        Антивирус Doctor Web для Linux, FreeBSD и Solaris
                         Версия 4.31

             Copyright (c) 1992-2004, Игорь Данилов
     Антивирусная лаборатория И.Данилова, ЗАО "ДиалогНаука"

                   Руководство пользователя


1. ВВЕДЕНИЕ
2. ОБЩАЯ ХАРАКТЕРИСТИКА ПРОГРАММЫ DOCTOR WEB
3. УСТАНОВКА ПРОГРАММЫ DOCTOR WEB
  3.1. Установка Doctor Web для Linux
  3.2. Установка Doctor Web для FreeBSD
  3.3. Установка Doctor Web для Solaris
  3.4. Регистрация пакета
  3.5. Обновление программы и вирусной базы данных
4. ИСПОЛЬЗОВАНИЕ СКАНИРУЮЩЕГО МОДУЛЯ DOCTOR WEB
  4.1. Расположение файлов пакета
  4.2. Файлы электронной документации
  4.3. Запуск программы-сканера
  4.4. Опции командной строки
  4.5. Конфигурирование программы-сканера
5. КОНТАКТЫ
           

                         1. ВВЕДЕНИЕ

Антивирусная программа Dоctor Web, включавшая ранее версии для Windows
95/98/Me/NT/2000/XP, DOS/386, OS/2 и Novell NetWare, в настоящее время
предлагается и в версиях для двух открытых Unix-подобных систем - Linux и
FreeBSD, а также для одного из коммерческих вариантов Unix - Sun Solaris
(Intel).

Следует заметить, что проблема борьбы с вирусами в Unix-подобных
операционных системах (далее - Unix-системах) имеет два аспекта. Первый -
это локальная защита системы и пользовательских данных от деструктивного
воздействия программ-вирусов. До недавнего времени этот аспект представлял
чисто теоретический интерес. Однако, начиная с января 2001 года, с ним
может столкнуться практически любой пользователь Unix-систем (в первую
очередь - ОС Linux, как наиболее распространенной из них), подобно
пользователю таких настольных ОС, как Windows любой версии.

Второй аспект - это диагностика и обезвреживание вирусов при использовании
Unix-систем в качестве платформы коммуникационных служб, в первую очередь -
почтовых серверов, файловых серверов локальных сетей и т.д. Причем вирусы
эти могут быть (и в большинстве случаев являются) отнюдь не специфичными
для Unix-систем - через локальные сети и почтовые службы будут
распространяться обычные Windows-вирусы, в том числе и макровирусы для
Word, Excel и других офисных приложений.

Антивирусная программа Doctor Web для Unix-систем выполняет обе функции. С
одной стороны, это сканер DrWeb для обнаружения и лечения вирусов на
локальной машине. С другой, в комплект входит резидентный компонент (демон)
DrWebD, который может использоваться практически в любых схемах обработки
данных в качестве подключаемого внешнего антивирусного фильтра. Hапример,
почтовые системы (такие как Communigate Pro, Sendmail, Qmail, Exim, Postfix,
Zmailer и др.) могут быть достаточно легко и гибко настроены на использование
демона DrWebD для проверки проходящих через почтовый сервер сообщений
e-mail.

В настоящем руководстве будет рассмотрен первый аспект использования
программы Doctor Web в Unix-системах, а именно обнаружение и нейтрализация
вирусов на локальной машине. Здесь мы остановимся на следующих моментах:

- общая характеристика программы, различия между ее версиями (глава 2);
- установка программы из пакетов различных форматов (глава 3);
- использование сканера вирусов, преимущественно на локальной машине
  (глава 4).

Что касается второго аспекта, то он отражен в отдельном руководстве.

В заключении приведена информация для контактов с разработчиками и службой
технической поддержки.

Следует сказать, что программа Doctor Web находится в постоянном развитии.
Обновления базы данных известных вирусов выходят практически ежедневно (как
правило, несколько раз в день). Hовые версии самой программы появляются в
среднем с периодичностью 2-3 месяца. Изменения в программе касаются как
совершенствования приемов диагностики и борьбы с вирусами, так и средств
интеграции с другими приложениями Unix-систем. Кроме того, постоянно
расширяется круг приложений, способных работать совместно с Doctor Web.
Поэтому не исключено, что некоторые детали настройки и использования
текущей версии будут отличаться от описанных в настоящем руководстве. Для
получения наиболее актуальной информации о программе следует обратиться к
файлам электронной документации, входящим в комплект поставки, которые
будут упомянуты в разделе 4.2.


            2. ОБЩАЯ ХАРАКТЕРИСТИКА ПРОГРАММЫ DOCTOR WEB

Программа Doctor Web для Linux совместима со всеми основными современными
дистрибутивами Linux, работающими на платформе Intel, - RedHat, ASPLinux,
Slackware, SuSE, Mandrake и многими другими. Программа Doctor Web для
FreeBSD работает с FreeBSD версий 3 и 4. Программа Doctor Web для Solaris
работает с Solaris версии 8.

