Anleitung für CLAM & Postfix auf Debian Woody

[sstadtl]

Hallo Alle

Ich habe ein Debian Server (Woody mit backports.org).
Darauf läuft Postfix als MTA. Nun bin ich über CLAM gestolpert, packe es aber nicht eine brauchbare Anleitung zu ergoogeln, wie ich die beiden zum zusammenspiel bewege.
Habe mit per Aptitude amavis-ng installiert. Einen Aufruf quitiert das aber leider nur mit der Meldung :

Code: Select all

Warning: No logging enabled.
AMAVIS: Couldn't init AMAVIS::MTA::Postfix:  at /usr/share/perl5/AMAVIS.pm line 235, <GEN1> line 520.

Hat jemand Erfahrungen mit Postfix+Clam(d)? Konfigurationsdateien? Hinweise für die Integration?

Danke :-)

Grüße
Sebastian

[dodolin]

Google findet u.a.:
http://mail.x-si.org/articles/av.html
http://www.falkotimme.com/howtos/spamas ... /index.php (das wäre dann allerdings mit Procmail)

Auf Postfix.org finde ich dann u.a. noch:
http://www.postfix.org/addon.html#content
http://www.postfix.org/docs.html (Punkt "UCE/Virus")

Außerdem sollte sicher auch amavis-new, amavis-ng oder amavisd eine Anleitung mitbringen...

[oschtele]

Hallo!

Hab gerade dieses Wochenende meinen Woody-Postfix-Server mit amavisd-new, clamav und spamassassin erweitert (und H+BEDV rausgeschmissen).

Leider hab ich keine detaillierte Anleitung. Folgende Tipps kann ich aber geben:

- folgendes in die /etc/apt/sources.list eingragen:
## für amavis-new, clamav und spamassassin
deb http://people.debian.org/~aurel32/BACKPORTS stable main

- apt-get install ...
zuerst spamassassin
dann clamav-daemon (müsste alles andere mitnehmen)
zum Schluss amavisd-new

- clamav und spamassassin müssen nicht konfiguriert werden, einzig die
/etc/amavis/amavisd.conf ist anzupassen

- rechne damit, dass du mindestens 1-2 stunden benötigst,
um die konfigurationsdatei anzupassen.

- dann kannst du noch die messages unter /etc/amavis/en_US anpassen

- nicht vergessen die /etc/postfix/main.cf und die /etc/postfix/master.cf anzupassen (postfix erhält die mail, gibt sie standardmäßig an localhost, port 10024 weiter, dort erledigt amavis seine sachen und gibt sie anschließend wieder an localhost, port 10025 an postfix zurück, welche die mails dann ausliefert)

- und dann noch feintuning (über mehrere tage)

läuft super bei mir! :)

bis dann
oschtele

[sstadtl]

Danke dodolin. den ersten Link hatte ich auch schon gefunden, aber weil ich zu doof für copy&paste bin, wurde es damit nix. nun habe ich es nochmals versucht und es läufts. :-D

@oschtele
Allerdings : Wenn ich eine Mail an den Server mit dem berühmten Teststring

Code: Select all

X5O!P%@AP[4PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

schicke. bekomme ich als absender eine Nachricht. und das obwohl ich in
der conf folgendes gewählt habe

Code: Select all

/etc/amavis/amavisd.conf
# Notify virus sender?
$warnvirussender = 0;   # (defaults to false (undef))

ich will auf gar keinen Fall Absender von Viren benachrichtigen. Das ist doch die Option dafür oder?
Ist das bei Dir genauso?

Danke
Sebastian

[oschtele]

Hallo!

Hatte hier auch das Problem. Ã?brigens, wenn Du das ganze genauer anschaust, siehst Du, dass bei Viren, die bekannterweise die Absenderadresse fälschen, diese Nachricht nicht geschickt wird.

Ich habs bei mir auf jeden Fall komplett ausgeschalten... und zwar zuerst mit deiner Option $warnvirussender = 0

Als er dann immer noch Mails an die Absender verschickt hat, hab ich folgendes geändert:

$viruses_that_fake_sender_re = new_RE(
qr'nimda|hybris|klez|bugbear|yaha|braid|sobig|fizzer|palyh|peido|holar'i,
qr'tanatos|lentin|bridex|mimail|trojan.dropper|dumaru|parite|spaces'i,
qr'dloader|galil|gibe|swen|netwatch|bics|sbrowse'i,
[qr'^(EICAR.COM|Joke.|Junk.)'i => 0],
[qr'^(WM97|OF97|W95/CIH-|JS/Fort)'i => 0],
## OK, kein Virensender soll eine Nachricht bekommen,
## deswegen true = default (siehe unten)
[qr/.*/ => 1], # true by default?
);

Ob das jetzt 100%ig sauber ist, weiß ich nicht. Funktioniert aber! :-)

bis dann
Oschtele

[vratislav]

Ob das jetzt 100%ig sauber ist, weiß ich nicht.

