ClamAV là gì? Hướng Dẫn Antivirus Engine Chi Tiết

ClamAV là open-source antivirus engine được thiết kế để detect trojans, viruses, malware và các threat khác. Đây là một trong những antivirus miễn phí mạnh nhất, được sử dụng rộng rãi trong mail servers, web servers, và endpoint security solutions.

ClamAV ban đầu được phát triển bởi Tomasz Kojm vào năm 2001, hiện tại là project của Cisco. Nổi tiếng với khả năng scan nhanh và signature database được cập nhật thường xuyên bởi cộng đồng.

Tại Sao Nên Dùng ClamAV?

1. Miễn Phí và Open Source

完全免费, không có licensing costs. Source code được review bởi cộng đồng, đảm bảo transparency và trust. Có thể tích hợp vào commercial products without fees.

2. Cross-Platform

Chạy trên Linux, Windows, macOS, BSD, và nhiều Unix-like systems. Có thể deploy trên servers, containers, hoặc embedded systems.

3. Command Line Interface

CLAMAV suitable cho automation và scripting. Dễ dàng tích hợp vào CI/CD pipelines, mail servers (SpamAssassin, Sendmail), và file scanning workflows.

4. Mail Server Integration

Được sử dụng rộng rãi để scan email attachments. Tích hợp với Postfix, Exim, Sendmail, và các mail transfer agents khác.

Cài Đặt ClamAV

Trên Ubuntu/Debian

# Cài đặt
sudo apt update
sudo apt install clamav clamav-daemon

# Cập nhật signature database
sudo systemctl stop clamav-freshclam
sudo freshclam
sudo systemctl start clamav-freshclam

# Kiểm tra version
clamscan --version

Trên macOS

# Cài đặt qua Homebrew
brew install clamav

# Cấu hình
cd /usr/local/etc/clamav
cp freshclam.conf.sample freshclam.conf
# Chỉnh sửa freshclam.conf: remove Example line

# Cập nhật database
freshclam

Trên Docker

# Pull official image
docker pull malform/clamav

# Scan a directory
docker run --rm -v /path/to/scan:/data malform/clamav clamscan -r /data

# Scan với move infected files
docker run --rm -v /path/to/scan:/data malform/clamav clamscan -r --move=/data/infected /data

ClamAV Commands Cơ Bản

Scan Files và Directories

# Scan a single file
clamscan /path/to/file.txt

# Scan a directory recursively
clamscan -r /home/user

# Scan và hiển thị infected files only
clamscan -r --remove /home/user

# Scan với verbose output
clamscan -r -i /home/user

# Scan và log to file
clamscan -r -l /var/log/clamscan.log /home

Scan Options

# Move infected files to quarantine
clamscan -r --move=/quarantine /home

# Remove infected files (dangerous!)
clamscan -r --remove /home

# Scan directories but skip files > certain size
clamscan -r --max-filesize=50M /home

# Scan inside archives (zip, rar, tar, etc.)
clamscan -r --scan-archive /home

# Follow symlinks
clamscan -r --follow-dir-symlinks /home

# Scan PDF files
clamscan --detect-pdf=yes /home

Scan Modes

ClamAV Configuration

clamd.conf

# /etc/clamav/clamd.conf

# Run as a specific user
User clamav
Group clamav

# Socket file for local communication
LocalSocket /var/run/clamav/clamd.sock
LocalSocketGroup clamav
LocalSocketMode 660

# Threads - increase for faster scanning
MaxThreads 20

# Limits
MaxFileSize 100M
MaxScanSize 200M
MaxRecursion 15
MaxFiles 10000

# Archive scanning
ArchiveBlockEncrypted false
ScanArchive true

# Enable仔 scanning
ScanPDF true
ScanHTML true
ScanEmlFile true

freshclam.conf

# /etc/clamav/freshclam.conf

# Database mirror
DatabaseMirror db.local.clamav.net
DatabaseMirror mirror.nl.clamav.net

# Update check interval (default: 60 minutes)
Checks 12

# Log file
UpdateLogFile /var/log/freshclam.log

# Notifications
NotifyClamd /etc/clamav/clamd.conf

ClamAV Database

Official Database

# Main database (100+ MB)
wget https://database.clamav.net/main.cvd

# Daily database (~20 MB)
wget https://database.clamav.net/daily.cvd

# Bytecode database (~1 MB)
wget https://database.clamav.net/bytecode.cvd

Community Databases

• ClamAV Unofficial Signatures: https://sig.cz.org/clamav/
• Sanesecurity: Phishing, spam patterns
• OITC: Malware-specific signatures