С точки зрения аппаратного обеспечения требования Doctor Web совпадают с
требованиями консольного (текстового) режима операционных систем, для
которых он предназначен, - Linux, FreeBSD и Solaris. Для установки программы
(сканера и демона) требуется около 2,5 Мбайт дискового пространства.

Ознакомительные версии для всех вариантов поставки программы свободно
доступны на сайтах http://www.DialogNauka.ru и http://www.drweb.ru.

Функциональность ознакомительных версий ограничена обнаружением вирусов,
лечение не производится. При этом сканер не выполняет также проверку
файлов, находящихся внутри архивов, почтовых баз и упакованных программами
для сжатия исполняемых модулей (DIET, PKLITE и т.д.). Hа работу демона
накладываются те же ограничения, за исключением работы с почтовыми базами и
упакованными программами. Для превращения ознакомительной версии в
полнофункциональную требуется регистрация.

Кроме собственно программы, на сайте производителя доступны регулярные
обновления базы данных известных вирусов. Это единые (для всех платформ)
файлы drwXXXXX.vdb, представляющие собой очередные (регулярные) обновления
вирусной базы, выпускаемые раз в неделю, и drwtoday.vdb - "горячие"
дополнения, появляющиеся ежедневно или несколько раз в день.


                 3. УСТАНОВКА ПРОГРАММЫ DOCTOR WEB

Дистрибутив Doctor Web распространяется в двух форматах:

- в виде rpm-пакета drweb-VER-glibc.?.?.i386.rpm, ориентированного на
использование с системой Linux (дистрибутив Red Hat и совместимые с ним);

- в виде tgz-архива (drweb-VER-OS.tgz), содержащего, помимо собственно
архивированных программных модулей, также инсталляционный скрипт для
установки; этот вариант поставки не привязан к какому-либо конкретному
дистрибутиву системы. Doctor Web имеет собственную иерархию в /usr/local
при установке этого типа дистрибутива.

Обе формы включают в себя все необходимые компоненты для установки и работы
Doctor Web. Установка из rpm-пакета требует поддержки этого формата
дистрибутивом системы. При использовании пакета tgz единственное требование
для запуска инсталляционного скрипта - только наличие bash-совместимой
командной оболочки.


3.1. Установка Doctor Web для Linux

Программа Doctor Web поставляется в форме пакета rpm и устанавливается
стандартным образом - с помощью утилиты управления пакетами rpm:

  rpm -ihv drweb-VER-glibc.?.?.i386.rpm

выполняемой c администраторскими правами. В результате rpm-пакет
устанавливается (по умолчанию) в каталог /opt/drweb, файл конфигурации - в
каталог /etc/drweb.

Разумеется, для установки Doctor Web из rpm-пакета можно воспользоваться и
утилитами графического режима, такими, как kpackage (в среде KDE), Software
Manager (в дистрибутиве Linux Mandrake) и т.д.


3.2. Установка Doctor Web для FreeBSD

Установка программы Doctor Web в системе FreeBSD осуществляется из tgz-архива
и начинается с его распаковки в произвольный каталог, в результате чего в нем
образуется подкаталог ~/drweb-VER-freebsdN. 

3.3. Установка Doctor Web для Solaris

Установка программы Doctor Web в системе Solaris осуществляется подобно
установке Doctor Web для FreeBSD


3.4. Регистрация пакета

Сразу после установки программа Doctor Web может быть запущена только в
качестве ознакомительной версии. Для превращения ее в полнофункциональную
необходимо получение регистрационного ключа от распространителя программы или
дилера, у которого она была приобретена. Регистрационный ключ - это файл,
обычно поставляемый под именем drweb32.key. Его надлежит скопировать в
каталог, в который установлена программа.

Но поскольку в установках по умолчанию (в конфигурационном файле) прописано
имя файла ключа, надо скорректировать соответствующие строки (см. раздел
4.5) конфигурационного файла. Чтобы использовать новый ключевой файл, надо
отредактировать значение параметра Key в соответствующей секции. Например,
вместо

--- cut ---
...
[Scanner]
Key = "/opt/drweb/drweb.key"
...
--- cut ---

записать

--- cut ---
...
[Scanner]
Key = "/opt/drweb/drweb32.key"
...
--- cut ---

Важное замечание - ключевой файл НЕ является текстовым и не подлежит
редактированию в любом виде, в том числе и автоматической конвертации,
производимой некоторыми программами. Часто приходится сталкиваться с
проблемой, когда ключевой файл был конвертирован не в меру интеллектуальной
почтовой программой из DOS формата (с концами строк вида CR LF (в
шестнадцатеричном виде 0D 0A) в UNIX формат (с концами строк вида LF (в
шестнадцатеричном виде 0A)).


