> >

おことわり

このシリーズではマニュアルを作るのが目的ではありません。ですから網羅的には説明しません。ClamXav や ClamAV を Mac OS X で使用するにあたって私が工夫したことを中心に、ある程度 Mac OS X を使いこなしている人でも解説があった方がよいと思われることを交えて書いていきます。基本的な使い方については他を探してください。ClamAV そのものは UNIX のアプリケーションなので少しは丁寧に書くつもりでいます。

また、対象とするのは ClamAV 0.88.1、ClamXav 1.0.1、Mac OS X 10.4.6 です。これ以外のバージョンでは当てはまらないことがあるかもしれません。

[一般]タブの[名前に以下を含むファイルは除外する]

ClamXav が利用する ClamAV は大きなファイルに対するスキャンにかなりのコストを消費してしまいます。時間がかかるだけでなくメモリの消費も激しいので大きなファイルをスキャン対象から外さないと実用的でない場合があります。また ClamAV のソースアーカイブにはテスト用のウィルスもどきが入っています。このため ClamAV のソースアーカイブをスキャンすると無害であるにもかかわらず感染ファイルとして処理されてしまいます。これらをスキャン対象から外す設定について議論します。

スケジュールは使わない

環境設定の [スケジュール] タブで定期的なウィルス定義ファイルの更新やスキャンを設定できますが、私は ClamXav のこの機能は使わない方がよいと考えています。その代わりに Mac OS X が元々持っているシステムレベルで定期的に処理を実行する仕組みを使います。これには幾つかの理由があります。

スキャン対象がホームディレクトリに限定される

スケジュールスキャンで設定される内容はホームディレクトリに限定されています。確かに日々新しいファイルが入ってくるのはホームディレクトリが圧倒的です。しかし影響が大きいのはシステムの領域です。例えば /Applications です。ここに悪意があるアプリケーションが紛れ込んだらなんの気なしに実行してしまう可能性がとても高いでしょう。更に /bin, /usr/bin, /sbin, /usr/sbin, /usr/local/bin などにあるコマンドが入れ替えられたらどうでしょうか。こういうところに罠を仕込むのは攻撃者の基本的な手段です。

除外対象の設定などは効かない

定期スキャンで設定されるスキャンでは ClamXav の環境設定で設定したあらゆる設定は反映されません。決まったスキャンの仕方しかしないのです。ですから隔離フォルダの中を除外するとか、Virtual PC の仮想ディスクは除外するとか、その中でもこのファイルはスキャンするなどの設定は定期スキャンに反映されないのです。

複数のユーザが使用するときは無駄が多い

その Mac を複数のユーザで利用しているのならこれは使用しない方がよいです。なぜならばそれぞれのユーザが別々にスケジュールを設定すると同時に定期スキャンが行われたり、更新の確認をしたばかりなのにまた更新の確認をしたりして無駄だからです。

次回「ClamAV と ClamXav」はこれを解決する定期スキャンとウィルス定義ファイルの更新について解説する予定です。

[フォルダ監視]タブ

この設定を使ってフォルダ監視機能を使用するのは必ずやりましょう。ClamXav の最大の利点はこの機能にあります。それ以外はなくても全然構いと言ってもよいです。

ここで問題になるのはどのフォルダを監視対象とするかです。基本は外部からのファイルを最初に置く場所です。そして変なファイルが置かれるととても困るところです。そこで次のフォルダを監視対象にすることをお薦めします。

• デスクトップ

  ブラウザやメーラー、iChat などで受信したファイルが置かれるのは大抵の場合デスクトップです。デフォルトでそのようになっている場合が多いです。更に、USB メモリなどからファイルやディレクトリを最初にコピーする先もデスクトップが多いのではないでしょうか。

• ホーム

  ホームディレクトリには隠しファイルで様々な設定が置かれます。例えば .profile はターミナルの画面が開かれる度にその内容が実行されます。ここが勝手に書き換えられたり悪意があるものに置き換えられたりするとかなり危険です。

• Public, Sites

  他の人とファイルやディレクトリを共有するためのフォルダも重要です。書き込み可能にしているときは他から悪意があるファイルが置かれるかもしれませんし、自分が気付かずに迷惑なファイルを置いてしまうかもしれません。

• ブラウザのキャッシュ置き場

  ブラウザのキャッシュ置き場も外部からのファイルが置かれる場所です。しかも悪意があるファイルが自動的に内部に取り込まれる可能性があるとても危険な場所です。

  残念なことに Safari のキャッシュ置き場は 16×16 の 256 ものディレクトリから構成されています。実際にやってみましたが 256 個のディレクトリを監視フォルダにすることはできませんでした。また ClamXav の監視機能はそこに新しいフォルダが作られた場合を除いてサブフォルダにまでは及びません。ですから Safari を使用しているときはキャッシュ置き場を対処にするのは無理です。

• 一時ファイル置き場

  これは具体的には /private/tmp を指しています。様々なプログラムはここに一時的にファイルを作成してそして消します。ここを監視しておくと効果的な場合があります。

  例えば Thunderbird というメーラは設定により、新たに受け取ったメールを一時ファイル置き場に置いてから内部に取り込むようになります。どこにもその一時ファイル置き場がどこなのかという説明は見付けられなかったのですが、mozilla のソースファイル nsPop3Sink.cpp をざっと眺めると /private/tmp のような印象がありました。

  しかしここは監視対象にしない方がよいかもしれません。というのは ClamAV 自身が一時ファイルをここに置くからです。特殊なケースですが無限ループに陥る可能性があります。

• /Applications, /bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin

  /Applications は Mac OS X のアプリケーションが置かれるフォルダです。ここにあるアプリケーションが悪意があるものに置き換えられてしまったりしたら大変です。同様の理由で UNIX 系のコマンドが置かれている /bin, /sbin, /usr/bin, /usr/sbin, /usr/local/bin も監視対象にすべきです。ただし /usr/local/bin はデフォルトでは存在しません。