
         Антивирус Doctor Web для FreeBSD (версия 4.32)

             Copyright (c) 1992-2004, Игорь Данилов
     Антивирусная лаборатория И.Данилова, ЗАО "ДиалогНаука"

                   Руководство пользователя


1. ВВЕДЕНИЕ
2. УСТАНОВКА ПРОГРАММЫ DOCTOR WEB
  2.1. Установка Doctor Web для FreeBSD
  2.2. Регистрация пакета
  2.3. Обновление программы и вирусной базы данных
3. ИСПОЛЬЗОВАНИЕ СКАНИРУЮЩЕГО МОДУЛЯ DOCTOR WEB
  3.1. Расположение файлов пакета
  3.2. Файлы электронной документации
  3.3. Запуск программы-сканера
  3.4. Опции командной строки
  3.5. Конфигурирование программы-сканера
4. КОНТАКТЫ
           

                         1. ВВЕДЕНИЕ

Антивирусная программа Dоctor Web, включавшая ранее версии для Windows
95/98/Me/NT/2000/XP, DOS/386, OS/2 и Novell NetWare, в настоящее время
предлагается и в версиях для Unix-подобных систем - Linux (дистрибутивых 
основанных на версиях glibc 2.1, 2.2 and 2.3), FreeBSD (версий 3.x, 4.x, 5.x), 
SunOS Solaris (версий 5.8, 5.9, 5.10; только для платформы Intel) и OpenBSD 
(версий 3.x).

Следует заметить, что проблема борьбы с вирусами в Unix-подобных
операционных системах (далее - Unix-системах) имеет два аспекта. Первый -
это локальная защита системы и пользовательских данных от деструктивного
воздействия программ-вирусов. До недавнего времени этот аспект представлял
чисто теоретический интерес. Однако, начиная с января 2001 года, с ним
может столкнуться практически любой пользователь Unix-систем (в первую
очередь - ОС Linux, как наиболее распространенной из них), подобно
пользователю таких настольных ОС, как Windows любой версии.

Второй аспект - это диагностика и обезвреживание вирусов при использовании
Unix-систем в качестве платформы коммуникационных служб, в первую очередь -
почтовых серверов, файловых серверов локальных сетей и т.д. Причем вирусы
эти могут быть (и в большинстве случаев являются) отнюдь не специфичными
для Unix-систем - через локальные сети и почтовые службы будут
распространяться обычные Windows-вирусы, в том числе и макровирусы для
Word, Excel и других офисных приложений.

Антивирусная программа Doctor Web для Unix-систем выполняет обе функции. С
одной стороны, это сканер DrWeb для обнаружения и лечения вирусов на
локальной машине. С другой, в комплект входит резидентный компонент (демон)
Dr.Web Daemon (drwebd), который может использоваться практически в любых схемах 
обработки данных в качестве подключаемого внешнего антивирусного фильтра. Hапример,
почтовые системы (такие как Communigate Pro, Sendmail, Qmail, Exim, Postfix,
Zmailer и др.) могут быть достаточно легко и гибко настроены на использование
Dr.Web Daemon для проверки проходящих через почтовый сервер сообщений
e-mail.

В настоящем руководстве будет рассмотрен первый аспект использования
программы Doctor Web в Unix-системах, а именно обнаружение и нейтрализация
вирусов на локальной машине. Здесь мы остановимся на следующих моментах:

- общая характеристика программы, различия между ее версиями;
- установка программы из пакетов различных форматов (глава 2);
- использование сканера вирусов, преимущественно на локальной машине
  (глава 3).

Что касается второго аспекта, то он отражен в отдельном руководстве
(readme.daemon.rus).

В заключении приведена информация для контактов с разработчиками и службой
технической поддержки.

Следует сказать, что программа Doctor Web находится в постоянном развитии.
Обновления базы данных известных вирусов выходят практически ежедневно (как
правило, несколько раз в день). Изменения в программе касаются как
совершенствования приемов диагностики и борьбы с вирусами, так и средств
интеграции с другими приложениями Unix-систем. Кроме того, постоянно
расширяется круг приложений, способных работать совместно с Doctor Web.
Поэтому не исключено, что некоторые детали настройки и использования
текущей версии будут отличаться от описанных в настоящем руководстве. Для
получения наиболее актуальной информации о программе следует обратиться к
файлам электронной документации, входящим в комплект поставки, которые
будут упомянуты в разделе 3.2.


                 2. УСТАНОВКА ПРОГРАММЫ DOCTOR WEB

2.1. Установка Doctor Web для FreeBSD

Дистрибутив Doctor Web распространяется в двух форматах:

- в виде bsd пакета drweb-VER-freebsdX.tgz, ориентированного на
использование системы управления пакетами FreeBSD;

- в виде tarball-архива (drweb-VER-freebsdX.tar.gz), для ручной установки.