3.5. Обновление программы и вирусной базы данных

Как и любой антивирусный пакет, программа Doctor Web нуждается в регулярном
обновлении базы данных известных вирусов. Задача эта решается следующим
образом: вирусная база состоит из нескольких файлов вида *.vdb,
представляющих собой отдельные ее части. При появлении новых вирусов
выпускаются небольшие (размером в один или несколько Кб) файлы, которые
содержат фрагменты базы, описывающие эти вирусы. Эти фрагменты (дополнения
вирусной базы) оперативно доступны по адресу
http://www.DialogNauka.ru/drweb/free

Дополнения представляют собой файлы (единые для всех поддерживаемых
платформ) вида drwtoday.vdb (ежедневные "горячие" обновления) и
drwXXXXX.vdb (регулярные обновления, появляющиеся обычно еженедельно). Для
того чтобы подключить дополнение к основной вирусной базе, соответствующий
файл должен быть помещен в каталог программы Doctor Web (по умолчанию - в
/opt/drweb для Linux, в /usr/local/drweb для FreeBSD и Solaris), или иной
каталог, определенный в конфигурационном файле (см. раздел 4.5).

Периодически (в частности, в связи с появлением радикально новых вирусных и
антивирусных технологий) выпускаются новые версии пакета с обновленными
алгоритмами, заложенными в антивирусное ядро. Одновременно с этим сводятся
воедино все ранее выпущенные дополнения базы, и новая версия комплектуется
актуализированной основной базой, содержащей описания всех известных на
момент ее выхода вирусов. Как правило, при переходе на новую версию пакета
сохраняется преемственность формата баз, т.е. новые базы могут быть
подключены к старому ядру. Однако при этом не гарантируется обнаружение или
излечение новых вирусов, для борьбы с которыми потребовались обновленные
алгоритмы антивирусного ядра.

При регулярном получении дополнений вирусная база пакета приобретает
следующую структуру:

- drwebase.vdb - основная база, получаемая вместе с новой версией пакета;
- drwXXXXX.vdb - регулярные (еженедельные) дополнения вирусной базы;
- drwtoday.vdb - "горячие" дополнения, появляющиеся ежедневно или
  несколько раз в сутки.

Особенность установки "горячих" дополнений связана с тем, что в промежутке
между выходом регулярных (нумерованных) дополнений файл drwtoday.vdb
пополняется новыми записями, т.е. его необходимо устанавливать вместо ранее
имевшегося. В момент выхода очередного регулярного дополнения все записи из
этого файла переписываются в очередное дополнение, а он сам очищается
(выпускается файл drwtoday.vdb, не содержащий ни одной записи базы данных).
Следовательно, при обновлении базы вручную необходимо устанавливать ВСЕ
отсутствующие у пользователя регулярные дополнения, после чего переписывать
файл "горячего" дополнения (вместо ранее имевшегося).

Для автоматизации получения и установки дополнений вирусной базы следует
использовать специальный скрипт из подкаталога update дистрибутива DrWeb:

   /opt/drweb/update/update.pl

Обновление происходит следующим образом:

- скрипт читает ini-файл (его можно указывать явно первым и единственным
аргументом в командной строке, например, update.pl /etc/drweb/drweb32.ini);

- из ini-файла читаются следующие параметры:

  EnginePath (служит как для определения версии демона, так и для
  определения каталога, в который помещать принятый файл drweb32.dll),

  VirusBase (первая из указанных в этом параметре масок определяет,
  куда помещать принятые вирусные базы),

  UpdatePath (сюда помещаются все остальные принятые файлы),

  PidFile (из этого файла читается идентификатор процесса drwebd,
  который используется для перезагрузки демона);

- принимаются файлы и раскладываются по каталогам, как это описано выше
  (при этом принимаются все файлы для текущей версии Doctor Web; если в
  списке обновлений будут найдены секции от более поздних версий, для них
  будут приняты только *.vdb).

Перед использованием скрипта необходимо отредактировать строки, содержащие
адреса для загрузки файла с данными об обновлениях (их может быть несколько)
и указать, данные из какой секции конфигурационного файла необходимо
использовать (сканера или демона).


           4. ИСПОЛЬЗОВАНИЕ СКАНИРУЮЩЕГО МОДУЛЯ DOCTOR WEB

В этом разделе будет рассмотрено расположение файлов программы Doctor Web,
запуск программы, опции командной строки, а также структура
конфигурационного файла.


4.1. Расположение файлов пакета

Как уже говорилось, программа Doctor Web для Linux по умолчанию
устанавливается в каталог /opt, где создается подкаталог /opt/drweb. Ниже
описывается его содержимое.

- исполняемые модули программы - сканер (drweb) и демон (drwebd), а также
  антивирусное ядро как подгружаемая библиотека (drweb32.dll);
- база данных известных вирусов (drwebase.vdb);
- конфигурационный файл (drweb32.ini);
- файлы языковых ресурсов (для работы с русскоязычным интерфейсом -
  russian.dwl);
- файлы регистрационных ключей drweb.key и drwebd.key;
- краткое описание программы на английском (README) и русском (README.RUS)
  языках.

Здесь же можно видеть подкаталоги: doc, update и infected. Подкаталог doc
содержит документацию по отдельным аспектам использования программ пакета.
Состав документации подробнее рассмотрен в разделе 4.2.

В подкаталоге update можно видеть perl-скрипт для обновления программы
(update.pl) и описание процедуры ее проведения, англо- и русскоязычное
(readme.update и readme.update.rus).

