Java Symantec Scan Engine でウイルスチェックを行う

目次

FrontPage
・Chromebook
・Random
・機械学習
・さくらVPS
・Fedora13
・SuSe10
・Docker
・Ansible
・Java
・Scala
・Python
・Ruby
・Lisp
・Computer
・GIS
・HTML
・Culture
・Link

訪問者

total: 14827
today: 10
yesterday: 4
now: 12

更新

最新の10件

人気の10件

MenuBar

はじめに †

• Java アプリケーションからウイルスチェックを行う方法を調べていると Symantec Scan Engine を使う方法が紹介されていた
  • http://japan.internet.com/column/developer/20080314/26.html
• どんな感じになるのか試してみる

Windows 2003 Server R2 体験版のインストール †

• Symantec Scan Engine の対応 OS は、
  • Windows 2000 / 2003 Server
  • Solaris 9 / 10 (Sparc)
  • Redhat Linux Server 2.1 / Enterprise 3.0/4.0
• 今回はお手軽に Windows 2003 Server R2 体験版を使うことにする
  • http://www.microsoft.com/japan/windowsserver2003/evaluation/trial/default.mspx
• インストールだけで一日仕事だなぁ・・・
  
• 外部( ホストの Mac OS X )から使えるように固定IPアドレスを割り振る
  • VMWare のネットワーク構成
    
• 教訓: Snapshot はちょくちょく撮ろう

Symantec Scan Engine 体験版のインストール †

• http://www.symantec.com/ja/jp/business/scan-engine
• 日本語サイトからは体験版のダウンロードはできないようだ。USのサイトからダウンロードする
  • http://www.symantec.com/business/products/trialware.jsp?pcid=pcat_info_risk_comp&pvid=836_1
  • なんか、この週末でかなり個人情報が漏洩した気がする・・・

Symantec Scan Engine をインストールする前に Java 5.0 のインストール †

\SymantecScanEngine_5.2.4_Win32_IN\Tools\Java\Win32\jre-1_5_0_15-windows-i586-p.exe

• とりあえず、付属の JRE 5.0 をインストール

Symantec Scan Engine のインストール †

SymantecScanEngine_5.2.4_Win32_IN\Scan_Engine\Win32\ScanEngine.exe

• 管理コンソールのポート番号はとりあえずデフォルトで、パスワードは admin
  

ライセンスファイルのインストール †

• https://localhost:8004/ で管理コンソールへログイン
  ライセンス認証以外の機能が使えなくなっている
  
• メールで届いたライセンスファイルをインストール
  (メールには、12345678.slf.zip のように圧縮されて添付されるので、解凍して 12345678.slf のようにする必要がある)
  
• とりあえず 30 日間使えるようになった
  

テスト用ウイルスの準備 †

• European Institute for Computer Anti-virus Research
  • http://www.eicar.org/
  • コンピュータウイルスを研究するための任意団体
  • ウイルス対策ソフトの挙動をチェックするための指標となるダミーウイルスを配布している
• ダミーウイルス
  • http://www.eicar.org/anti_virus_test_file.htm
  • eicar.com : DOSで実行すると、バッファオーバーフローを利用して、"EICAR-STANDARD-ANTIVIRUS-TEST-FILE!" と出力するダミーウイルス　

Java クライアント †

必須ライブラリ †

• SymantecScanEngine_5.2.4_Win32_IN\Scan_Engine_SDK\Java\Lib\SymJavaAPI.jar をクラスパスに加える必要がある
• そのほかに、サンプルプログラムでは、Scan結果オブジェクトを手軽に標準出力に出力するために Jakarta Commons Bean Util を使っている( Scan 自体には必要ない )

サンプルプログラム †

あんまり参考にならない「Symantec Scan Engine ソフトウェア開発者ガイド」といい加減な Javadoc ( SymantecScanEngine_5.2.4_Win32_IN\Scan_Engine_SDK\Java\Docs\SymJavaAPIDocs ) を参考にざざっとプログラムを書くと以下のようになる

package com.snail.example;

import java.io.FileOutputStream;
import java.io.OutputStream;
import java.util.ArrayList;
import java.util.List;
import java.util.Map;
import java.util.Vector;

import org.apache.commons.beanutils.BeanUtils;

import com.symantec.scanengine.api.Policy;
import com.symantec.scanengine.api.Result;
import com.symantec.scanengine.api.ScanEngine;
import com.symantec.scanengine.api.ScanException;
import com.symantec.scanengine.api.StreamScanRequest;

public class AVExam {

  private static final String SCAN_SERVER = "172.16.121.64"; // Win2003 Server on VMWare Fusion
  private static final int SCAN_PORT = 1344;
  private static final String SCAN_FILE = "/Users/atsushi/Downloads/eicar.com";

  public static void main(String[] args) {
    
    // 1) Scan Engine Server の IP アドレスと Port 番号を定義
    //    複数台の Scan Engine Server で負荷分散をすることが可能
    Vector<ScanEngine.ScanEngineInfo> scEngInfo
      = new Vector<ScanEngine.ScanEngineInfo>();
    ScanEngine.ScanEngineInfo scInfo
      = new ScanEngine.ScanEngineInfo(SCAN_SERVER,SCAN_PORT);
    scEngInfo.add(scInfo);
    
    try{
      // 2) Scan Engine Client を作成する
      //    接続待ち 1000ms でエラー / 応答待ち 3000ms でエラー
      ScanEngine scEngine = ScanEngine.createScanEngine(scEngInfo);
      
      // 3) Scan Engine に、ウイルス検査を要求する
      //
      //    検査後のファイルの扱いを設定する必要がある
      //    Policy.DEFAULT : Scan Engine サーバの設定を利用する
      //    Policy.SCAN    : Scan のみをする
      //    Policy.SCANDELETE       : ウイルスが検出されたらファイルを削除する
      //    Policy.SCANREPAIR       : ウイルスが検出されたらウイルスを除去する
      //    Policy.SCANREPAIRDELETE : ウイルス除去を試み、できなかったらファイルを削除する
      //
      //    ※ scEngine.createFileScanRequest() は、Scan Engine サーバと
      //    ※ クライアントが同じマシンの場合のみ使える・・・・何日無駄にしたことか・・・orz
      OutputStream out = new FileOutputStream("/tmp/output");
      StreamScanRequest req
        = scEngine.createStreamScanRequest(SCAN_FILE, SCAN_FILE, out, Policy.SCAN);
      Result res = req.scanFile();
      out.close();
      
      // 4) 結果を標準出力に出力
      Map resMap = BeanUtils.describe(res);
      List keys = new ArrayList(resMap.keySet());
      for(Object key : keys){
        System.out.println(key + "=" + resMap.get(key));
      }
      
    } catch( ScanException ex ) {
      ex.printStackTrace();
    } catch (Exception e) {
      e.printStackTrace();
    }
  }
}

とりあえず動く物を作るだけなら簡単にできる

実行結果 †

threatInfo=com.symantec.scanengine.api.ThreatInfo@13e4a47e
definitionDate=Sun Jun 14 00:00:00 JST 2009
status=INFECTED_REPLACED
fileStatus=null
definitionRevNumber=004
IPTries=com.symantec.scanengine.api.ConnectionAttempt@3fe2670b
class=class com.symantec.scanengine.api.Result
totalInfection=0

サンプルウイルスを Scan Engine に検査させると、無事に INFECTED_REPLACED(感染している) というステータスが帰ってきた

• status には、Enum<ResultStatus?> で次の値が格納されるようだ

  CLEAN
  FILE_ACCESS_FAILED
  INFECTED_REPLACED	感染している_除去に成功
  INFECTED_UNREPLACED	感染している_除去に失敗
  INTERNAL_SERVER_ERROR
  NO_AV_LICENSE	Scan Engine のライセンス切れ

メモリ上のデータを検証させるには？ †

StreamScanRequest req
 = scEngine.createStreamScanRequest(SCAN_FILE, SCAN_FILE, out, Policy.SCAN);
Result res = req.scanFile();

の代わりに、

byte[] byteArray = readFile();
StreamScanRequest req
 = scEngine.createStreamScanRequest(SCAN_FILE, SCAN_FILE, out, Policy.SCAN);
req.send(byteArray);
Result res = req.finish();

を使う。
なんか、キモい API だなぁ・・・

詳細な仕様が謎・・・ †

• Javadoc がきちんと書かれていないし、開発者ガイドもきちんと書かれていないので createStreamScanRequest?() の詳細な仕様が謎

  scEngine.createStreamScanRequest(actualFileName, originalFileName, out, policy);

  • actualFileName? って何よ？
  • originalFileName? って何よ？
  • out は何する物？
    • どうやら、ここで指定した OutputStream? に検疫結果ファイルが吐かれるようだが・・・
    • ByteArrayOutputStream? あたりに吐かせて握りつぶすのが吉？
  • 引数で指定した policy がさくっと無視されて、サーバー(Windows 2003 Server側)の設定が使われているいるっぽいんだけど・・・
• そこら辺のところは、ちゃんとお金を払えば教えてくれるんでしょう・・・

罠 †

scEngine.createFileScanRequest()

は、クライアントとサーバが同一筐体な時しか使えない(Javadoc にも明記されている)。
普通の開発者は、scEngine を作るときに、サーバーの IP アドレスとポート番号を渡しているんだから、そうは思わないだろう・・・ちゃんとドキュメントを読まない私が悪いんですが・・・

Java