Для установки из пакета используйте следующую команду:

> pkg_add drweb-4.32-freebsd4.tgz

При установки из tarball-архива распакуйте архив, будет создан каталог
drweb-4.32-freebsdX внутри которого будет дерево каталогов, которое надо
перенести в корень диска (либо разложить, так как вы сами хотите, но тогда
вам необходимо отредактировать drweb32.ini. Пример:

> tar xzf drweb-4.32-freebsd4.tar.gz
> cp -a drweb-4.32-freebsd4/* /

Кроме этого, вы должны создать служебного пользователя drweb и потом
установить правильные права. Например при установки в корень:

> chown -R drweb /usr/local/etc/drweb
> chown -R drweb /usr/local/drweb
> chown -R drweb /var/drweb


2.2. Регистрация пакета

Для работы антивируса Dr.Web для UNIX-систем необходим ключевой файл
(обычно файл drweb32.key). Вы можете получить ключевой файл одним из 
следующих способов:

ПРИОБРЕСТИ У ОФИЦИАЛЬНЫХ ПАРТНЕРОВ КОМПАНИИ "ДОКТОР ВЕБ"
Вы можете приобрести лицензию на право использования антивируса Dr. Web 
у официальных партнеров компании "Доктор Веб". При покупке вы получите 
именную лицензию с ключевым файлом, либо регистрационный номер, 
позволяющий Вам зарегистрироваться на веб-сайте и получить ключевой файл 
самостоятельно.

Адреса партнеров вы можете узнать в партнерском разделе сайта компании 
"Доктор Веб" (http://partners.drweb.com/)

Условия приобретения вы можете узнать на сайте компании "Доктор Веб" в 
разделе "Купить" (http://buy.drweb.com/)

ЗАРЕГИСТРИРОВАТЬСЯ НА САЙТЕ КОМПАНИИ "ДОКТОР ВЕБ"
Если у вас есть приобретенный серийный номер, вы можете сгенерировать 
ключ в разделе регистрации программ на сайте компании "Доктор Веб" 
(http://buy.drweb.com/register/), заполнив  соответствующую форму. 
При заполнении формы вам будет необходимо указать регистрационный
серийный номер. Ключ будет немедленно выслан на указанный 
адрес электронной почты, Вы также сможете скачать его по предоставленной
ссылке непосредственно с сайта..
Будьте внимательны при вводе адреса электронной почты!

ДЕМОНСТРАЦИОННЫЙ КЛЮЧЕВОЙ ФАЙЛ
Для того, чтобы протестировать продукт перед приобретением, вы можете 
запросить тестовый ключ на странице (http://download.drweb.com/demo/) или 
у официальных партнеров компании "Доктор Веб".

После того как вы получили лицензионный ключевой файл, его необходимо установить.
Для этого скопируйте ключевой файл в /usr/local/drweb, кроме этого стоит удостоверится
что параметр Key в секции [Scanner] конфигурационного файла drweb32.ini указывает
на ключ.

Пример: вы получили drweb.key и скопировали его в /usr/local/drweb, тогда в 
drweb32.ini должно быть:
--- cut ---
...
[Scanner]
...
Key = "/usr/local/drweb/drweb.key"
...
--- cut ---

Важное замечание - ключевой файл НЕ является текстовым и не подлежит
редактированию в любом виде, в том числе и автоматической конвертации,
производимой некоторыми программами. Часто приходится сталкиваться с
проблемой, когда ключевой файл был конвертирован не в меру интеллектуальной
почтовой программой из DOS формата (с концами строк вида CR LF (в
шестнадцатеричном виде 0D 0A) в UNIX формат (с концами строк вида LF (в
шестнадцатеричном виде 0A)).


2.3. Обновление программы и вирусной базы данных

Как и любой антивирусный пакет, программа Doctor Web нуждается в регулярном
обновлении базы данных известных вирусов. Задача эта решается следующим
образом: вирусная база состоит из нескольких файлов вида *.vdb,
представляющих собой отдельные ее части. При появлении новых вирусов
выпускаются небольшие (размером в один или несколько Кб) файлы, которые
содержат фрагменты базы, описывающие эти вирусы. 

Дополнения представляют собой файлы (единые для всех поддерживаемых
платформ) вида drwtoday.vdb (ежедневные "горячие" обновления) и
drwXXXXX.vdb (регулярные обновления, появляющиеся обычно еженедельно). Для
того чтобы подключить дополнение к основной вирусной базе, соответствующий
файл должен быть помещен в каталог /var/drweb/bases, или иной
каталог, определенный в конфигурационном файле (см. раздел 3.5).

Периодически (в частности, в связи с появлением радикально новых вирусных и
антивирусных технологий) выпускаются новые версии пакета с обновленными
алгоритмами, заложенными в антивирусное ядро. Одновременно с этим сводятся
воедино все ранее выпущенные дополнения базы, и новая версия комплектуется
актуализированной основной базой, содержащей описания всех известных на
момент ее выхода вирусов. Как правило, при переходе на новую версию пакета
сохраняется преемственность формата баз, т.е. новые базы могут быть
подключены к старому ядру. Однако при этом не гарантируется обнаружение или
излечение новых вирусов, для борьбы с которыми потребовались обновленные
алгоритмы антивирусного ядра.

При регулярном получении дополнений вирусная база пакета приобретает
следующую структуру:

- drwebase.vdb - основная база, получаемая вместе с новой версией пакета;
- drwXXXXX.vdb - регулярные (еженедельные) дополнения вирусной базы;
- drwtoday.vdb - "горячие" дополнения, появляющиеся ежедневно или
  несколько раз в сутки.

