Войти
Главная→Документация→Антивирус и песочница

Внешний антивирус и песочница

Шлюз SPZGate отправляет вложения писем на проверку во внешние системы по протоколу ICAP: корпоративный антивирус и песочницу для анализа поведения файлов.

Раздел «Интеграции» доступен только администратору. Внешняя проверка работает вместе со встроенным антивирусом ClamAV и дополняет его, а не заменяет.

Как это работает

Шлюз распаковывает письмо и архивы и проверяет вложения по одному. Порядок проверки:

  1. встроенный ClamAV;
  2. внешний антивирус (ICAP) — по умолчанию проверяются все вложения;
  3. песочница (ICAP) — по умолчанию проверяются только исполняемые файлы, документы и архивы.

Для каждой системы можно указать основной и резервный сервер. Если основной сервер недоступен, проверку выполняет резервный. Результаты кэшируются: чистые файлы на 1 час, заражённые на 24 часа, поэтому повторные вложения не уходят на сервер второй раз.

Какие системы можно подключить

Подойдёт любой сервер с поддержкой ICAP (RFC 3507, режим RESPMOD). Среди них:

СистемаТипПортПуть сервиса
Kaspersky Scan EngineАнтивирус1344задаётся в настройках сервера Kaspersky
Dr.Web ICAPDАнтивирус1344задаётся в настройках Dr.Web
c-icap + ClamAVАнтивирус1344/av/respmod (по умолчанию в панели)
PT SandboxПесочница1344/scan-response (по умолчанию в панели)
Kaspersky Anti Targeted Attack (KATA)Песочница1344задаётся в настройках KATA
Путь сервиса и дополнительные параметры зависят от версии и настроек конкретного продукта. Перед промышленным использованием проверьте связку на тестовом сервере и сверьтесь с документацией производителя.

Настройка

1

Откройте раздел «Интеграции»

В панели SPZGate выберите «Интеграции». Раздел состоит из двух блоков: «Антивирус» и «Песочница».

2

Укажите сервер

Включите проверку и заполните адрес основного сервера (имя хоста или IP-адрес), порт ICAP и путь сервиса. Резервный сервер можно указать только вместе с основным.

3

Проверьте связь

Кнопки «Проверить основной сервер» и «Проверить резервный сервер» отправляют ICAP-запрос OPTIONS по адресу из формы и показывают, отвечает ли сервер и какие методы он поддерживает.

4

Выберите действия и сохраните

Задайте, что делать с письмом при найденной угрозе, таймауте и недоступности сервера (таблица ниже), и нажмите «Сохранить».

Параметры

ПараметрЗначение по умолчаниюОписание
Таймаут ответа сервера30 с (песочница — 60 с)От 1 до 240 секунд. Письмо обрабатывается не дольше 300 секунд.
Если найдена угрозаОтклонить (SMTP 5xx)Отклонить письмо или принять и положить в карантин.
Если сервер не успел проверитьВременная ошибка (SMTP 4xx)Временная ошибка, отклонение, карантин или приём и доставка.
Если сервер недоступенВременная ошибка (SMTP 4xx)Те же четыре варианта.
Если вложение не удалось проверитьПринять и доставитьОтносится к файлам с паролем и повреждённым файлам.
Доделывать проверку в фонеВключено, до 600 сПосле таймаута проверка продолжается в фоне. Время не может быть меньше таймаута (до 86 400 с).
Какие вложения проверятьАнтивирус: все; песочница: исполняемые файлы, документы и архивыОграничение «только рискованные типы» снижает нагрузку на песочницу.
Максимальный размер вложения50 МБОт 1 до 500 МБ. Более крупные файлы на проверку не отправляются.

Что происходит при таймауте

Если сервер не успел проверить вложение за отведённое время, шлюз по умолчанию возвращает отправителю временную ошибку (SMTP 4xx). Проверка при этом продолжается в фоне. Когда отправитель повторит доставку, шлюз использует результат предыдущей попытки: чистое письмо принимается, заражённое отклоняется, а если проверка ещё идёт, временная ошибка повторяется.

Если сервер несколько раз подряд не отвечает, шлюз временно исключает его из работы (по умолчанию после 3 ошибок на 60 секунд), чтобы не задерживать почту.

Другие протоколы

Кроме ICAP, шлюз умеет работать с серверами по протоколам clamd (например, Dr.Web ClamD) и Kaspersky Scan Engine REST. Эти серверы добавляются администратором вручную в файл control/spamorez/av_external.json. Панель такие записи не удаляет и не изменяет: они сохраняются и работают как запасные серверы.

Безопасность