ClamAV не ловит руткиты и не следит за системными процессами — для Linux-сервера это не нужно так, как для десктопа под Windows. Реальная польза — сканировать файлы, которые сервер принимает от посторонних: вложения на почтовом шлюзе, архивы в пользовательских загрузках, что угодно, что потом открывает кто-то другой.
База сигнатур обновляется отдельно от самого сканера:
freshclam # разовое обновление вручную
systemctl enable --now clamav-freshclam.service # демон, тянущий обновления по расписанию
Без свежей базы clamscan и clamdscan находят всё меньше — вирусные сигнатуры добавляются постоянно, а старый .cvd-файл просто не знает о новых угрозах.
Для разовой проверки директории с загрузками clamscan достаточно — он сам поднимает движок, грузит сигнатуры и завершается:
clamscan --infected --remove --recursive /srv/uploads/incoming
Если сканировать нужно часто — например, каждый загруженный файл на лету — лучше clamdscan: он посылает запросы уже запущенному демону clamd, у которого сигнатуры и движок уже в памяти, поэтому отклик на один файл не требует заново грузить базу на сотни мегабайт при каждом вызове. Цена — демон держит эту базу в оперативной памяти постоянно, даже когда сканировать нечего.
#linux #security