Особенность установки "горячих" дополнений связана с тем, что в промежутке
между выходом регулярных (нумерованных) дополнений файл drwtoday.vdb
пополняется новыми записями, т.е. его необходимо устанавливать вместо ранее
имевшегося. В момент выхода очередного регулярного дополнения все записи из
этого файла переписываются в очередное дополнение, а он сам очищается
(выпускается файл drwtoday.vdb, не содержащий ни одной записи базы данных).
Следовательно, при обновлении базы вручную необходимо устанавливать ВСЕ
отсутствующие у пользователя регулярные дополнения, после чего переписывать
файл "горячего" дополнения (вместо ранее имевшегося).

Для автоматизации получения и установки дополнений вирусной базы следует
использовать специальный скрипт из подкаталога update дистрибутива DrWeb:

> /usr/local/drweb/update/update.pl

Обновление происходит следующим образом:

- скрипт читает ini-файл (его можно указывать явно первым и единственным
аргументом в командной строке, например, update.pl /usr/local/etc/drweb/drweb32.ini);

- из ini-файла читаются следующие параметры:

  EnginePath (служит как для определения версии демона, так и для
  определения каталога, в который помещать принятый файл drweb32.dll),

  VirusBase (первая из указанных в этом параметре масок определяет,
  куда помещать принятые вирусные базы),

  UpdatePath (сюда помещаются все остальные принятые файлы),

  PidFile (из этого файла читается идентификатор процесса drwebd,
  который используется для перезагрузки демона);

- принимаются файлы и раскладываются по каталогам, как это описано выше
  (при этом принимаются все файлы для текущей версии Doctor Web; если в
  списке обновлений будут найдены секции от более поздних версий, для них
  будут приняты только *.vdb).

Перед использованием скрипта необходимо отредактировать строки, содержащие
адреса для загрузки файла с данными об обновлениях (их может быть несколько)
и указать, данные из какой секции конфигурационного файла необходимо
использовать (сканера или демона).


           3. ИСПОЛЬЗОВАНИЕ СКАНИРУЮЩЕГО МОДУЛЯ DOCTOR WEB

В этом разделе будет рассмотрено расположение файлов программы Doctor Web,
запуск программы, опции командной строки, а также структура
конфигурационного файла.


3.1. Расположение файлов пакета

Как уже говорилось, программа Doctor Web для FreeBSD по умолчанию
устанавливается в каталоги: /usr/local/drweb, /usr/local/etc/drweb and 
/var/drweb. Ниже описывается его содержимое.

- исполняемые модули программы - сканер (drweb) и демон (drwebd), а также
  антивирусное ядро как подгружаемая библиотека (/usr/local/drweb/lib/drweb32.dll);
- база данных известных вирусов (/var/drweb/bases/drwebase.vdb);
- конфигурационный файл (/usr/local/etc/drweb/drweb32.ini);
- файлы языковых ресурсов (например для работы с русскоязычным интерфейсом -
  /usr/local/drweb/lib/russian.dwl);
- в каталоге /usr/local/drweb/doc вы найдете документацию.

Здесь же можно видеть подкаталоги: doc, update и infected. Подкаталог doc
содержит документацию по отдельным аспектам использования программ пакета.
Состав документации подробнее рассмотрен в разделе 4.2.

В подкаталоге update можно видеть perl-скрипт для обновления программы
(update.pl) и описание процедуры ее проведения, англо- и русскоязычное
(readme.update и readme.update.rus).

Подкаталог infected предназначен для перемещения в него инфицированных файлов
при использовании соответствующих опций (см. ниже).


3.2. Запуск программы-сканера

Сканер Doctor Web - программа с текстовым интерфейсом, функционирующая в
консольном режиме (или в окне эмулятора терминала в X Window). Запуск ее в
Linux осуществляется из каталога /opt/drweb последовательностью команд

>  /usr/local/drweb/drweb

или, если каталог /usr/local/drweb внесен в переменную окружения командной
оболочки PATH, - из произвольного каталога. Впрочем, последний вариант не
рекомендуется из соображений безопасности, как и создание ссылки на
исполняемый файл drweb в каком-либо из каталогов типа /bin, /usr/bin и т.д.

Сканер может быть запущен как от лица администратора системы, так и от лица
обычного пользователя. Разумеется, в последнем случае проверка на вирусы
будет выполняться только в тех каталогах, к которым пользователь имеет
доступ с правом чтения, а лечение инфицированных файлов - в каталогах, в
которых он имеет право записи (как правило, это - домашний каталог
пользователя, $HOME). Кроме того, существуют и другие ограничения при
запуске сканера в пользовательском режиме (например, на перемещение и
переименование инфицированных файлов).

