ClamAV入門｜Linuxサーバーのマルウェアスキャン設定と自動化実践ガイド

# EPELリポジトリを有効化（未設定の場合）
dnf install -y epel-release

# ClamAVをインストール（clamd: デーモン, clamav-update: freshclam）
dnf install -y clamav clamd clamav-update

# インストール後の確認
clamscan --version

# Ubuntu/Debian系（APTリポジトリから入手可能）
apt-get update
apt-get install -y clamav clamav-daemon clamav-freshclam

# インストール後の確認
clamscan --version

# freshclamデーモンが起動中の場合は停止してから手動更新する
# Ubuntu系
systemctl stop clamav-freshclam

# RHEL系
systemctl stop clamav-freshclam 2>/dev/null || true

# 手動で定義ファイルを初回更新（ネットワーク状況次第で1～3分）
freshclam

# 更新成功後、デーモンを起動・自動起動設定
systemctl start clamav-freshclam
systemctl enable clamav-freshclam

# 動作確認
systemctl status clamav-freshclam

# 設定ファイルの場所
# RHEL系:   /etc/clamd.d/scan.conf
# Ubuntu系: /etc/clamav/clamd.conf

# --- 変更が必要な箇所（コメントを外すか値を変更） ---

# Unixドメインソケットを有効化（デフォルト: コメントアウト）
LocalSocket /run/clamd.scan/clamd.sock

# ログファイルを指定（デフォルト: コメントアウト）
LogFile /var/log/clamd.scan

# スキャン日時をログに記録（デフォルト: no）
LogTime yes

# 感染検知をログに記録（デフォルト: no）
LogScanResult yes

# 圧縮ファイルの最大再帰深度（デフォルト: 17 → 負荷軽減で10推奨）
MaxDirectoryRecursion 10

# 最大ファイルサイズ（デフォルト: 25M → Webサーバーなら100M程度に調整）
MaxFileSize 100M

# clamdの起動・自動起動設定
# RHEL系（サービス名がclamd@scanの場合）
systemctl start clamd@scan
systemctl enable clamd@scan

# Ubuntu系
systemctl start clamav-daemon
systemctl enable clamav-daemon

# 起動確認
systemctl status clamd@scan  # または clamav-daemon

# /var/www を再帰的にスキャン（全ファイルを表示）
clamscan -r /var/www

# 感染ファイルのみ表示（クリーンファイルは非表示）
clamscan -r --infected /var/www

# 感染ファイルを隔離ディレクトリに移動（本番環境では削除より移動を推奨）
clamscan -r --infected --move=/var/quarantine /var/www

# 結果をログファイルに出力
clamscan -r --infected --log=/var/log/clamav/manual-scan.log /var/www

# clamdデーモン経由で高速スキャン（デーモン起動済みの場合）
clamdscan -r /var/www

cat > /usr/local/bin/clamav-daily-scan.sh << 'SCRIPT'
#!/bin/bash
set -euo pipefail

SCAN_DIR="/var/www"
LOG_DIR="/var/log/clamav"
LOG_FILE="${LOG_DIR}/daily-scan-$(date +%Y%m%d).log"
QUARANTINE_DIR="/var/quarantine"
ADMIN_MAIL="admin@example.com"  # 実際の管理者メールに変更する

mkdir -p "$LOG_DIR" "$QUARANTINE_DIR"

echo "=== ClamAV Scan Start: $(date) ===" >> "$LOG_FILE"
echo "Scan target: $SCAN_DIR" >> "$LOG_FILE"

# clamdデーモンが起動中なら clamdscan（高速）、なければ clamscan
if systemctl is-active --quiet clamd@scan 2>/dev/null || \
   systemctl is-active --quiet clamav-daemon 2>/dev/null; then
    clamdscan -r --infected --move="$QUARANTINE_DIR" \
        --fdpass "$SCAN_DIR" >> "$LOG_FILE" 2>&1 || true
    RESULT=$?
else
    clamscan -r --infected --move="$QUARANTINE_DIR" \
        --log="$LOG_FILE" "$SCAN_DIR" || true
    RESULT=$?
fi

echo "=== ClamAV Scan End: $(date), Exit: $RESULT ===" >> "$LOG_FILE"

# 感染検知（終了コード1）の場合のみメール通知
if [ "$RESULT" -eq 1 ]; then
    {
        echo "ホスト: $(hostname)"
        echo "スキャン対象: $SCAN_DIR"
        echo "検知日時: $(date)"
        echo ""
        echo "--- スキャンログ ---"
        grep -E "FOUND|Infected" "$LOG_FILE" || true
        echo ""
        echo "隔離ディレクトリ: $QUARANTINE_DIR"
        echo "詳細ログ: $LOG_FILE"
    } | mail -s "[ClamAV警告] $(hostname): マルウェア検知 $(date +%Y/%m/%d)" \
        "$ADMIN_MAIL"
fi

# 30日以上前のログを削除
find "$LOG_DIR" -name "daily-scan-*.log" -mtime +30 -delete

exit "$RESULT"
SCRIPT

chmod +x /usr/local/bin/clamav-daily-scan.sh

# /etc/cron.d/clamav-daily として作成
cat > /etc/cron.d/clamav-daily << 'EOF'
# ClamAV daily scan: 毎日02:30に実行
SHELL=/bin/bash
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
30 2 * * * root /usr/local/bin/clamav-daily-scan.sh
EOF

# 構文確認
crontab -l -u root | grep clamav

# 隔離ファイルの一覧確認
ls -lh /var/quarantine/

# 特定ファイルを単独で再スキャン（誤検知確認）
clamdscan /var/quarantine/疑わしいファイル名

# 誤検知と判断した場合は元の場所に復元
mv /var/quarantine/疑わしいファイル名 /var/www/html/

# ファイルをClamAVの誤検知報告ページに送信（繰り返し誤検知の場合）
# https://www.clamav.net/reports/fp

# /etc/clamd.d/scan.conf（またはclamd.conf）に追記
# 特定ディレクトリをスキャン除外（正規表現）
ExcludePath ^/var/www/html/vendor/
ExcludePath ^/tmp/

# clamdを再起動して設定を反映
systemctl restart clamd@scan  # または clamav-daemon

# 定義ファイルの更新日確認（スクリプトや手動確認に組み込み可能）
stat /var/lib/clamav/main.cvd 2>/dev/null || stat /var/lib/clamav/main.cld
# Ubuntu系の場合
stat /var/lib/clamav/daily.cvd 2>/dev/null || stat /var/lib/clamav/daily.cld

# freshclamデーモンの状態確認
systemctl is-active clamav-freshclam && echo "OK" || echo "STOPPED - 要確認"