Wohl nicht

Der Schlüssel liegt nicht in der $warnvirussender Variable, sondern in final_virus_destiny. Die von Amavis versendete Mail ist eine einfache "a non-delivery notification (bounce)" wie es sich für einen Mailer gehört.

Abschalten läßt Sie sich aber dennoch, mit den dafür vorgesehenen Variablen :-D

Code: Select all

$final_virus_destiny      = D_DISCARD;  # (defaults to D_BOUNCE)

So habe ich das auch gemacht.

Björn

[oschtele]

# D_DISCARD mail will not be delivered to its recipients, sender will NOT be
# notified. Effectively we lose mail (but will be quarantined
# unless disabled). Losing mail is not decent for a mailer,
# but might be desired.

Also bekommt auch der Empfänger kein Mail (Hinweis auf Virus). :roll:
Auf meinem Server läuft das so, dass der Empfänger diese Mails bekommt, und der Sender nicht.

Eigentlich müsste für diese Konfiguratin die Variable
$warnvirussender = 0;
zuständig sein. Leider funktionierts aus irgendwelchen Gründen nicht,
deswegen der obige "unsaubere" Eingriff.

bis dann
oschtele

[vratislav]

$warnvirussender = 0;
zuständig sein. Leider funktionierts aus irgendwelchen Gründen nicht,

$warnvirussender ist zuständig für eine WarnVirusMail an den (vermeintlichen) Absender. Wenn der auf '0' steht wird trotzdem ein Bounce erzeugt. Das eine hat mit dem anderen hier nichts zu tun. Ich hatte mich dazu mal ne Weile mit der amavis Maillingliste beschäftigt

Für deine Wünsche fällt mir allerdings auch nichts anderes ein. Andererseits würde ich als User jedenfalls keine 200 Benachrichtigungen am Tag über Swen haben wollen 8O .

Ich suche immer noch nach einer Möglichkeit einmal am Tag eine Statistikmail den Usern zukommen zu lassen. Da habe ich bisher wenig gefunden.

Björn

[oschtele]

Ich suche immer noch nach einer Möglichkeit einmal am Tag eine Statistikmail den Usern zukommen zu lassen. Da habe ich bisher wenig gefunden.

Das mit einer gesammelten Statistik-Mail find ich gut. :-D Momentan sag ich meinen Usern immer, sei sollen die Viren-Meldungen irgendwohin filtern (ähnlich wie die Junk-Mails). Falls Du so eine Möglichkeit findest, könntest Du sie hier posten?

Wieso ich lieber dutzende Mails schicke als die Viren stillschweigend zu löschen? Ganz einfach: es soll ja ab und zu auch "false positives" geben, hier schieb ich die Verantwortung an den User ab.

Hierzu fehlt mir noch etwas, und zwar wenn ein User ein Mail, welches auf dem Server in den Virus-Ordner verbannt wurde (z.B. false positive), doch noch zugeschickt bekommen möchte.... gibt es hierzu einen Befehl oder ähnliches, die Auslieferung eines bestimmten Mails zu forcieren?

bis dann
Oschtele

[vratislav]

Hallo,

es soll ja ab und zu auch "false positives" geben, hier schieb ich die Verantwortung an den User ab.

Bei SPAM ja, aber bei Viren ? Hatte ich bisher keinen einzigen False Positive. Gibt es die bei Viren wirklich??? Glaube ich nicht, lasse mich aber gern belehren 8)

gibt es hierzu einen Befehl oder ähnliches, die Auslieferung eines bestimmten Mails zu forcieren?

Soweit ich weiss nicht. Sollte sich aber per Script bewerkstelligen lassen.

Björn

[oschtele]

Bei SPAM ja, aber bei Viren ? Hatte ich bisher keinen einzigen False Positive. Gibt es die bei Viren wirklich??? Glaube ich nicht, lasse mich aber gern belehren

Ich les da in der CLAMAV-Users und der CLAMAV-Virusdb ein wenig mit. Hier z.B. ein Auszug aus dem virusdb-Update (main: 20, daily: 146):

Submission: 1190
Sender: Axel Dunkel
Virus: false positive of Trojan.URLspoof.gen in html document
Added: n/a. Removed.

Es gibt sie also... 8)

bis dann
oschtele