После запуска сканера на экран выводится заставка с названием программы и
ее целевой платформы, номером версии и датой ее выпуска, контактными координатами. 
Далее выводится сообщение о регистрационных данных пользователя и загрузке 
антивирусной базы данных, включая и ее обновления, если таковые были установлены:

        Dr.Web (R) для FreeBSD, версия 4.32.0 (2004-07-07)
        Copyright (c) Igor Daniloff, 1992-2004
        Служба поддержки: http://support.drweb.com
        Для регистрации: http://sales.drweb.com
        Тел. +7(095) 789-45-87 Факс +7(095) 789-45-97
        Командная строка: -path=tmp
        Загрузка /var/drweb/bases/drwebase.vdb - Ok, вирусных записей: 46736
        Загрузка /var/drweb/bases/drw43201.vdb - Ok, вирусных записей: 263
        Общее количество записей: 46999
        Ключевой файл: /usr/local/drweb/drweb32.key
        Регистрационные номер: XXXXXXXX

После этого возвращается приглашение командной оболочки. Все иные действия
по обнаружению и обезвреживанию вирусов требуют применения опций командной
строки.


4.4. Опции командной строки

Общий формат запуска программы следующий (предполагается, что текущим
является каталог /usr/local/drweb):

>  ./drweb -path=<путь> [опции]

где путь - путь к проверяемому каталогу или маска тестируемых файлов.
Запущенная без опций, только с указанием пути в качестве аргумента,
программа-сканер осуществляет проверку указанного каталога, например,
домашнего каталога пользователя, используя набор опций по умолчанию (о нем
- чуть ниже в этом разделе):

  ./drweb -path=~

после чего выдает отчет вида:

        Отчет для "/opt/drweb/tmp":
        Проверено      : 34/32           Исцелено      : 0
        Инфицировано   : 5/5             Удалено       : 0
        Модификаций    : 0/0             Переименовано : 0
        Подозрительных : 0/0             Перемещено    : 0
        Время проверки : 00:00:02        Скорость      : 5233 Kb/s

Числа, разделенные символом "/", означают: первое - общее количество
файлов, второе - файлов в архивах. Кроме того, при обнаружении файлов,
инфицированных известными вирусами, или файлов, подозрительных в этом
отношении, перед суммарным отчетом появляются соответствующие строки,
имеющие примерно следующий вид:

  /path/file инфицирован [вирусом] ИМЯ_ВИРУСА

Следует обратить внимание, что в состав дистрибутива программы Doctor Web
входит специальный тестовый файл eicar.txt. С помощью текстового редактора
из него легко изготовить программу eicar.com (см. указания об этом внутри
самого файла), которая ведет себя подобно вирусу, вызывая сообщение вида

  /path/clients/drwebdc/eicar.com инфицирован Eicar Test File (Not a Virus!)

Этот файл не является вирусом, но обычно используется для того, чтобы
протестировать реакцию антивируса на наличие вируса. С этой целью все
современные антивирусные программы включают информацию о нем в свои
вирусные базы.

Как и для любой Unix-программы, для сканера Doctor Web предусматриваются
многочисленные опции командной строки. Они отделяются от указания пути
пробелом и предваряются символом - (дефис). Полный список опций можно
получить, запустив программу drweb со следующими опциями: -?, -h, -help или
--help.

Основные опции программы могут быть сгруппированы следующим образом:

- опции области проверки;
- опции диагностики;
- опции действий;
- опции интерфейса.


Опции области проверки указывают, где следует проводить проверку на вирусы.
К ним относятся:

-@[+]<файл> - проверка объектов, перечисленных в данном файле, символ +
(плюс) предписывает не удалять файл списка объектов по окончании проверки;
файл списка может содержать пути к периодически проверяемым каталогам или
просто список подлежащих регулярной проверке файлов;

-sd - рекурсивный поиск и тестирование файлов в подкаталогах, начиная с
текущего;

-ml - проверка файлов почтовых программ;

-fl - следовать ссылкам, как для файлов, так и для каталогов; при этом
ссылки, приводящие к "зацикливанию", игнорируются.


Опции диагностики, определяющие, какие типы объектов должны проверяться на
вирусы, включают:

-al - диагностика всех файлов на заданном устройстве или в указанном в
качестве аргумента каталоге;

-ar[n] - проверка файлов в архивах (ARJ, CAB, GZIP, RAR, TAR, ZIP);
дополнительная опция n отключает вывод имен архиваторов; под архивом в
данном случае понимаются не только собственно архивы (например, вида
*.tar), но и их компрессированные формы (в частности, компрессированные
tar-архивы вида *.tar.gz и *.tgz);

-cn[n] - проверка файлов в контейнерах (HTML, RTF, PowerPoint,..);
дополнительная опция n отключает вывод типа контейнера;

-up[n] - проверка исполняемых файлов, упакованных LZEXE, DIET, PKLITE,
EXEPACK...; дополнительная опция n отключает вывод имен утилит упаковки;

-ex - диагностика файлов, имена которых соответствуют заданным маскам (см.
опцию конфигурационного файла FilesTypes, раздел 4.5);

-fm - диагностика файлов с внутренней структурой программных модулей;

-ha - эвристический анализ файлов, поиск неизвестных вирусов.


Опции действия определяют, какие манипуляции должны быть выполнены в
отношении инфицированных (или подозреваемых в этом) файлов. Они следующие:

-cu[dmr]- лечение инфицированных файлов; дополнительные опции
предписывают: d - удаление, m - перемещение, r - переименование
инфицированных файлов; 

-ic[dmr] - определяет действия для неизлечимых файлов: d - удаление, m -
перемещение, r - переименование неизлечимых файлов; 

-sp[dmr] - определяет действия для подозрительных файлов: d - удаление,
m - перемещение, r - переименование подозрительных файлов; 

Опции интерфейса определяют условия вывода результатов работы программы. К
ним относятся:

-ot - вывод информации на STDOUT, то есть стандартный вывод;

-oq - отключить вывод информации;

-ok - вывод сообщения 'Ok' для неинфицированных файлов;

-log=<файл> - запись протокола работы в указанный файл;

-ini=<файл> - использование альтернативного ini-файла;

-lng=<файл> - использование альтернативного файла языка; при выборе во
время установки английского языка интерфейса, для вывода сообщений на
русском языке в качестве такого файла следует указать russian.dwl.


Hекоторые из опций отменяют соответствующее им действие, если оканчиваются
символом - (минус). К ним принадлежат:

-ar -cu -ha -ic -fl -ml -ok -pr -sd

Hапример, при запуске сканера в форме

  drweb -path=<путь> -ha-

проверка на вирусы будет производиться без эвристического анализа файлов,
который обычно по умолчанию включен.

По умолчанию (то есть без указания опций), если не производились действия
по переконфигурированию программы (о которых будет сказано в следующем
разделе), программа-сканер запускается с опциями:

-ar -fm -ha -fl- -ml -pr -sd -up

Этот набор опций для сканера по умолчанию (включающий проверку архивов и
упакованных файлов, файлов почтовых программ, рекурсивный поиск,
эвристический анализ и т.д.) вполне целесообразен для целей диагностики и
может использоваться в большинстве типичных случаев. Если какая-либо из
опций по умолчанию не нужна в конкретной ситуации, ее можно отключить
посредством указания после нее символа - (минус), как это было показано
выше на примере опции ha (эвристический анализ).

К этому следует добавить, что отключение проверки архивированных и
упакованных файлов резко снижает уровень антивирусной защиты, так как
именно в виде архивов (часто самораспаковывающихся) распространяются
файловые вирусы в виде почтовых вложений. Документы прикладных программ,
потенциально подверженные инфицированию макровирусами (Word, Excel), также
обычно пересылаются по электронной почте в архивированном и упакованном
виде.

Однако при запуске сканера с опциями по умолчанию не осуществляется лечение
инфицированных файлов. Hе предусмотрены также никакие действия в отношении
неизлечимых файлов и файлов, подозрительных на вирусы. Все это требует
указания дополнительных опций командной строки - опций действия.

Hаборы опций действия могут разниться в каждом конкретном случае. Однако
обычно представляются целесообразными следующие:

-cu - лечение инфицированных файлов и системных областей, без удаления,
перемещения или переименования инфицированных файлов;

-icd - удаление неизлечимых файлов; 

-spm - перемещение или -spr - переименование подозрительных файлов; 

Запуск сканера с опцией лечения означает, что программа предпримет попытку
восстановить состояние инфицированного объекта до заражения его вирусом.
Это действие возможно только тогда, когда обнаружен известный вирус, причем
необходимые инструкции по излечению имеются в базе; однако и в этих случаях
попытка излечения может не быть успешной, например, если инфицированный
файл уже серьезно поврежден вирусом.

Следует отметить, что если при проверке архивов в их составе были
обнаружены инфицированные файлы, лечение последних, как и удаление,
перемещение или переименование, не производится. Для уничтожения вирусов в
таких объектах архивы должны быть вручную распакованы соответствующими
программными средствами, желательно в отдельный каталог, который и будет
использован как аргумент при повторном запуске сканера.

При запуске с опцией удаления программа уничтожит инфицированный файл на
диске. Она целесообразна для неизлечимых (то есть необратимо поврежденных
вирусом) файлов.

Опция переименования вызывает замену расширения имени файла на некое
установленное (по умолчанию - *.#??, т.е. первый символ расширения
заменяется символом #). Эту опцию целесообразно применять для файлов иных
операционных систем (например, DOS/Windows), выявленных при эвристическом
анализе как подозрительные. Переименование сделает невозможным случайный
запуск исполняемых модулей в этих системах, загрузку документов Word или
Excel вплоть до дальнейшей проверки и, таким образом, предотвратит
заражение возможным вирусом и дальнейшее его распространение.

Опция перемещения переместит зараженный (или подозрительный на вирус) файл
в предназначенный для этого каталог (по умолчанию - /var/drweb/infected). 
Впрочем, значение ее пока чисто теоретическое: для файлов других операционных систем
это не имеет смысла, так как они не могут нанести вреда хост-системе.
Перемещение же подозрительных в отношении вирусов файлов самой Unix-системы
может вызвать ошибки в работе системы, вплоть до полного ее отказа.

В результате форма запуска сканера для повседневного использования
представляется следующей:

  drweb -path=<путь> -cu -icd -spm -ar -fm -ha -fl- -ml -sd -up

Такая команда может быть сохранена в виде текстового файла, который затем с
помощью команды

  chmod a+x [имя]

может быть оформлен как сценарий командной оболочки, или серия сценариев
для различных ситуаций. Однако набор опций по умолчанию может быть изменен
и при настройке сканера, о чем будет говориться в следующем разделе.


3.4. Конфигурирование программы-сканера

Конечно, вы можете запустить сканер с настройками по умолчанию, но лучше
все же настроить его для соответствия вашим требованиям и условиям
эксплуатации. Файл drweb32.ini читается Dr.Web из каталога 
/usr/local/etc/drweb. Для использования другого файла конфигурации 
полный путь к нему необходимо указать ключом командной строки при запуске 
Dr.Web сканера, например:

$ /usr/local/sbin/drweb -ini=/usr/local/etc/drweb.ini

Конфигурационный файл представляет из себя текстовый файл (что позволяет 
редактировать его вашим любимым редактором), построенный по следующему принципу:

--- начало файла ---
[Имя секции 1]
Параметр1 = значение1, ..., значениеK
.....
ПараметрM = значение1, ..., значениеK

.....

[Имя секции X]
Параметр1 = значение1, ..., значениеK
.....
ПараметрY = значение1, ..., значениеK
--- конец файла ---

Если строка начинается с символов ";" или "#", то это означает,
что эта строка закомментирована (содержит комментарии) - такие строки
пропускаются Dr.Web сканером при чтении параметров из ini-файла. 

Крайне важно отметить, что если какой-то параметр Dr.Web сканера не задан, 
то это не означает, что у параметра нет значения, - оно будет взято по 
умолчанию (частая ошибка при настройке). Лишь некоторые параметры 
являются необязательными или не имеют значений по умолчанию, о чем 
будет специально сказано. Значения могут быть заключены в кавычки (и
должны быть заключены в кавычки, если содержат пробелы). Некоторые
параметры могут иметь несколько значений, разделителем является ","
(запятая), при описании параметра это будет сказано явно. Если в поле
значения параметра в данном описании значения заключены в {}, то параметр
может принимать только одно из этих значений. 

Имя секции настроек для сканера - [Scanner].

Параметры будут описываться следующим образом:

ИмяПараметра = ПсевдоЗначениеПараметра
        Описание параметра
        {Может ли иметь несколько значений}
        Значение по умолчанию: 
                { значение | отсутствует }

Описание параметров в порядке из следования в файле конфигурации, идущим
в дистрибутиве:

EnginePath = { путь к файлу, обычное расширение - dll }
        Расположение модуля drweb32.dll (поисковый модуль). Этот параметр
        также используется модулем обновления для обновления поискового
        модуля.
        Значение по умолчанию:
                /usr/local/drweb/lib/drweb32.dll

VirusBase = { список путей (масок) к файлам, обычное расширение - vdb }
        Маски для подключаемых вирусных баз. Этот параметр также
        используется модулем обновления для обновления баз антивируса.
        Допустимо перечисление нескольких масок.
        Значение по умолчанию:
                /var/drweb/bases

UpdatePath = { каталог }
        Этот параметр используется модулем обновления программы (update.pl) 
        и при его использовании должен быть задан обязательно.
        Значение по умолчанию: нет

TempPath = { каталог }
        Этот каталог используется антивирусным модулем (поисковым движком) 
        для создания временных файлов. При нормальной работе этот каталог 
        практически не используется, он используется, для распаковки 
        некоторых видов архивов или когда в системе не хватает памяти.
        Значение по умолчанию:
                отсутствует (используется /tmp)

LngFileName = { путь к файлу языковых ресурсов, обычное расширение - dwl }
        Расположение файла локализации.
        Значение по умолчанию:
                отсутствует (все сообщения выводятся на английском)

Key = { путь к файлу, обычное расширение - key }
        Расположение файла с регистрационным ключом (лицензией).
        Значение по умолчанию:
                /usr/local/drweb/drweb32.key
                
OutputMode = { Terminal | Quiet }
        Режим вывода информации при старте: (Terminal) на консоль, (Quiet) отменяет вывод.
        Значение по умолчанию: 
                Terminal
        
HeuristicAnalysis = { Yes | No }
        Включение/выключение использования эвристического анализатора, который
        позволяет находить неизвестные вирусы. Включение эвристического анализа делает 
        возможным обнаружение неизвестных вирусов по априорным соображениям об 
        устройстве вирусного кода. Особенностью этого типа поиска вирусов является 
        приблизительный, вероятностный характер обнаружения заражения, что позволяет 
        говорить не о зараженных, а лишь о подозрительных объектах. При отключении 
        этой строки осуществляется только поиск известных вирусов по вирусной 
        базе данных. Целый класс программ ввиду использования сходного с вирусами 
        кода может вызывать ложные срабатывания эвристического анализатора. Кроме 
        того, данный вид проверки может несколько увеличить время проверки на вирусы 
        (хотя это увеличение и незначительно). Эти обстоятельства могут быть доводами 
        в пользу отмены эвристического анализа. Вместе с тем, сохранение этого типа
        анализа увеличивает надежность антивирусной защиты. 
        Все файлы обнаруженные эвристиком лучше всего отправить разработчикам через
        сайт http://www.drweb.com (предпочтительнее) или на адрес newvirus@drweb.com. 
        Отправлять следует следующим способом - заархивировать
        файл в архив с паролем, пароль сообщить в теле письма при этом 
        желательно приложить отчет сканера.
        Значение по умолчанию: 
                No

ScanPriority = { значение }
        Приоритет сканирующих процессов демона. Значение параметра должно
        быть в диапазоне от -20 (высший приоритет) до 20 (низший приоритет)
        Значение по умолчанию: 
                0

FilesTypes = { список расширений }
        Типы файлов, которые будут проверяться при сканировании по типу,
        т.е. параметр ScanFiles имеет значение ByType. Допускаются символы
        "*" и "?". 
        Значение по умолчанию:
                EXE,COM,SYS,OV?,BAT,BIN,DRV,PRG,BOO,SCR,CMD,VXD,386,DLL,FON,DO?
                XL?,WIZ,RTF,CL*,HT*,VB*,JS*,INF,AR?,ZIP,R??,PP?,OBJ,LIB,HLP,MD?
                INI,MBR,IMG,CSC,CPL,MBP,SHS,SHB,PIF,SO,CHM,REG,XML,PRC,ASP,LSP
                MSO,OBD,THE*,NWS,SWF,BMP,MPP,OCX,DVB,CPY,MSG,EML

ScanFiles = { All | ByType | ByFormat }
        Файлы, которые необходимо проверять при извлечении из архивов. При
        задании ByType учитываются так называемые расширения файлов (т.е.
        самый последний суффикс после "." в имени файла; если "."
        отсутствует, у файла отсутствует расширение), значения которых
        заданы или по умолчанию, или в параметре (параметрах) FilesTypes. При
        задании ByFormat проверяются только файлы, включенные в проверяемое
        множество, выявляется, могут ли они быть переносчиками вирусов,
        т.е. исполняемыми файлами (имя и расширение файла во внимание не
        принимаются), и после этого только для файлов, являющихся
        предположительно исполняемыми, будет выполнено антивирусное
        сканирование. Важно замечание: внутри почтовых файлов всегда
        действует режим All. Значения ByType и ByFormat могут быть
        использованы только в режимах "локального" сканирования. 
        Значение по умолчанию: 
                All

ScanSubDirectories = { Yes | No }
        Должен ли сканер проверять содержимое подкаталогов, указанного каталога.
        Значение по умолчанию: 
                Yes

CheckPackedFiles = { Yes | No }
        Производить ли распаковку исполняемых файлов, упакованных утилитами
        DIET, PKLITE и т. д.
        Значение по умолчанию: 
                Yes

CheckArchives =  { Yes | No }
        Производить ли распаковку архивов форматов ZIP (WinZip, InfoZIP...),
        RAR, ARJ, TAR, GZIP и CAB.
        Значение по умолчанию: 
                Yes

CheckEMailFiles = { Yes | No }
        Производить ли проверку файлов в почтовых (e-mail) форматах.
        Значение по умолчанию: 
                Yes

ExcludePaths = { список путей (маск) для исключения их проверки }
        Маски для файлов, которые не должны быть проверены демоном.
        Значение по умолчанию:
                отсутствует

FollowLinks = { Yes | No }
        Следовать ли символическим ссылкам при сканировании.
        Значение по умолчанию: 
                No

RenameFilesTo = { маска }
        Маска для переименования файлов, если для данного типа файлов
        задано действие Rename (только для сканера).
        Значение по умолчанию:
                "#??" (это означает, что первая буква "расширения" файла
                      будет заменена на "#", а две следующие буквы сохранены. 
                      Если файл не имел "расширения", то оно будет состоять 
                      из одного символа "#".)

MoveFilesTo = { каталог }
        Каталог для перемещения файлов. Этот параметр используется только
        при интеграции демона и on-access сторожа для Samba.
        Значение по умолчанию:
                /var/drweb/infected

EnableDeleteArchiveAction = { Yes | No }
        Эта опция позволяет/запрещает сканеру применять действие Delete (Удалить)
        для различного рода контейнеров (архивы, почтовые ящики, html-страницы),
        если они содержат инфицированные объекты. Важно понимать, что будет
        удален весь файл контейнера, т.е. весь архив или весь почтовый ящик, а не 
        только инфицированное письмо.
        ВНИМАНИЕ: будьте осторожны с этой опцией
        Значение по умолчанию: 
                No

По умолчанию, сканер лишь сообщает в отчете о зараженных объектах, однако вы можете
задать другие действия для разных ситуаций:
        InfectedFiles - файл инфицирован известным вирусом
        SuspiciousFiles - возможно файл заражен неизвестным вирусом
        IncurableFiles - файл заражен и не может быть вылечен
               (имеет смысл, только если InfectedFiles = Cure)
        ActionInfectedMail - сообщение или почтовый ящик содержат
               инфицированный объект
        ActionInfectedArchive - архив (ZIP, TAR, RAR и другие) содержит
               инфицированный файл
        ActionInfectedContainer - контейнер (OLE, HTML, PowerPoint и другие)
               содержит инфицированный объект
Допустимы следующие действия для этих случаев:
        Report - только вывести информацию в отчет (по умолчанию)
        Cure - попытаться вылечить объект (только для InfectedFiles)
        Delete - удалить зараженный файл (контейнер)
        Move - переместить файл MoveFilesTo
        Rename - переименовать файл используя RenameFilesTo маску
        Значения по умолчанию:
                InfectedFiles = Report
                SuspiciousFiles = Report
                IncurableFiles = Report
                ActionInfectedArchive = Report
                ActionInfectedMail = Report
                ActionInfectedContainer = Report

LogFileName = { имя файла }
        Имя файла отчета. Можно в качестве имени указать "syslog", при этом
        отчет будет вестись средствами системного сервиса syslogd. При
        использовании syslog обратите внимание на опции
        SyslogFacility и SyslogPriority. Т.к. syslog имеет несколько файлов
        для протоколирования разных событий и разных степеней их важности, то
        основываясь на этих двух параметрах и содержимом конфигурационного
        файла syslog (обычно /etc/syslogd.conf), можно определить, куда будет
        писаться отчет демона.
        Значение по умолчанию: 
                "syslog"

SyslogFacility = { "Daemon" | "Local0" .. "Local7" | "Kern" | "User" | "Mail" }
        Тип записи при использовании системного сервиса syslogd.
        Значение по умолчанию: 
                "User"

SyslogPriority = { "Alert" | "Warning" | "Notice" | "Info" | "Error" }
        Приоритет записи при использовании системного сервиса syslogd.
        Значение по умолчанию: 
                "Info"

LimitLog = { Yes | No }
        Опция указывает надо ли ограничивать размер файла отчета.
        Значение по умолчанию: 
                "No" 

MaxLogSize = { Значение в Кб }
        Этот параметр задает максимальный размер файла отчета. Имеет
        смысл только если LimitLog = Yes.
        Значение по умолчанию: 
                512 
  
LogScanned = { Yes | No }
        Выводить ли в файл отчета информацию о всех проверяемых объектах
        независимо от того, обнаружены вирусы или нет.
        Значение по умолчанию: 
                No

LogPacked = { Yes | No }
        Выводить ли в файл отчета дополнительную информацию о файлах,
        упакованных утилитами DIET, PKLITE и т. д.
        Значение по умолчанию: 
                Yes

LogArchived = { Yes | No }
        Выводить ли в файл отчета дополнительную информацию об архиваторах.
        Значение по умолчанию: Y
                Yes

LogTime = { Yes | No }
        Выводить ли в файл отчета время каждой записи. Параметр не имеет
        смысла, если в имени LogFileName указано "syslog".
        Значение по умолчанию: 
                Yes

LogStatistics = { Yes | No }
        Эта опция указывает на то, что в лог будет также записана суммарная 
        статистика, одного задания для сканирования.
        Значение по умолчанию: 
                Yes

RecodeNonprintable = { Yes | No }
        Режим вывода в лог файл символов, не являющихся отображаемыми
        для данного терминала.
        Значение по умолчанию: 
                Yes
        
RecodeMode = { Replace | QuotedPrintable }
        Если значение RecodeNonprintable равно "Yes", то задает метод 
        перекодирования неотображаемых символов. Если равно значению 
        "Replace", то все такие символы заменяются на RecodeChar.        
        Значение по умолчанию: 
                Replace

RecodeChar = { "?" | "_" | ... }
        Если значение RecodeMode равно "Replace", то задает символ, на который
        будут заменены все неотображаемые символы.
        Значение по умолчанию:
                "_"

Следующие параметры могут быть использованы для уменьшение времени проверки
сканером (естественно, что за счет уменьшения количества проверяемых объектов
внутри архивов). 

MaxCompressionRatio = { значение }
        Максимальный коэффициент сжатия, т.е. отношение длины файла в
        распакованном виде к длине файла в запакованном виде, файла внутри
        архива. Если коэффициент превышает это значение, файл извлечен не
        будет - а значит не будет проверен. 
        Значение по умолчанию:
                отсутствует (коэффициентом сжатия игнорируется)

CompressionCheckThreshold = { значение в Kb }
        Минимальный размер файла внутри архива, начиная с которого будет
        производиться проверка коэффициента сжатия (если это разрешено
        ключом MaxCompressionRatio). 
        Значение по умолчанию:
                отсутствует (проверка параметра не производится)

MaxFileSizeToExtract = { значение в Kb }
        Максимальный размер файла, извлекаемого из архива. Если размер
        файла внутри архива превышает это значение, он будет пропущен.
        Значение по умолчанию:
                отсутствует (извлекаются файлы любого размера)

MaxArchiveLevel = { value }
        Максимальный уровень вложенности архивов (когда архив вложен в
        архив, которые тоже вложен в архив и т.д.)
        Значение по умолчанию:
                отсутствует (извлекаются архивы любой вложенности)


                         4. КОНТАКТЫ

Программа Dr.Web находится в постоянном развитии, наиболее свежую
информацию о ее обновлениях и новости можно получить на сайтах:

http://www.drweb.com

Отдел продаж: sales@drweb.com
         
Консультации пользователей осуществляются по следующим адресам:
WWW: http://support.drweb.com
e-mail: support@drweb.com

В письме желательно дать следующую дополнительную информацию, которая
поможет лучше разобраться в ситуации:

- полное название и версию дистрибутива Unix-системы;
- версию программы Dr.Web;
