Risolvi l'elevato utilizzo della CPU di Zimbra con ClamAV o FreshClam

Quando un server Zimbra rallenta improvvisamente, gli amministratori spesso vedono clamdo freshclamsi trovano in cima all'elenco dei processi tope presumono che il servizio antivirus sia bloccato. Questo può accadere, ma i due processi svolgono attività diverse: freshclamscarica e verifica gli aggiornamenti delle firme, mentre clamdanalizza file e messaggi. Una coda di posta piena, un ricaricamento del database, un ciclo di aggiornamento fallito o un secondo demone antivirus possono tutti apparire come "ClamAV che utilizza troppa CPU". Identifica quale processo sta consumando troppa CPU prima di riavviare qualsiasi cosa o modificare le impostazioni dell'antivirus.

Questa guida illustra il processo, dai controlli a basso rischio al ripristino del servizio. I comandi e i percorsi descritti di seguito si riferiscono alle installazioni Zimbra più comuni; il percorso esatto di ClamAV incluso e le procedure di ripristino supportate variano a seconda della versione di Zimbra Collaboration. Prima di apportare modifiche, verificate che corrispondano alla versione installata.

1. Conferma quale processo di ClamAV sta consumando CPU

Inizia registrando il nome del processo, l'utilizzo della CPU, il tempo trascorso e il percorso del comando. Esegui questa operazione come utente root o con un account autorizzato a ispezionare i processi di sistema:

ps -eo pid,pcpu,pmem,etime,args | grep -E 'clamd|freshclam'

Quindi monitora il processo sospetto per almeno un breve intervallo con top -p PID, sostituendo PIDcon il numero del primo comando. Una singola lettura non è sufficiente per diagnosticare un problema persistente: psriporta un'istantanea, mentre topti aiuta a vedere se l'utilizzo della CPU rimane elevato o diminuisce dopo la fine di una scansione o di un aggiornamento. Nota anche se il percorso appartiene a Zimbra, solitamente in /opt/zimbra, o a un pacchetto separato del sistema operativo.

Se freshclamsi verifica un picco breve e poi il processo termina o torna inattivo dopo un aggiornamento riuscito, la situazione è diversa da quella di un processo che rimane occupato. Se clamdil processo è un consumatore costante, la scansione dei messaggi o il caricamento del database sono un punto di partenza più probabile. Non terminare nessuno dei due processi solo perché un campione mostra un valore elevato; prima controlla i log e verifica se la posta continua a fluire.

2. Leggi i registri dell'antivirus prima di modificare le impostazioni.

Il manuale di riferimento dei log di Zimbra elenca i log dell'antivirus nella sua directory dei log. Su molte installazioni, è possibile esaminare le voci recenti con:

tail -n 80 /opt/zimbra/log/clamd.log
tail -n 80 /opt/zimbra/log/freshclam.log

Esamina i timestamp insieme al picco di utilizzo della CPU. In clamd.log, richieste di scansione ripetute o messaggi di caricamento del database possono collegare l'utilizzo della CPU all'attività di posta o al ricaricamento della firma. In freshclam.log, un aggiornamento completato seguito da un periodo di inattività suggerisce un lavoro di aggiornamento di routine; ripetuti errori di connessione, tentativi, errori di checksum o un aggiornamento che non viene mai completato richiedono un'indagine più approfondita. Controlla anche il registro di posta di Zimbra nello stesso periodo, perché un picco di messaggi in arrivo o traffico di allegati può aumentare le scansioni.

Utilizza il riferimento ai file di log di Zimbra per confermare la posizione dei file di log per la tua versione. La guida alla risoluzione dei problemi di FreshClam di ClamAV spiega gli errori comuni dell'aggiornamento, inclusi i problemi relativi a DNS, download e limiti di velocità. Un avviso che indica che un motore è più vecchio dell'ultima versione upstream di ClamAV non dimostra di per sé che il database sia danneggiato; Zimbra include un motore testato con una versione ZCS.

3. Verificare la presenza di un programma di aggiornamento duplicato, spazio su disco insufficiente o un picco di carico di lavoro.

Prima di effettuare qualsiasi modifica, escludete le cause più comuni che possono mantenere il servizio occupato:

• Processi duplicati: verifica la presenza di più di un clamdprocesso freshclam. Un servizio ClamAV installato separatamente a livello di sistema operativo o un'attività cron personalizzata potrebbero avviare una seconda copia insieme al servizio gestito da Zimbra. Non disabilitare un servizio finché non hai confermato quale prodotto lo possiede e cosa lo avvia.
• Pressione del disco: verifica lo spazio disponibile e gli inode con df -h /opt/zimbrae df -i /opt/zimbra. Un filesystem pieno può impedire la scrittura di aggiornamenti temporanei o log e causare tentativi di ripetizione. Non rimuovere manualmente i file di firma per liberare spazio.
• Volume di posta: confronta il picco di utilizzo della CPU con il volume dei messaggi in arrivo, le dimensioni degli allegati, la posta in coda e le eventuali consegne di massa recenti. Un picco di attività di scansione può aumentare clamdl'utilizzo anche quando il servizio è in buone condizioni.
• Aggiornamento della connettività: se freshclamil problema persiste, verificare la risoluzione DNS dell'host, l'orologio, la connettività in uscita e le eventuali impostazioni proxy necessarie. Risolvere il problema di rete o del proxy sottostante anziché avviare ripetutamente processi di aggiornamento manuali.