Подкаталог infected предназначен для перемещения в него инфицированных файлов
при использовании соответствующих опций (см. ниже).

Версии Doctor Web для FreeBSD и для Solaris устанавливаются в каталог
/usr/local/drweb, структура которого аналогична таковой для Linux-версии.


4.2. Файлы электронной документации

Следует задержать внимание на расположении и составе файлов электронной
документации, входящих в комплект поставки. Пользователю, вероятно,
придется обращаться к ним, так как программа Doctor Web постоянно
развивается и совершенствуется.

Вся документация по программе представлена в виде обычных текстовых файлов
и присутствует в двух вариантах - англоязычном и русскоязычном (в кодировке
KOI8-R). В корневом каталоге программы (/opt/drweb и /usr/local/drweb, для
Linux- и FreeBSD-Solaris-версий соответственно) имеются файлы README и
README.RUS, содержащие общую характеристику программы, описание ее
возможностей и ограничений, а также краткие указания по установке и
настройке программы.


4.3. Запуск программы-сканера

Сканер Doctor Web - программа с текстовым интерфейсом, функционирующая в
консольном режиме (или в окне эмулятора терминала в X Window). Запуск ее в
Linux осуществляется из каталога /opt/drweb последовательностью команд

  cd /opt/drweb
  ./drweb

или, если каталог /opt/drweb внесен в переменную окружения командной
оболочки PATH, - из произвольного каталога. Впрочем, последний вариант не
рекомендуется из соображений безопасности, как и создание ссылки на
исполняемый файл drweb в каком-либо из каталогов типа /bin, /usr/bin и т.д.

Во FreeBSD и Solaris соответствующие команды выглядят так:

  cd /usr/local/drweb
  ./drweb

Сканер может быть запущен как от лица администратора системы, так и от лица
обычного пользователя. Разумеется, в последнем случае проверка на вирусы
будет выполняться только в тех каталогах, к которым пользователь имеет
доступ с правом чтения, а лечение инфицированных файлов - в каталогах, в
которых он имеет право записи (как правило, это - домашний каталог
пользователя, $HOME). Кроме того, существуют и другие ограничения при
запуске сканера в пользовательском режиме (например, на перемещение и
переименование инфицированных файлов).

После запуска сканера на экран выводится заставка с названием программы и
ее целевой платформы (Linux, FreeBSD или Solaris), номером версии и датой
ее выпуска, контактными координатами. Далее выводится сообщение о
регистрационных данных пользователя и загрузке антивирусной базы данных,
включая и ее обновления, если таковые были установлены:

  Ключевой файл: /opt/drweb/drwebd.key
  Регистрационные данные:
  xxxxxxxxxxx
  Имя_пользователя
  Загрузка /opt/drweb/drwtoday.vdb - Ok, вирусных записей: 4
  Загрузка /opt/drweb/drw42602.vdb - Ok, вирусных записей: 40
  Загрузка /opt/drweb/drw42601.vdb - Ok, вирусных записей: 59
  Загрузка /opt/drweb/drwebase.vdb - Ok, вирусных записей: 26390

После этого возвращается приглашение командной оболочки. Все иные действия
по обнаружению и обезвреживанию вирусов требуют применения опций командной
строки.


4.4. Опции командной строки

Общий формат запуска программы следующий (предполагается, что текущим
является каталог /opt/drweb для Linux-версии и /usr/local/drweb - для
FreeBSD- и Solaris-версий):

  ./drweb -path=<путь> [опции]

где путь - путь к проверяемому каталогу или маска тестируемых файлов.
Запущенная без опций, только с указанием пути в качестве аргумента,
программа-сканер осуществляет проверку указанного каталога, например,
домашнего каталога пользователя, используя набор опций по умолчанию (о нем
- чуть ниже в этом разделе):

  ./drweb -path=~

после чего выдает отчет вида:

  Отчет для "/home/USERNAME":
  Проверено      : 11641/9639      Исцелено      : 0
  Инфицировано   : 4/4             Удалено       : 0
  Модификаций    : 0/0             Переименовано : 0
  Подозрительных : 0/0             Перемещено    : 0
  Время проверки : 00:03:59        Скорость      : 1412 Kb/s

Числа, разделенные символом "/", означают: первое - общее количество
файлов, второе - файлов в архивах. Кроме того, при обнаружении файлов,
инфицированных известными вирусами, или файлов, подозрительных в этом
отношении, перед суммарным отчетом появляются соответствующие строки,
имеющие примерно следующий вид:

  /path/file инфицирован [вирусом] ИМЯ_ВИРУСА

Следует обратить внимание, что в состав дистрибутива программы Doctor Web
входит специальный тестовый файл eicar.txt. С помощью текстового редактора
из него легко изготовить программу eicar.com (см. указания об этом внутри
самого файла), которая ведет себя подобно вирусу, вызывая сообщение вида

  /path/clients/drwebdc/eicar.com инфицирован Eicar Test File (Not a Virus!)

Этот файл не является вирусом, но обычно используется для того, чтобы
протестировать реакцию антивируса на наличие вируса. С этой целью все
современные антивирусные программы включают информацию о нем в свои
вирусные базы.

