Linuxのコマンドラインからウイルスを検出する方法

Linux 上でコマンドラインからウイルスを検出するには、ClamAVをインストールし、 FreshClamでシグネチャデータベースを更新してから、チェックしたいファイルまたはフォルダに対してClamScan を--recursive実行します。サブフォルダを含めるように設定し、--infectedすべてのクリーンなファイルを一覧表示せずに検出結果のみを表示するようにするには、オプションを追加します。ClamScan は一度だけスキャンを実行するため、clamdサービスの実行は不要です。クリーンなレポートは、ClamAV がスキャンしたコンテンツに一致するシグネチャが見つからなかったことを意味します。これは、すべてのファイルが安全であることの証明ではありません。

ClamAVはLinuxシステム上のファイル全体にわたってウイルスやその他のマルウェアを検出しますが、完全なエンドポイントセキュリティスイートではなく、マルウェアスキャンツールキットです。その範囲については、ClamAVの概要を参照してください。

1. お使いのディストリビューションからClamAVをインストールしてください。

メンテナンスされている ClamAV パッケージが利用可能な場合は、ディストリビューションのパッケージ マネージャーを使用してください。パッケージ名と設定パスはディストリビューションによって異なる場合があるため、コマンドが異なる場合はディストリビューションのパッケージ ドキュメントを確認してください。一般的なパッケージの例を以下に示します。

パッケージマネージャーでアップデーターパッケージ名が利用できないと表示された場合は、お使いのリリースに対応したパッケージをインストールしてくださいfreshclam。古いガイドから古いソースビルドコマンドをコピーすることは避けてください。ClamAVの現在のビルド要件と構成は時間の経過とともに変更されています。

スキャナがインストールされていることを確認してください。

clamscan --version

2. ClamAVのウイルス定義ファイルを更新する

FreshClamはClamAVの公式シグネチャデータベースをダウンロードして更新します。お使いのディストリビューションにFreshClamアップデーターがインストールされていない場合は、以下のコマンドで手動更新を開始してください。

sudo freshclam

一部のパッケージでは、バックグラウンド更新サービスが構成されます。手動更新で別の更新プロセスが既に実行中であると報告された場合は、FreshClam を繰り返し起動するのではなく、サービスが完了するまで待ちます。ディストリビューションで使用されているサービス名を確認してください。システムによっては、サービス名は ですclamav-freshclam。手動スキャンを行う前に、署名を最新の状態に保ってください。FreshClamのドキュメントには、データベース更新の仕組みが説明されています。

3. ファイルまたはフォルダをスキャンする

ダウンロードしたファイルを検査するには、sample.zip検査したいファイル名に置き換えてください。

clamscan --infected "$HOME/Downloads/sample.zip"

アカウントが読み取り可能なファイルについては、特に何もする必要はありませんsudo。アクセス権限エラーが発生した場合は、所有するパスをスキャンするか、必要に応じて管理者権限でコマンドを再実行してください。

ディレクトリとその配下のすべてをスキャンするには、--recursive(短縮形-r) を使用します。

clamscan --recursive --infected "$HOME/Downloads"

再帰オプションを指定しない場合、ClamScan は指定されたディレクトリ内のファイルをチェックしますが、そのサブディレクトリには移動しません。--verboseより詳細なスキャン情報を確認したい場合は、このオプションを追加するか、--log=FILEレポートを保存するにはこのオプションを使用してください。

4. ホームフォルダまたは他の場所を確認してください

ホームディレクトリは、ダウンロードしたファイルや開いたファイルが含まれているため、調査を開始するのに便利な場所です。このコマンドは、現在のユーザーのホームフォルダとそのネストされたディレクトリをスキャンします。

clamscan --recursive --infected "$HOME"

ユーザーおよび一時ファイルの場所をより広範囲にチェックするには、1つのコマンドで複数のディレクトリを指定します。

sudo clamscan --recursive --infected /home /tmp /var/tmp

/media/$USER/DRIVE_NAMEリムーバブル ストレージを検査する場合は、マウントされたドライブのパス (例: ) を追加してください。 を使用すると、ルート ファイルシステム全体をスキャンすることもできますsudo clamscan --recursive --infected /が、時間がかかる場合があり、読み取れないファイルや特殊な仮想ファイルシステムが報告されることがあります。 を押すCtrl+Cと停止します。アクセス エラーは、スキャンされていないファイルとして扱い、クリーンな結果とはみなさないでください。ClamAV は、一部の大規模または複雑なコンテンツに対してスキャン制限も適用します。広範囲のスキャンを解釈する前に、ClamScan のオプションと制限を確認してください。

5. スキャンレポートを保存して解釈する

後で確認するためにレポートを保存するには、ログパスを追加します。これにより、scan.log現在のディレクトリに書き込まれます。

clamscan -r -i --log=scan.log ~/Downloads

保存したレポートを開くにはless scan.log、 を使用するか、ClamScan の処理完了時に出力される概要をお読みください。概要に と表示されている場合Infected files: 0、正常にスキャンされたファイルに一致する読み込まれたシグネチャが見つかりませんでした。 で終わる行は、FOUNDファイル名と検出シグネチャを示しています。これは調査を促す警告であり、ファイルを開く理由ではありません。

• ClamAVが検出を報告した場合は、そのファイルを実行したりプレビューしたりしないでください。通常の使用から隔離し、ファイルのパスとシグネチャ名をメモして、入手元を確認してください。
• デフォルトの応答として使用しないでください--remove。誤検出が発生する可能性があり、自動削除によって必要なファイルが失われる可能性があります。ClamAV は、隔離方式の代替手段を文書化し、スキャンアラートのガイダンスで誤検出の疑いのあるファイルを確認する方法を説明しています。
• スキャンでアクセス権限、読み取り、またはデータベースのエラーが報告された場合は、それらを解決してから再度スキャンしてください。ClamAVが検査できなかったファイルは、まだクリアされていません。

通常のチェックでは、まずシグネチャを更新し、ダウンロードフォルダとホームディレクトリを再帰的にスキャンしてから、アラートと最終サマリーを確認します。ClamAVのclamonaccクライアントは、オンアクセス監視機能を提供できますclamdが、別途設定が必要です。通常のclamscanコマンドでは、指定したパスのみがチェックされます。