Amélioration sécurité de la messagerie: s'assurer que des courriels vérolés ne restent pas dans les boîtes à courriels des usagers

Ressources

• CalinDordia : pilotage

• RTR, RTL : Adaptation des systèmes locaux

Objectifs

• ne plus avoir de courriel vérolés dans les boîtes à courriels

Contexte

• Même avec les filtres successives anti-virus des messages vérolés arrivent dans les boites aux lettres (BAL) des utilisateurs (surtout dans le répertoire des Indesirables). Les virus circulent dans la nature avant que le vaccin ne soit créé ! C'est pour cela que les antivirus ne sont totalement efficaces, en particulier sur des virus day-0. Il faut donc refaire du nettoyage a posteriori dans les messages. Pour cela nous faut in script qui effectue des scans periodiques des BAL en vue d’éliminer les virus restant.

Solution

• Le script propose un scan periodique (hebdomadaire) des BAL en vue d’éliminer les virus restant qui, pour certaines raisons, n’ont pas étés détectes à l’arrivée.
• Pour éviter le chargement inutile du serveur par un scan complet des anciens messages (parfois les BAL des utilisateurs ont des dizaines de GO) le script exécute un premier scan complet et après il vérifie seulement les messages de derniers 2 mois.
• Le repère du premier scan est le fichier log du premier scan /var/log/clamav/premier_mailscan_$domain_$BAL. En présence de ce fichier, le script vérifiera seulement les messages de derniers 60 jours.

• Les messages vérolées sont stockées temporairement (15 jours) dans la BAL de l’utilisateur, dans le répertoire .VirusMail. Ils seront visibles par l’utilisateur, mais sans option d’exécution pour identifier les faux positifs (comme le cas récent des fichiers .odt qui ont été rapportés par ClamAV vérolés avec Win.Exploit.CVE_2016_3316-1 ).

• Pour le bon fonctionnement du script le service de boîte aux lettres doit être configuré selon les normes recommandées (Dovecot). Pour des configurations différentes il faudra adapter les paramètres du script.

• Le script proposé est disponible : https://github.com/calindordea/mailscan

• Pour une exécution systématique on peut l'enregistrer dans /etc/cron.weekly
• Pour automatisé l'installation, un paquet .deb est proposé: bal-scanv_1.0.1.deb. Après l'installation les paramètres locaux (qui recevra la notification et la localisation de la BAL) seront configurés dans /etc/clamav/bal_scanv.conf