Как и для любой Unix-программы, для сканера Doctor Web предусматриваются
многочисленные опции командной строки. Они отделяются от указания пути
пробелом и предваряются символом - (дефис). Полный список опций можно
получить, запустив программу drweb со следующими опциями: -?, -h, -help или
--help.

Основные опции программы могут быть сгруппированы следующим образом:

- опции области проверки;
- опции диагностики;
- опции действий;
- опции интерфейса.


Опции области проверки указывают, где следует проводить проверку на вирусы.
К ним относятся:

-@[+]<файл> - проверка объектов, перечисленных в данном файле, символ +
(плюс) предписывает не удалять файл списка объектов по окончании проверки;
файл списка может содержать пути к периодически проверяемым каталогам или
просто список подлежащих регулярной проверке файлов;

-sd - рекурсивный поиск и тестирование файлов в подкаталогах, начиная с
текущего;

-ml - проверка файлов почтовых программ;

-fl - следовать ссылкам, как для файлов, так и для каталогов; при этом
ссылки, приводящие к "зацикливанию", игнорируются.


Опции диагностики, определяющие, какие типы объектов должны проверяться на
вирусы, включают:

-al - диагностика всех файлов на заданном устройстве или в указанном в
качестве аргумента каталоге;

-ar[n] - проверка файлов в архивах (ARJ, CAB, GZIP, RAR, TAR, ZIP);
дополнительная опция n отключает вывод имен архиваторов; под архивом в
данном случае понимаются не только собственно архивы (например, вида
*.tar), но и их компрессированные формы (в частности, компрессированные
tar-архивы вида *.tar.gz и *.tgz);

-up[n] - проверка исполняемых файлов, упакованных LZEXE, DIET, PKLITE,
EXEPACK...; дополнительная опция n отключает вывод имен утилит упаковки;

-ex - диагностика файлов, имена которых соответствуют заданным маскам (см.
опцию конфигурационного файла FilesTypes, раздел 4.5);

-fm - диагностика файлов с внутренней структурой программных модулей;

-ha - эвристический анализ файлов, поиск неизвестных вирусов.


Опции действия определяют, какие манипуляции должны быть выполнены в
отношении инфицированных (или подозреваемых в этом) файлов. Они следующие:

-cu[dmr]- лечение инфицированных файлов; дополнительные опции
предписывают: d - удаление, m - перемещение, r - переименование
инфицированных файлов; 

-ic[dmr] - определяет действия для неизлечимых файлов: d - удаление, m -
перемещение, r - переименование неизлечимых файлов; 

-sp[dmr] - определяет действия для подозрительных файлов: d - удаление,
m - перемещение, r - переименование подозрительных файлов; 

Опции интерфейса определяют условия вывода результатов работы программы. К
ним относятся:

-ot - вывод информации на STDOUT, то есть стандартный вывод;

-oq - отключить вывод информации;

-ok - вывод сообщения 'Ok' для неинфицированных файлов;

-log=<файл> - запись протокола работы в указанный файл;

-ini=<файл> - использование альтернативного ini-файла;

-lng=<файл> - использование альтернативного файла языка; при выборе во
время установки английского языка интерфейса, для вывода сообщений на
русском языке в качестве такого файла следует указать russian.dwl.


Hекоторые из опций отменяют соответствующее им действие, если оканчиваются
символом - (минус). К ним принадлежат:

-ar -cu -ha -ic -fl -ml -ok -pr -sd

Hапример, при запуске сканера в форме

  drweb -path=<путь> -ha-

проверка на вирусы будет производиться без эвристического анализа файлов,
который обычно по умолчанию включен.

По умолчанию (то есть без указания опций), если не производились действия
по переконфигурированию программы (о которых будет сказано в следующем
разделе), программа-сканер запускается с опциями:

-ar -fm -ha -fl- -ml -pr -sd -up

Этот набор опций для сканера по умолчанию (включающий проверку архивов и
упакованных файлов, файлов почтовых программ, рекурсивный поиск,
эвристический анализ и т.д.) вполне целесообразен для целей диагностики и
может использоваться в большинстве типичных случаев. Если какая-либо из
опций по умолчанию не нужна в конкретной ситуации, ее можно отключить
посредством указания после нее символа - (минус), как это было показано
выше на примере опции ha (эвристический анализ).

К этому следует добавить, что отключение проверки архивированных и
упакованных файлов резко снижает уровень антивирусной защиты, так как
именно в виде архивов (часто самораспаковывающихся) распространяются
файловые вирусы в виде почтовых вложений. Документы прикладных программ,
потенциально подверженные инфицированию макровирусами (Word, Excel), также
обычно пересылаются по электронной почте в архивированном и упакованном
виде.

Однако при запуске сканера с опциями по умолчанию не осуществляется лечение
инфицированных файлов. Hе предусмотрены также никакие действия в отношении
неизлечимых файлов и файлов, подозрительных на вирусы. Все это требует
указания дополнительных опций командной строки - опций действия.

