanowania dla sejfów

  1. W sekcji Skanowanie plików kliknij Zarządzaj sejfami.

  2. Na liście Dostępne sejfy zaznacz sejfy, w których pliki mają być skanowane, i kliknij strzałkę w prawo.

  3. Aby wyłączyć skanowanie dla sejfu, zaznacz go na liście Przypisane sejfy i kliknij strzałkę w lewo.

../../_images/6-3-file-scanning-manage-safes.png

Zmiana obowiązuje natychmiast, także w trwających sesjach. Liczba sejfów z włączonym skanowaniem jest wyświetlana obok Włączone w sejfach.

Uwaga

Aby sprawdzić, czy skanowanie działa, prześlij antywirusowy plik testowy EICAR w renderowanej sesji HTTP w sejfie z włączonym skanowaniem. Transfer powinien zostać zablokowany i oznaczony jako Plik zablokowany przez silnik skanujący na zakładce Pliki sesji.

Skanowanie plików w klastrze

W klastrze lista dostawców oraz lista sejfów z włączonym skanowaniem są replikowane na wszystkie węzły.

Każdy węzeł klastra łączy się z dostawcami samodzielnie: pliki przesyłane w sesji są skanowane przez węzeł, który obsługuje tę sesję. Przycisk Testuj połączenie sprawdza połączenie tylko z węzła, na którym jesteś zalogowany, więc wykonaj test na każdym węźle albo upewnij się, że każdy węzeł ma dostęp do dostawców.

Uwaga

Połączenia z dostawcami korzystają z domyślnej konfiguracji sieciowej węzła. Nie można wybrać adresu źródłowego ani tablicy routingu używanych dla tych połączeń.

Ostrzeżenie

Dodawaj, usuwaj i zmieniaj kolejność dostawców tylko wtedy, gdy wszystkie węzły klastra są połączone, i zawsze na jednym węźle naraz. Kolejność dostawców decyduje o tym, który silnik skanuje pliki, dlatego Fudo Enterprise nie rozwiązuje sprzecznych zmian automatycznie.

Jeśli dostawcy zostaną zmienieni na różnych węzłach w czasie, gdy połączenie między nimi jest przerwane, po przywróceniu połączenia pozostaje konflikt:

  • każdy węzeł zachowuje własną listę dostawców,

  • dostawcy dodani później nie są już replikowani na drugi węzeł,

  • w dzienniku systemowym co kilka sekund pojawiają się komunikaty Engine position is already in use oraz database commit transaction failure.

Taki konflikt trzeba rozwiązać ręcznie. Skontaktuj się z pomocą techniczną.

Wymagane uprawnienia

Sekcja Skanowanie plików jest widoczna dla użytkowników z uprawnieniem avscan-read (Podgląd skanowania antywirusowego). Zmiana konfiguracji wymaga uprawnienia avscan-modify (Modyfikacja skanowania antywirusowego).

Uwaga

Predefiniowane role inne niż superadmin nie zawierają tych uprawnień. Aby inny administrator mógł zarządzać skanowaniem plików, przypisz mu rolę z tymi uprawnieniami - zob. Tworzenie roli.

Tematy pokrewne: