|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Aleksey Barabanov 2:5020/400 24 Jan 2001 02:13:51
To : All
Subject : Re: drweb+smtp
--------------------------------------------------------------------------------
Alex Korchmar wrote:
>
> P.S. т.е. проблема та же, что у avp - проверять этим сокровищем почту - дико
> увеличивать нагрузку на почтовый сервер. Поскольку чтобы проверить письмо,
> надо его сохранить в файл. (оно, в отличие от, умеет проверять просто поток,
> но, увы, хочет _заранее_ знать его длину (и, похоже, отводит на всю эту
> длину буфер внутри себя. Что приведет к очевидным результатам в случае письма
> на двести мегабайт)
Hадеюсь после такой сентенции вы не станете утверждать, что в бытность
свою программистом писали еще и антивирусы ;) Ибо все выше сказанное с
тем самым апломбом свидетельствует об обратном.
Hе надо учить создателей антивирусов как их делать. Для непонятливых
подскажу, что вирус детектируется только по всему файлу. Как это делал
Лозинский, сигнатурами и оффсетами, как это у было Гутникова ( и
предполагаю в ДрВебе ) простенькое диассемблирование инсталлятора вируса
, все это работает только с полного файла. Вообще всякий разбор
слинкованного объектного кода wintel происходит только со всего файла.
Это только "глупый" gzip ужимает потоки, а "умные" ДОС-архиваторы
работают только со всем файлом. С макро-вирусами практичеки та-же
история. А уж все мутирующие и стелс экземпляры требуют просто очень
интенсивной обработки опять же всего файла. Эвристики это вообще
отдельная тема. Короче, не надо ждать, что антивирусы начнут
обрабатывать поток.
Вопрос надо ставить совершенно в иной плоскости.
1.Всякое антивирусное фильтрование имеет смысл только в конечной точке
передачи письма. Если иначе , то это получается фактически фильтр на
реллее. Учитывая, что это рестриктивная операция, то никакой
промежуточный узел не имеет права принимать решения по моей почте кроме
того кому эта почта предназначена.
2.В конечной точке любого smtp пути стоит или pop или imap или в том или
ином виде некий файловый буфер. Все, приплыли ! Получили файл. Какие
проблемы с его обработкой ? Систему грузит , так поступайте с этим как
всегда - или увеличивайте мощность или снижайте загрузку.
Я отлично понимаю источник всеобщего заблуждения. Если почта , то smtp.
Hо вот например почтовый фильтр дядьки Hортона вешается на pop. Hе
купился старикан, сразу все прочухал, как надо.
Это конечно мое личное мнение, но не надо антивирус прикручивать к
sendmail-у как бы последний вам не нравился. Вы же сами видели результат
;) Hе выходит каменный цветок ;)
Другое дело затраты на форки или иные ветвления уже запущенного демона
(см. ДрВеб) или просто некого файл-сканера который должен еще и вирусную
базу загрузить. Hо это проблема в ДрВебе решена. Вот правда сделан он
как ну просто подстава сисадмина. Демон без какой-нибудь фильтрации
коннектов и вешающийся сразу на все интерфейсы ;) В форуме уже ДоСов
накидали. Да и АПИ нехорошее. Вроде некий интерфейс и как бы протокол,
но весь бинарный ;( Т.е. просто заменили вызов call на tcp/ip.
Hо не надо тушить о создателей ДрВеба окурки. Пусть ребята подростут.
Хотя простой антивирусный сканер пишется за пару вечеров, но никому не
собрать альтернативной базы вирусов для обучения. Если не ДрВеб , то в
нашем отечестве наверное и никто больше.
Гораздо больший интерес вызывает тот факт, что в стандартном
цельнотянутом варианте бесплатно раздаваемые антивирусы или их версии
обычно выполняли только операцию детектирования вируса, но не "лечили"
файл. Видимо у продавцов остается маркетинговая ниша желающих всеже
"вылечить" файл, которые будут вынуждены закупать полные версии. Hо это
имело смысл только для тех ОС где эти вирусы размножались и тем самым
повреждали незаменимую или трудно восстановимую информацию. В случае же
с почтой такого не происходит. Письмо не надо "лечить" его надо просто
выкинуть. Получается полный облом ;) с точки зрения продаж антивирусов с
восстановлением данных.
Bye.
--
Aleksey Barabanov <alekseybb@mtu-net.ru>
--- ifmail v.2.15dev5
* Origin: Home office (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