Hаборы опций действия могут разниться в каждом конкретном случае. Однако
обычно представляются целесообразными следующие:

-cu - лечение инфицированных файлов и системных областей, без удаления,
перемещения или переименования инфицированных файлов;

-icd - удаление неизлечимых файлов; 

-spm - перемещение или -spr - переименование подозрительных файлов; 

Запуск сканера с опцией лечения означает, что программа предпримет попытку
восстановить состояние инфицированного объекта до заражения его вирусом.
Это действие возможно только тогда, когда обнаружен известный вирус, причем
необходимые инструкции по излечению имеются в базе; однако и в этих случаях
попытка излечения может не быть успешной, например, если инфицированный
файл уже серьезно поврежден вирусом.

Следует отметить, что если при проверке архивов в их составе были
обнаружены инфицированные файлы, лечение последних, как и удаление,
перемещение или переименование, не производится. Для уничтожения вирусов в
таких объектах архивы должны быть вручную распакованы соответствующими
программными средствами, желательно в отдельный каталог, который и будет
использован как аргумент при повторном запуске сканера.

При запуске с опцией удаления программа уничтожит инфицированный файл на
диске. Она целесообразна для неизлечимых (то есть необратимо поврежденных
вирусом) файлов.

Опция переименования вызывает замену расширения имени файла на некое
установленное (по умолчанию - *.#??, т.е. первый символ расширения
заменяется символом #). Эту опцию целесообразно применять для файлов иных
операционных систем (например, DOS/Windows), выявленных при эвристическом
анализе как подозрительные. Переименование сделает невозможным случайный
запуск исполняемых модулей в этих системах, загрузку документов Word или
Excel вплоть до дальнейшей проверки и, таким образом, предотвратит
заражение возможным вирусом и дальнейшее его распространение.

Опция перемещения переместит зараженный (или подозрительный на вирус) файл
в предназначенный для этого каталог (по умолчанию - /opt/drweb/infected/ в
Linux или /usr/local/drweb/infected/ во FreeBSD и Solaris). Впрочем,
значение ее пока чисто теоретическое: для файлов других операционных систем
это не имеет смысла, так как они не могут нанести вреда хост-системе.
Перемещение же подозрительных в отношении вирусов файлов самой Unix-системы
может вызвать ошибки в работе системы, вплоть до полного ее отказа.

В результате форма запуска сканера для повседневного использования
представляется следующей:

  drweb -path=<путь> -cu -icd -spm -ar -fm -ha -fl- -ml -sd -up

Такая команда может быть сохранена в виде текстового файла, который затем с
помощью команды

  chmod a+x [имя]

может быть оформлен как сценарий командной оболочки, или серия сценариев
для различных ситуаций. Однако набор опций по умолчанию может быть изменен
и при настройке сканера, о чем будет говориться в следующем разделе.


4.5. Конфигурирование программы-сканера

Конфигурирование программы Doctor Web для Unix осуществляется
редактированием файла /etc/drweb/drweb32.ini, состоящего из двух секций - 
[Scanner] и [Daemon]. В настоящем руководстве будут рассмотрены только
настройки программы-сканера.

Каждая секция содержит строки следующего вида:

  EnginePath = "/opt/drweb/drweb32.dll"
  VirusBase = "/opt/drweb/*.vdb"
  MoveFilesTo = "/opt/drweb/infected"
  LngFileName = "/opt/drweb/russian.dwl"

Они описывают пути к основной библиотеке программы (ядру), маску файлов баз
данных известных вирусов, каталог для перемещения инфицированных файлов (если
последние не удаляются при лечении) и модуль языковой поддержки,
соответственно. В частности, чтобы использовать файлы обновления вирусной
базы, полученные из Windows-систем, без переименования буквами нижнего
регистра, строку VirusBase целесообразно дать в форме:

  VirusBase = "/opt/drweb/*.vdb,/opt/drweb/*.VDB"

Относительно языковой поддержки нужно отметить следующее. Если оставить
пустой строку LngFileName, будет принято ее значение по умолчанию, то есть
все сообщения программы будут выводиться на английском. В этом случае при
необходимости прибегнуть к русскоязычному интерфейсу, сканер можно
запустить с соответствующей опцией командной строки, как об этом было
сказано в разделе 4.4. В обратном случае, т.е. если в конфигурационным
файле включен русскоязычный интерфейс, то для временного использования
английского языка сканер следует запустить с пустым именем файла в опции
-lng.

В первых строках секции [Scanner] указывается путь к регистрационному файлу
и log-файлу для записи произведенных действий, а также маска для
переименования инфицированных файлов:

  Key = "/opt/drweb/drweb.key"
  LogFileName = "/var/log/drweb.log"
  RenameFilesTo = #??

Значение опции Key здесь должно точно соответствовать имени файла
регистрационного ключа в каталоге /opt/drweb, о чем уже говорилось в
разделе о регистрации программы (3.4). Если опция Key не задана, то по
умолчанию принимается значение /opt/drweb/drweb32.key.

Опцией 

  OutputMode = Terminal или Quiet

включается и выключает вывод сканера на консоль.  

