Come installare ClamAV su Debian 12

ClamAV su Debian 12: installazione e primo settaggio

ClamAV su Debian 12 si installa in modo pulito dai repository ufficiali. Il punto non è solo avere il motore antivirus, ma farlo lavorare con firme aggiornate, servizio attivo e una procedura di scansione che non impatti inutilmente il sistema. Su una macchina server, la differenza la fa il ciclo operativo: installazione, update firme, verifica del servizio, test su un file innocuo, pianificazione scansioni e controllo dei log.

Questa guida parte da un host Debian 12 aggiornato, con accesso amministrativo via sudo. Se il server è in produzione, considera ClamAV come un controllo aggiuntivo, non come sostituto di hardening, patching e separazione dei privilegi.

Pacchetti da installare

Su Debian 12 i pacchetti essenziali sono pochi:

• clamav: motore e strumenti base, incluso clamscan.
• clamav-freshclam: aggiornamento automatico delle firme.
• clamav-daemon: demone clamd, utile per scansioni più rapide e integrazioni con altri servizi.

Installazione:

sudo apt update
sudo apt install clamav clamav-freshclam clamav-daemon

Se vuoi solo una scansione occasionale manuale, il demone non è strettamente necessario. Se invece prevedi controlli frequenti, integrazione con mail server, file upload o automazioni, il demone conviene quasi sempre.

Dopo l’installazione verifica che i binari siano presenti:

clamscan --version
freshclam --version
clamdscan --version

Atteso: output con versione installata, senza errori di comando non trovato.

Aggiornamento firme con freshclam

Le firme sono il cuore del sistema. Senza aggiornamenti, ClamAV perde rapidamente utilità. Debian attiva in genere il servizio di aggiornamento tramite freshclam, ma vale la pena controllare subito stato e log.

systemctl status clamav-freshclam --no-pager
journalctl -u clamav-freshclam -n 50 --no-pager

Atteso: servizio active (running) e nessun errore di download o rate limit. Se il servizio non parte, il problema più frequente è un lock file residuo o una configurazione non allineata dopo installazione manuale.

Forzare un aggiornamento manuale è utile per validare il canale di download:

sudo freshclam

Atteso: download delle definizioni o messaggio che indica database già aggiornato. Se compare un errore di blocco per aggiornamenti troppo frequenti, significa che freshclam è stato eseguito troppo spesso: in quel caso lascia lavorare il servizio automatico e non insistere con update manuali ripetuti.

Se vuoi controllare dove vengono salvate le firme, il path tipico è:

• /var/lib/clamav

Verifica presenza file database, ad esempio:

ls -lh /var/lib/clamav

Atteso: file come daily.cvd, main.cvd o equivalenti, con timestamp recente.

Avvio e verifica di clamd

Il demone clamd permette scansioni più efficienti rispetto a lanciare ogni volta il motore standalone. È particolarmente utile su file server, sistemi con molti file o integrazioni applicative.

Controllo stato:

systemctl status clamav-daemon --no-pager
journalctl -u clamav-daemon -n 50 --no-pager

Atteso: servizio attivo. Se non parte, controlla prima il file di configurazione e poi i permessi sulla directory delle firme e sulla socket.

I file di configurazione più rilevanti sono in genere:

• /etc/clamav/clamd.conf
• /etc/clamav/freshclam.conf

Su Debian spesso alcuni parametri sono commentati o preimpostati. Non modificare a caso: prima verifica il contenuto e fai un backup dello stato attuale.

sudo cp /etc/clamav/clamd.conf /etc/clamav/clamd.conf.bak
sudo cp /etc/clamav/freshclam.conf /etc/clamav/freshclam.conf.bak

Se devi cambiare un parametro, usa un editor e mantieni traccia del diff. Esempio di controlli utili:

• LocalSocket: percorso della socket di clamd.
• LogFile: file log del demone.
• DatabaseDirectory: directory delle firme.

Verifica della socket, se prevista dalla configurazione:

ss -ltnup | grep clamd || true
ls -l /run/clamav/

Atteso: socket presente e accessibile dal processo che deve usarla.

Scansione manuale di prova

Prima di schedulare scansioni o agganciare ClamAV a servizi in produzione, fai un test su una directory piccola e nota. Non serve stressare il server: serve validare che il motore legga i file, trovi le firme e scriva output coerente.

Scansione di una directory utente o di test:

clamscan -r /home/utente/test

Atteso: elenco dei file scansionati e, se non ci sono rilevazioni, messaggio finale con 0 Infected o equivalente.

Per un test più controllato, puoi usare il file di prova EICAR, che è innocuo e serve proprio a verificare la catena antivirus. Non è malware reale.

printf 'X5O!P%%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > /tmp/eicar.txt
clamscan /tmp/eicar.txt

Atteso: rilevazione positiva sul file di test. Se non viene rilevato, il problema è quasi sempre nel database firme o nel motore non aggiornato.

Se usi il demone, la scansione può passare da clamdscan:

clamdscan /tmp/eicar.txt

Atteso: stesso risultato, ma con tempi migliori in caso di scansioni ripetute.

Configurazione minima consigliata

Per un server Debian 12 standard, la configurazione minima è questa: aggiornamento automatico firme, demone attivo se serve, scansioni manuali o programmate, log leggibili e nessuna modifica invasiva ai permessi di sistema.

Controlla che il servizio di aggiornamento sia abilitato al boot:

systemctl is-enabled clamav-freshclam
systemctl is-enabled clamav-daemon

Atteso: enabled almeno per clamav-freshclam. clamav-daemon può restare disabilitato se non ti serve.

Se vuoi una scansione periodica dell’area upload o di una directory specifica, è più sicuro creare un timer o un cron dedicato piuttosto che una scansione globale del filesystem. Esempio di target sensato:

• /srv/uploads
• /var/www se ospiti contenuti caricati dagli utenti
• /home solo se hai reale necessità operativa

Evita scansioni indiscriminate su interi volumi di sistema senza esclusioni: aumentano il carico e generano rumore, specie su server con molti inode.

Scansione programmata con cron

Se vuoi una soluzione semplice, cron resta sufficiente. L’idea è scansionare una directory precisa e salvare il log in un file dedicato. Non scrivere output in posti casuali: tienilo sotto controllo e ruotalo se cresce.

Esempio di job giornaliero alle 03:15:

sudo crontab -e

Inserisci una riga simile:

15 3 * * * /usr/bin/clamscan -r --infected --log=/var/log/clamav-scan.log /srv/uploads

Atteso: log con solo i risultati rilevanti e file accessibile da root. Se il log cresce troppo, valuta logrotate.

Verifica manuale del log:

tail -n 50 /var/log/clamav-scan.log

Atteso: timestamp, percorso scansionato, eventuali rilevazioni. Se il file resta vuoto, controlla i permessi della directory o il comando cron effettivamente eseguito.

Integrazione con web server e mail server

ClamAV spesso si usa per contenuti caricati via web o per il filtraggio mail. Su Debian 12 l’integrazione dipende dal componente che vuoi proteggere: web app, MTA, IMAP, o pipeline custom.

Per upload web, il punto corretto è la directory temporanea o di destinazione controllata dall’applicazione. Non affidarti solo a una scansione notturna: meglio scansionare al momento del caricamento o prima dell’esposizione del file.

Per i mail server, la scelta cambia in base allo stack: Postfix, Exim, Dovecot o filtri esterni. In questi casi il demone clamd è più adatto del motore standalone perché riduce overhead.

Se non hai ancora un’integrazione pronta, la regola pratica è semplice: prima fai funzionare bene freshclam e clamd, poi colleghi il servizio a monte.

Controlli di sicurezza e hardening base

ClamAV aggiunge un controllo utile, ma non deve diventare un nuovo punto debole. Mantieni il principio del minor privilegio, specialmente se il demone viene esposto a servizi esterni tramite socket.

• Lascia i file di configurazione leggibili solo da root dove possibile.
• Evita di aprire porte di rete per clamd se non serve davvero.
• Controlla i permessi delle directory scansionate, soprattutto se contengono upload utenti.
• Non salvare credenziali o token in chiaro nei job di scansione o nei log.

Verifica che non ci siano socket o porte non necessarie esposte:

ss -ltnup

Atteso: nessuna esposizione inattesa del demone verso reti non previste.

Problemi comuni e lettura rapida dei log

I guasti più frequenti sono prevedibili: firme non aggiornate, demone non avviato, permessi sbagliati, scansione troppo pesante, spazio disco insufficiente per i log.

Controlli rapidi:

journalctl -u clamav-freshclam -n 100 --no-pager
journalctl -u clamav-daemon -n 100 --no-pager
df -h
free -h

Atteso: nessun errore di download, nessun crash del demone, spazio disco sufficiente e memoria non sotto pressione. Se trovi errori tipo database corrotto o file non leggibile, rinomina temporaneamente la directory firme e rilancia freshclam, ma solo dopo aver verificato il motivo del guasto e con backup minimo dello stato attuale.

Se l’host è molto piccolo, valuta il costo di scansioni ricorsive complete. In quel caso è meglio limitarsi alle aree a rischio reale e tenere monitorato il tempo di esecuzione, non solo il numero di file scansionati.

Verifica finale e manutenzione

A installazione conclusa, la checklist minima è questa:

1. clamav, clamav-freshclam e, se serve, clamav-daemon installati.
2. freshclam aggiornato e servizio attivo.
3. Test EICAR rilevato correttamente.
4. Scansione mirata su directory reale completata senza errori.
5. Log consultabili e spazio disco sotto controllo.

Per manutenzione ordinaria, controlla almeno:

• stato servizi con systemctl status
• log con journalctl
• aggiornamento firme con freshclam
• eventuale crescita dei log in /var/log

Se gestisci più server, standardizza la stessa procedura su tutti: pacchetti, directory scansionate, orari, log e retention. La coerenza operativa riduce gli errori più di qualunque tuning estemporaneo.

Assunzione: Debian 12 standard con accesso root o sudo, repository ufficiali abilitati e nessun proxy o mirror aziendale che alteri il download delle firme.