ClamAV documenta nel suo manuale di configurazione come FreshClam controlla il comportamento di aggiornamento e la registrazione . Anche Zimbra documenta un attributo relativo alla frequenza di aggiornamento delle definizioni dei virus, ma il suo valore e la sua configurazione devono essere verificati per la propria versione di ZCS. Non ridurre la frequenza di aggiornamento come soluzione rapida per il consumo di CPU: le firme obsolete indeboliscono la protezione, mentre un percorso DNS o proxy errato continuerà a non funzionare indipendentemente dalla pianificazione.

4. Applicare la soluzione meno invasiva che corrisponda alle prove.

Se clamd è occupato durante un picco di posta

Lascia che il lavoro in corso si esaurisca mentre monitori la CPU e la consegna della posta. Se lo stesso schema si ripete, correlalo con la dimensione dei messaggi, gli allegati compressi e il volume in entrata, quindi rivedi la capacità del server e la policy di scansione degli allegati della tua organizzazione. Evita di aggiungere limiti ClamAV non documentati o di escludere tipi di file senza valutare l'impatto sulla sicurezza e verificare quali controlli Zimbra supporta nella versione installata.

Se la vongola fresca fallisce ripetutamente

Risolvere i problemi relativi a DNS, proxy, firewall, orologio o accesso alla rete in uscita indicati dal log. Assicurarsi che sia in esecuzione solo l'aggiornamento previsto da Zimbra. Non pianificare frequenti esecuzioni manuali né scaricare database di firme con script ad hoc; ClamAV identifica FreshClam o cvdupdate come metodi di aggiornamento supportati e l'integrazione predefinita di Zimbra dovrebbe rimanere la fonte di riferimento per un server Zimbra.

Se il database risulta danneggiato o se clamd non si avvia

Errori come un database non valido, un errore di checksum o un caricamento del database non riuscito richiedono un ripristino specifico per la versione. La procedura di ripristino della definizione di ClamAV di Zimbra prevede istruzioni diverse per le diverse generazioni di ZCS, inclusi percorsi binari di FreshClam differenti. Leggere attentamente la procedura completa per la versione esatta in uso prima di spostare o ricostruire qualsiasi file di database. Conservare una copia del database esistente fino alla conferma del ripristino e non applicare mai comandi da una guida di una versione precedente senza verificarne l'integrità.

Non sostituire i binari di ClamAV di Zimbra con una build upstream autonoma come prima soluzione per problemi di prestazioni. La documentazione di Zimbra avverte che le modifiche al motore al di fuori del ciclo di aggiornamento potrebbero non essere supportate; utilizzare la patch ZCS appropriata o il percorso di aggiornamento se il motore incluso necessita di un aggiornamento.

Riavvia il servizio antivirus solo dopo aver verificato la causa

Se il servizio rimane bloccato dopo la correzione del problema di base, un riavvio controllato dell'antivirus potrebbe eliminare un processo obsoleto o ricaricare il database riparato. Pianificalo quando una breve interruzione della scansione è accettabile e segui la sequenza di comandi per la tua versione di ZCS. La procedura Zimbra documenta zmantivirusctl stope zmantivirusctl start, esegui come zimbrautente:

su - zimbra
zmantivirusctl stop
zmantivirusctl start
zmcontrol status

Non utilizzare un ripristino completo zmcontrol stopper un problema specifico di ClamAV, a meno che il piano di manutenzione non lo preveda. Se il servizio antivirus non riesce a riavviarsi, conserva i log pertinenti e utilizza la procedura di risoluzione dei problemi o il canale di supporto specifici per la versione di Zimbra, anziché ripetere ciclicamente i riavvii.

5. Verificare che l'utilizzo della CPU e la scansione della posta siano tornati alla normalità.

Dopo la correzione o il riavvio, ripetere il controllo del processo e monitorare l'andamento della CPU anziché basarsi su un singolo valore istantaneo. Verificare che clamdsia presente, freshclamche non rimanga bloccato in tentativi ripetuti e zmcontrol statusche l'antivirus risulti in esecuzione. Esaminare le nuove voci di registro per verificare il corretto caricamento del database e l'assenza di errori ricorrenti di aggiornamento o scansione. Infine, verificare che i normali messaggi di test vengano recapitati e gestiti in conformità con le policy di sicurezza della posta elettronica dell'organizzazione.

Un buon ripristino presenta tre segnali osservabili: il processo responsabile non consuma più CPU in modo continuativo dopo aver completato il suo lavoro; i log smettono di ripetere lo stesso errore; e il flusso di posta di Zimbra e lo stato del servizio antivirus rimangono integri. Se la CPU rimane elevata, raccogli un'istantanea del processo con timestamp, le voci corrispondenti clamd.lognei freshclam.loglog di posta, i risultati dello spazio su disco e la tua versione di ZCS. Queste prove aiutano a distinguere un vero difetto dello scanner da un elevato volume di posta o da un percorso di aggiornamento interrotto, senza indebolire la scansione antimalware basandoti su supposizioni.

Nota sulla versione: Guida verificata il 6 ottobre 2026. Il Centro assistenza tecnica di Zimbra include sia riferimenti aggiornati che pagine di risoluzione dei problemi precedenti, specifiche per la versione; verificare i comandi e i percorsi confrontandoli con la documentazione della versione di ZCS installata.