Для задания уровня детализации в файле отчета пользуйтесь следующими
опциями:

  LogTime = Yes
  LogScanned = Yes
  LogPacked = Yes
  LogArchived = Yes 
  
первая опция указывает на то, что любая строка в логе предваряется текущей 
датой, вторая опция указывает на то, что в лог должна выводится информация
и о "чистых" файлах, третья указывает на то, что должна выводится информация
об упаковщиках выполняемых файлах, последняя говорит о том, надо выводить
дополнительную информацию о архивах.
  
Для задания различных режимов логирования, можно пользоваться следующими
опциями:
  
  LogStatistics = Yes
  LimitLog = Yes
  MaxLogSize = Значение в Кб
  
Первая опция указывает на то, в лог будет также записана суммарная статистика,
одного задания для сканирования. С помощью второй опции можно ограничить размер
файла отчета, а третий парамерт задает максимальную длину файла отчета. 

Следующая группа строк описывает типы файлов, подлежащих проверке на вирусы
(при установке соответствующего значения строки ScanFiles = ByType, о чем
чуть ниже):

  FilesTypes = EXE,COM,SYS,OV?,...

и их маски:

  UserMasks = "*.EXE","*.COM","*.SYS","*.OV?",...

Hаконец, последняя, самая многочисленная, группа строк определяет опции
запуска сканера по умолчанию:

  ScanFiles = ByFormat
  HeuristicAnalysis = Yes
  CheckPackedFiles = Yes
  CheckArchives = Yes
  CheckEMailFiles = Yes
  ...

и так далее. Именно здесь надлежит вносить изменения для индивидуальной
настройки сканера, избавляющие от необходимости ввода многочисленных опций
непосредственно в командной строке. Подробные комментарии к каждой строке
этого раздела можно получить в руководстве по использованию демона.
Остановимся лишь на наиболее важных из них.

Строка 

  ScanPriority = Значение

устанавливает приоритет сканера. Значение параметра должно быть в диапазоне 
от -20 (высший приоритет) до 20 (низший приоритет). Чем выше приоритет, тем 
больше времени ОС отдает этому процессу.

Строка

  ScanFiles = ByFormat

устанавливает, что сканер выявит по внутреннему формату файлов, включенных
в проверяемое множество, могут ли они быть "переносчиками вирусов", т.е.
исполняемыми файлами (имя и расширение файла во внимание не принимается), и
после этого только для файлов, являющихся предположительно исполняемыми,
выполнит антивирусное сканирование.

Этот вариант выбран по умолчанию, и его выбор рекомендуется сохранить.
Другие возможные значения этой строки - All и ByType. Первое значение
предписывает полную проверку всех файлов, входящих в указанное для проверки
множество. Выбор этого варианта ведет к значительному возрастанию времени
сканирования. Уровень антивирусной защиты при этом практически не
возрастает, так как, например, текстовые файлы, составляющие значительную
часть массива данных в любой Unix-системе, содержать вирусов не могут по
определению.

Значение ByType позволяет задать (в строке FilesTypes, о которой говорилось
выше) список типов файлов, которые будут проверены сканером; остальные
файлы, входящие в указанный для проверки путь, будут пропущены. Эта
установка целесообразна, если проверке подвергаются в основном файлы
DOS/Windows, которым свойственна жесткая связь между форматом файла и его
расширением.

В строке

  HeuristicAnalysis = Yes

возможные значения - Yes или No. Первое включает эвристический анализ
проверяемых файлов, второе - отключает его. Включение эвристического
анализа делает возможным обнаружение неизвестных вирусов по априорным
соображениям об устройстве вирусного кода. Особенностью этого типа поиска
вирусов является приблизительный, вероятностный характер обнаружения
заражения, что позволяет говорить не о зараженных, а лишь о подозрительных
объектах. При отключении этой строки осуществляется только поиск известных
вирусов по вирусной базе данных.

Целый класс программ ввиду использования сходного с вирусами кода может
вызывать ложные срабатывания эвристического анализатора. Кроме того, данный
вид проверки может несколько увеличить время проверки на вирусы (хотя это
увеличение и незначительно). Эти обстоятельства могут быть доводами в
пользу отмены эвристического анализа. Вместе с тем, сохранение этого типа
анализа увеличивает надежность антивирусной защиты. И потому по умолчанию
значение этой строки - Yes.

Строка

  CheckPackedFiles = Yes

предписывает проверять исполняемые файлы, упакованные одним из известных
пакету Doctor Web упаковщиков. Это действие не требует значительных
ресурсов ПК, и потому по умолчанию такая проверка включена (значение Yes).
При установке значения No упакованные файлы будут проверяться как обычные
исполняемые, без распаковки.

В строке

  CheckArchives = Yes

указывается, будет ли сканер при проверке распаковывать архивы и проверять
входящие в них файлы. Это действие требует больших расходов времени, памяти
и других ресурсов. Однако отключение такой возможности резко снизит уровень
антивирусной защиты, так как при использовании Unix-подобной платформы в
качестве почтового или ftp-сервера множество потенциально опасных с точки
зрения инфицирования вирусами файлов хранится на диске именно в
архивированном и компрессированном виде.

