Skip to main content
Die deutsche Sprachversion wurde als Serviceleistung für Sie durch maschinelle Übersetzung erstellt. Bei eventuellen Unstimmigkeiten hat die englische Sprachversion Vorrang.

Antivirus Architektur mit ONTAP Vscan

Beitragende netapp-maireadn netapp-aaron-holt netapp-barbe netapp-powr netapp-aherbin
Änderungen vorschlagen
PDFs

Die NetApp Antivirenarchitektur besteht aus Vscan Server-Software und den zugehörigen Einstellungen.

Vscan Server-Software

Der ONTAP Antivirus Connector und die vom Partner bereitgestellte Antivirensoftware müssen auf demselben Vscan Server installiert sein.

  • ONTAP Antivirus Connector

    Diese von NetApp bereitgestellte Software übernimmt die Kommunikation bezüglich Scananfragen und -antworten zwischen den SVMs und der Antivirensoftware. Sie kann auf einer virtuellen Maschine ausgeführt werden, für optimale Leistung wird jedoch ein physischer Rechner empfohlen. Diese Software ist auf der NetApp Support Site verfügbar (Anmeldung erforderlich).

  • Antivirensoftware

    Hierbei handelt es sich um eine von einem Partner bereitgestellte Software, die Dateien auf Viren oder andere Schadsoftware überprüft. Bei der Konfiguration der Software wird festgelegt, welche Maßnahmen bei infizierten Dateien ergriffen werden.

Vscan Softwareeinstellungen

Diese Softwareeinstellungen sind auf dem Vscan Server zu konfigurieren.

  • scanner-pool

    Diese Einstellung definiert die Vscan-Server und privilegierten Benutzer, die sich mit SVMs verbinden können. Sie legt außerdem eine Zeitüberschreitung für Scan-Anfragen fest, nach deren Ablauf die Scan-Anfrage an einen alternativen Vscan-Server gesendet wird, sofern einer verfügbar ist.

    Hinweis

    Die Zeitüberschreitungsperiode der Antivirensoftware auf dem Vscan Server sollte auf fünf Sekunden weniger als die scanner-pool Scan-Anforderungs-Zeitüberschreitungsperiode eingestellt werden. So werden Situationen vermieden, in denen der Dateizugriff verzögert oder vollständig verweigert wird, weil die Zeitüberschreitungsperiode der Software länger ist als die Zeitüberschreitungsperiode für die Scan-Anforderung.

  • Privilegierter Benutzer

    Diese Einstellung ist ein Domänenbenutzerkonto, das ein Vscan-Server zur Verbindung mit der SVM verwendet. Das Konto muss in der Liste der privilegierten Benutzer im scanner-pool vorhanden sein.

  • Scannerrichtlinie

    Diese Einstellung legt fest, ob ein scanner-pool aktiv ist. Scanner-Richtlinien sind systemdefiniert, daher können keine benutzerdefinierten scanner-pool-Richtlinien erstellt werden. Nur diese drei Richtlinien stehen zur Verfügung:

    • `Primary`gibt an, dass der scanner-pool aktiv ist.

    • `Secondary`Gibt an, dass der scanner-pool nur dann aktiv ist, wenn keiner der Vscan-Server im primären scanner-pool verbunden ist.

    • `Idle`gibt an, dass der scanner-pool inaktiv ist.

  • On-Access-Richtlinie

    Diese Einstellung definiert den Umfang eines On-Access-Scans. Sie können die maximale Dateigröße für den Scan, die Dateierweiterungen und Pfade, die in den Scan einbezogen werden sollen, sowie die Dateierweiterungen und Pfade, die vom Scan ausgeschlossen werden sollen, angeben.

    Standardmäßig werden nur Lese-/Schreib-Volumes gescannt. Es können Filter angegeben werden, die das Scannen von schreibgeschützten Volumes ermöglichen oder das Scannen auf Dateien beschränken, die mit Ausführungsrechten geöffnet wurden:

    • scan-ro-volume ermöglicht das Scannen von schreibgeschützten Volumes.

    • `scan-execute-access`Beschränkt das Scannen auf Dateien, die mit Ausführungszugriff geöffnet wurden.

      Hinweis

      „Ausführungszugriff“ ist etwas anderes als „Ausführungsberechtigung.“ Ein bestimmter Client hat nur dann „Ausführungszugriff“ auf eine ausführbare Datei, wenn die Datei mit „execute intent.“ geöffnet wurde.

      Sie können die Option `scan-mandatory`auf „off“ setzen, um festzulegen, dass Dateizugriff erlaubt ist, wenn keine Vscan-Server für die Virenprüfung verfügbar sind. Im On-Access-Modus stehen diese beiden sich gegenseitig ausschließenden Optionen zur Auswahl:

    • Erforderlich: Mit dieser Option versucht Vscan, die Scananfrage an den Server zu senden, bis die Zeitüberschreitung abgelaufen ist. Wird die Scananfrage vom Server nicht akzeptiert, wird die Zugriffsanfrage des Clients abgelehnt.

    • Nicht obligatorisch: Bei dieser Option erlaubt Vscan immer den Clientzugriff, unabhängig davon, ob ein Vscan Server für die Virenprüfung verfügbar war oder nicht.

  • Auftrag auf Abruf

    Diese Einstellung definiert den Umfang eines bedarfsgesteuerten Scans. Sie können die maximale Dateigröße für den Scan, die Dateierweiterungen und Pfade, die in den Scan einbezogen werden sollen, sowie die Dateierweiterungen und Pfade, die vom Scan ausgeschlossen werden sollen, angeben. Dateien in Unterverzeichnissen werden standardmäßig gescannt.

    Ein Cron-Schedule gibt an, wann die Aufgabe ausgeführt wird. Mit dem vserver vscan on-demand-task run Befehl lässt sich die Aufgabe sofort ausführen. Weitere Informationen zu vserver vscan on-demand-task run finden sich in der "ONTAP-Befehlsreferenz".

  • Vscan Dateioperationsprofil (nur Scannen bei Zugriff)

    Der vscan-fileop-profile Parameter für den vserver cifs share create Befehl definiert, welche SMB-Dateioperationen eine Virussuche auslösen. Standardmäßig ist der Parameter auf standard gesetzt, was der NetApp Best Practice entspricht. Dieser Parameter kann bei der Erstellung oder Änderung einer SMB-Freigabe angepasst werden.

    • `no-scan`gibt an, dass für die Freigabe niemals Virenscans ausgelöst werden.

    • standard gibt an, dass Virenscans durch Öffnungs-, Schließ- und Umbenennungsvorgänge ausgelöst werden.

    • `strict`legt fest, dass Virusscans durch Öffnungs-, Lese-, Schließ- und Umbenennungsvorgänge ausgelöst werden.

      Das strict Profil bietet erhöhte Sicherheit für Situationen, in denen mehrere Clients gleichzeitig auf eine Datei zugreifen. Schließt ein Client eine Datei, nachdem er einen Virus hineingeschrieben hat, und bleibt dieselbe Datei auf einem zweiten Client geöffnet, strict wird sichergestellt, dass ein Lesevorgang auf dem zweiten Client einen Scan auslöst, bevor die Datei geschlossen wird.

      Sie sollten darauf achten, das strict Profil auf Freigaben zu beschränken, die Dateien enthalten, auf die voraussichtlich gleichzeitig zugegriffen wird. Da dieses Profil mehr Scan-Anfragen generiert, kann dies die Leistung beeinträchtigen.

    • writes-only gibt an, dass Virenscans nur dann ausgelöst werden, wenn geänderte Dateien geschlossen werden.

      Da `writes-only`weniger Scan-Anfragen generiert werden, wird die Leistung in der Regel verbessert.

    Bei Verwendung dieses Profils muss der Scanner so konfiguriert sein, dass nicht reparierbare, infizierte Dateien gelöscht oder unter Quarantäne gestellt werden, sodass kein Zugriff mehr möglich ist. Schließt beispielsweise ein Client eine Datei, nachdem er einen Virus hineingeschrieben hat, und wird die Datei nicht repariert, gelöscht oder unter Quarantäne gestellt, wird jeder Client, der auf die Datei without schreibt, infiziert.

Hinweis

Wenn eine Clientanwendung eine Umbenennung durchführt, wird die Datei mit dem neuen Namen geschlossen und nicht gescannt. Falls solche Vorgänge in Ihrer Umgebung ein Sicherheitsrisiko darstellen, empfiehlt sich die Verwendung des standard oder strict Profils.

Weitere Informationen zu vserver cifs share create finden sich in der "ONTAP-Befehlsreferenz".