Без настоящих вирусов: как я проверил антивирус и антиспам почтового сервера

После установки почтового сервера я проверил отправку и получение писем. Затем занялся защитой: антивирус и антиспам были установлены, службы работали, но мне хотелось увидеть результат обработки конкретного образца.

Для этого не понадобились настоящие вредоносные файлы или подборка спама. Я использовал два стандартных теста: EICAR для антивируса и GTUBE для SpamAssassin.

Оба теста завершились ожидаемым обнаружением. Расскажу, что именно я проверил и какой вывод сделал из результата.

Работающая служба ещё не подтверждает обнаружение

Статус службы отвечает на простой вопрос: запущен ли процесс. Это полезная проверка, но она не показывает, как программа обработает переданные ей данные.

Поэтому я разделил проверку на два уровня. Сначала убедился, что нужные компоненты работают. Затем передал каждому предназначенный для него тестовый образец.

Для антивирусной проверки на моём сервере используется ClamAV, для распознавания спама — SpamAssassin. Я проверял их отдельно, чтобы результат каждого теста можно было оценить без догадок о том, какой компонент сработал.

EICAR: проверка без настоящего вируса

EICAR — специальный тестовый файл для проверки реакции антивирусного ПО. Он не является настоящим вирусом и создан именно для таких испытаний. Назначение файла описано на официальном сайте EICAR.

Я проверил образец через clamdscan с параметром --fdpass.

Здесь важен выбор инструмента: clamdscan обращается к работающему антивирусному демону. Таким образом, я проверял обработку файла серверным компонентом ClamAV, а не просто наличие установленного пакета.

Результат был положительным в смысле обнаружения: ClamAV распознал тестовый образец EICAR.

Для этой проверки обнаружение и было ожидаемым исходом. Искать способ добиться сообщения «угроз не найдено» не требовалось.

GTUBE: отдельный тест для антиспама

Для SpamAssassin я использовал GTUBE — стандартный тестовый текст для проверки распознавания спама. Его назначение описано в документации Apache SpamAssassin.

Идея похожа на EICAR: вместо случайного нежелательного письма используется заранее известный образец с ожидаемой реакцией.

В моей проверке SpamAssassin распознал GTUBE.

Это дало конкретный результат: антиспам обработал предназначенный для него тест и обнаружил его. Мне не пришлось оценивать сомнительное письмо на глаз и спорить с фильтром, действительно ли оно должно считаться спамом.

Почему тесты я проверял отдельно

У антивируса и антиспама разные задачи.

Антивирусная проверка ищет признаки вредоносного содержимого. Антиспам оценивает признаки нежелательного сообщения. Успешный тест одного компонента ничего не говорит о результате другого.

Поэтому итог я записал отдельно:

Такая запись полезнее общего вывода «защита работает». В ней видно, что именно проверено и на каком основании я считаю тест завершённым.

Что эти проверки не подтверждают

Я не отправлял в рамках описанных тестов письмо через весь внешний почтовый маршрут с последующей проверкой его судьбы в ящике. Это были проверки отдельных компонентов.

Поэтому из результата я не делаю вывод, что любое опасное вложение обязательно будет остановлено при доставке или каждое нежелательное письмо попадёт в спам.

Проверка всей почтовой цепочки — отдельная задача. В ней нужно учитывать приём сообщения, передачу на фильтрацию и дальнейшее действие почтовой системы: доставку, отклонение или помещение в карантин.

Также стандартные тестовые образцы не измеряют качество обнаружения всех существующих угроз. Они дают воспроизводимый способ проверить определённую реакцию программы.

Обновления баз — другая часть работы

Даже успешное обнаружение тестового файла не заменяет проверку обновлений.

На сервере у меня настроено автоматическое обновление антивирусных баз через FreshClam. При настройке загрузка и проверка подписанных баз были подтверждены отдельно.

Эти результаты я не смешиваю. Обнаружение EICAR показывает реакцию на тестовый образец. Проверка обновлений показывает, что сервер получает базы. Для обслуживания антивируса нужны обе проверки, но отвечают они на разные вопросы.

С каким результатом я закончил

Проверка дала два подтверждённых результата: ClamAV обнаружил EICAR, а SpamAssassin распознал GTUBE.

Исходная задача была выполнена: я увидел ожидаемую реакцию обоих компонентов на стандартные тестовые образцы. При этом в проверке не использовались настоящие вредоносные файлы.

Теперь у меня есть зафиксированный исходный результат, с которым можно сравнивать повторную проверку после изменений. Если после обновления тот же тест перестанет распознаваться, появится конкретный повод разбираться в настройках, а не полагаться только на статус запущенной службы.