Относительно двух последних строк следует подчеркнуть, что термины
"упакованный" и "архивный" понимаются здесь в смысле, принятом в системах
семейства DOS/Windows, а не Unix. То есть в качестве упакованного
рассматривается исполняемый файл, сжатый программами типа LZEXE, DIET,
PKLITE, EXEPACK... Тогда как понятие архивного файла включает не только
собственно архивы (типа архивов *.tar), но и их компрессированные формы
(вида *.tar.gz), так как в DOS/Windows эти понятия, как правило, не
разделяются.

Строка

  CheckEMailFiles = Yes

указывает на необходимость проверки файлов ряда почтовых клиентов, имеющих
формат почтовых сообщений. Поскольку проверка на вирусы почтовых потоков -
одна из существенных функций программы на Unix-платформах при их
использовании в качестве почтовых серверов, не рекомендуется отключать эту
опцию.

Строка 
    
  FollowLinks = Yes
  
указывает, на то, что сканер встретив символическую ссылку (symlink), должен
проверять объект, на который она указывает. В случае No ссылка пропускается.
В сканере реализовано отслеживание возможного "зацикливания" на сим. ссылках,
если они образуют замкнутый граф.

Строка 

  MaxCompressionRatio = Значение

указывает, на то, что сканер не будет производить сканирование файлов внутри
архива, если отношение размера оригинального файла к сжатому превысит значение
этой опции. Если опция отсутствует, то данный параметр игнорируется.

Строка

  MaxFileSizeToExtract = Значение в Кб
  
указывает, на то, что сканер не будет производить сканирование файлов внутри 
архива, если размер оригинального файла превысит это значение. Если опция
отсутствует, то данный параметр игнорируется.  

Пользователи, имеющие опыт работы с программой Doctor Web для DOS или
Windows, обратят внимание на то, что в конфигурационном файле отсутствует
возможность включения/отключения проверки загрузочных секторов дисков и
оперативной памяти. Это связано с тем, что версия программы для
Linux/FreeBSD такими функциями не обладает в принципе.

Очень важна группа строк, касающаяся действий в отношении инфицированных,
подозрительных на вирусы, неизлечимых файлов, архивов (в обычном понимании,
такие как RAR, ZIP, GZIP etc), содержащих инфицированные файлы, файлы почтовых
форматов (письма и почтовые ящики), содержащих инфицированные объекты, а также
различного рода "контейнеры" (OLE, POWERPOINT, HTML etc), содержащие 
инфицированные объекты:

  InfectedFiles =
  SuspiciousFiles =
  IncurableFiles =
  ActionInfectedArchive = 
  ActionInfectedMail = 
  ActionInfectedContainer = 

Возможные значения каждой из этих строк - Cure (лечение) (за исключением
последних трех опций - лечение не реализовано), Remove (удаление), Move 
(перемещение) или Rename (переименование). Соображения о применении этих 
действий в отношении указанных объектов были приведены в конце раздела 4.4. 
Руководствуясь ими, можно сделать формой запуска сканера по умолчанию 
рассмотренный в нем набор опций. В результате соответствующие данные строки 
примут вид:

  InfectedFiles = Cure
  #Лечение инфицированных файлов
  SuspiciousFiles = Move
  #Перемещение подозрительных файлов
  IncurableFiles = Remove
  #Удаление неизлечимых файлов
  ActionInfectedArchive = move
  #Перемещение архивов с инфицированными файлами
  ActionInfectedMail = move
  #Перемещение инфицированной "почты"
  ActionInfectedContainer = move
  #Перемещение инфицированных "контейнеров"

                         5. КОНТАКТЫ

Как уже говорилось, программа Doctor Web находится в постоянном развитии.
Информацию о ее обновлениях можно получить на сайтах:

http://www.DialogNauka.ru
http://www.drweb.ru
http://www.drweb.ru/unix/forum
http://www.drweb.ru/unix

Свои отзывы, предложения и замечания Вы можете присылать в антивирусный
отдел ЗАО "ДиалогНаука":

Адрес: 117786 Москва, ул.Вавилова 40, ВЦ РАН, офис 103.

Проезд: ст. метро "Ленинский проспект" (выход к ул. Орджоникидзе),
        далее любым трамваем до остановки "Улица Губкина"
        (4-я остановка в сторону ст. метро "Университет").

Тел.(095)135-6253, 137-0150
Тел/факс 938-2970, 938-2855

FidoNet: 2:5020/69

WWW: http://www.DialogNauka.ru
FTP: ftp.DialogNauka.ru, ftp2.DialogNauka.ru, ftp3.DialogNauka.ru

E-mail: Antivir@DialogNauka.ru
         
Консультации для зарегистрированных пользователей осуществляются по
e-mail: Support@DialogNauka.ru, asv@drweb.ru

В письме желательно дать следующую дополнительную информацию, которая
поможет лучше разобраться в ситуации:

- название и версию дистрибутива Unix-системы;
- версию ядра и стандартной библиотеки libc;
- версию программы Doctor Web.