ClamAV-UTOC Database

# Add community signatures
sudo cp *.cld /var/lib/clamav/

# Reload clamd
sudo systemctl reload clamav-daemon

Tích Hợp ClamAV Vào Applications

Python Integration

import pyclamd

# Connect to clamd via socket
cd = pyclamd.ClamdAgnostic()

# Scan a file
result = cd.scan_file('/path/to/file')
if result:
    print(f"Virus found: {result}")
else:
    print("File is clean")

PHP Integration

// Use exec to call clamscan
$file = '/path/to/file';
$cmd = "clamscan --no-summary -i $file";
exec($cmd, $output, $return);

if ($return === 0) {
    echo "File is clean";
} elseif ($return === 1) {
    echo "Virus detected: " . implode("\n", $output);
} else {
    echo "Scan error";
}

Webhook Integration (Node.js)

const { exec } = require('child_process');

function scanFile(filePath) {
    return new Promise((resolve, reject) => {
        exec(`clamscan --no-summary -i ${filePath}`, (err, stdout, stderr) => {
            if (err) {
                if (stdout.includes('FOUND')) {
                    resolve({ infected: true, output: stdout });
                } else {
                    reject(err);
                }
            } else {
                resolve({ infected: false });
            }
        });
    });
}

ClamAV Trong Docker Security

Scan Images Trước Khi Pull

# Pull image, scan, then run if clean
docker pull alpine:latest
docker save alpine:latest | clamscan -i
docker run alpine:latest

Scan Files Trong Container

# Multi-stage build with scanning
FROM alpine AS builder
RUN echo "malicious-content" > /tmp/test.txt

FROM malform/clamav AS scanner
COPY --from=builder /tmp/test.txt /data/
RUN clamscan /data/test.txt || exit 1

FROM alpine
COPY --from=builder /tmp/test.txt /data/
CMD ["echo", "Clean build verified"]

Kubernetes CronJob

apiVersion: batch/v1
kind: CronJob
metadata:
  name: clamscan-cron
spec:
  schedule: "0 2 * * *"
  jobTemplate:
    spec:
      template:
        spec:
          containers:
          - name: clamscan
            image: malform/clamav
            command: ["clamscan", "-r", "/data"]
            volumeMounts:
            - name: scan-volume
              mountPath: /data
          restartPolicy: OnFailure

ClamAV Performance Tuning

• Use ClamD (daemon mode) – Load signature once, scan multiple files faster
• Enable parallel scanning – Increase MaxThreads for multi-core
• Use Redis for caching – Faster repeated scans
• Exclude unnecessary paths – Skip /proc, /sys, /dev
• Monitor signature age – Ensure database is up to date

ClamAV Limitations

So Sánh ClamAV với Các Antivirus

Kết Luận

ClamAV là một trong những công cụ miễn phí mạnh nhất để detect malware. Đặc biệt hữu ích cho servers, mail systems, và automated scanning workflows. Với khả năng tích hợp cao và cross-platform support, ClamAV phù hợp cho organizations cần open-source security solutions.

Key takeaway: Use ClamAV as part of defense-in-depth strategy. Combine với other security tools và regular signature updates để maximize protection.

Các Câu Hỏi Thường Gặp (FAQ)

1. ClamAV có detect được tất cả malware không?

2. Làm sao update ClamAV signatures?

3. ClamAV vs clamscan vs clamd?

4. ClamAV có phù hợp cho Windows không?

5. Làm sao reduce false positives?