Назад | Перейти на главную страницу

ClamAV для хоста, на котором запущены контейнеры докеров - ограничения inotify / fanotify

Я внедряю антивирусное решение для Linux с демоном ClamAV, работающим в режиме On-Access, наблюдая за созданными / открытыми файлами на предмет наличия вредоносного контента в хост-системе И в контейнерах докеров, работающих на хосте. Какие ограничения я обнаружил до сих пор:

fanotify не работает с файлами внутри контейнеров (по дизайну)
fanotify работает на точку монтирования (на файловую систему)
fanotify не позволяет реализовать OnAccessPrevention, используя OnAccessMountPath директива в конфигурации ClamAV
inotify позволяет реализовать OnAccessPrevention
inotify не позволит смотреть / и Clamav выйдет с ошибкой:

clamd: ERROR: ScanOnAccess: Not including path '/' while DDD is enabled
clamd: ERROR: ScanOnAccess: Please use the OnAccessMountPath option to watch '/'

Чтобы использовать OnAccessPrevention, вам необходимо использовать OnAccessIncludePath (inotify) вместо OnAccessMountPath (fanotify).

полная база подписей огромна и должна быть загружена в память (850Мб)
сканирование подписей Windows в окне Linux не имеет никакого смысла (я не сканирую электронную почту)

Пока что я запустил два демона ClamAV как описанный в этом SO-ответе: один для /var/lib/docker в inotify Режим - OnAccessIncludePath директива в конфигурации и еще одна для / в fanotify Режим - OnAccessMountPath директива в конфигурации

Могу ли я запустить только один демон для всего хоста, который будет сканировать и распечатывать уведомления при обнаружении файла maliciuos?

Ссылки: