Aller au contenu principal

ClamAV

Overview​

ClamAV est un moteur antivirus open source développé par Cisco, spécialement conçu pour analyser les fichiers, les systèmes de fichiers, et les flux réseau sur des hôtes LinuxClamAV détecte les malwares, virus, trojans, et autres menaces en utilisant une base de signatures régulièrement mise à jourIl peut fonctionner en mode on-demand (scan manuel) ou on-access (scan en temps réel via ClamAV Daemon)

ClamAV est particulièrement adapté aux environnements où les fichiers doivent être analysés avant traitement : serveurs de messagerie (scan des pièces jointes), passerelles de téléchargement, serveurs web (scan des uploads), et environnements CI/CD (scan des artefacts)Il est également utilisé pour scanner les systèmes de fichiers complets lors d'audits de sécurité

Dans un contexte DevOps/SRE, ClamAV peut être intégré dans les pipelines CI/CD pour scanner les images Docker, les artefacts de build, et les fichiers avant déploiementIl peut également être déployé sur les serveurs de production pour un scan périodique ou en temps réel via des intégrations avec les systèmes de fichiers.

Informations essentielles​

PropriétéValeur
Site officielhttps://www.clamav.net/
LicenceGPL v2
TypeAntivirus
PlateformesLinux, Unix, macOS, Windows
DifficultéBasique

TL;DR​

ClamAV est l'antivirus open source de référence pour Linux, adapté au scan de fichiers, systèmes de fichiers, et flux réseauIl est particulièrement utile pour scanner les pièces jointes email, les uploads web, et les artefacts dans les pipelines CI/CDPoints forts : open source, léger, base de signatures régulièrement mise à jourLimite principale : moins performant que certaines solutions commerciales pour la détection de menaces zero-day.

Cas d'usage typiques​

  • Scan des pièces jointes dans les serveurs de messagerie (Postfix, Exim) avant livraison aux utilisateurs
  • Analyse des fichiers uploadés sur les serveurs web pour détecter les malwares
  • Scan périodique des systèmes de fichiers sur les serveurs critiques
  • Intégration dans les pipelines CI/CD pour scanner les images Docker et artefacts avant déploiement
  • Protection des passerelles de téléchargement et serveurs de fichiers
  • Audit de sécurité ponctuel sur des systèmes suspects

Avantages​

  • Open source et gratuit
  • Léger et peu consommateur de ressources
  • Base de signatures régulièrement mise à jour (plusieurs fois par jour)
  • Supporte de nombreux formats de fichiers
  • Intégration facile avec les serveurs de messagerie et web
  • API et outils CLI flexibles
  • Communauté active et documentation complète

Limites​

  • Détection basée sur signatures, moins efficace contre les menaces zero-day
  • Performance inférieure aux solutions commerciales pour certains types de malwares
  • Configuration du daemon on-access peut être complexe
  • Nécessite mises à jour régulières de la base de signatures
  • Faux positifs possibles sur certains fichiers légitimes
  • Moins adapté à la détection comportementale que les solutions EDR modernes

Intégration dans un socle DevOps / SRE​

ClamAV peut être intégré dans un socle DevOps/SRE de plusieurs manières. Dans les pipelines CI/CD, il peut scanner les images Docker avant leur push vers les registries, analyser les artefacts de build, et vérifier les fichiers de configuration. Des jobs périodiques peuvent être configurés pour scanner les systèmes de fichiers des serveurs critiques, avec alertes en cas de détection.

Pour le durcissement d'images, ClamAV peut être intégré dans les Dockerfiles ou les playbooks Ansible pour scanner les images de base et les couches applicatives. Les résultats peuvent être intégrés dans les dashboards de sécurité et corrélés avec les alertes SIEM. ClamAV peut également être déployé en mode daemon sur les nœuds Kubernetes pour un scan on-access des volumes montés.

Ressources​