Squid + Filtrage URL + Antivirus HTTP/FTP

Hello,

Je dispose dans mon entreprise actuellement d'un serveur Linux +
SquidGuard.
J'en suis vraiment très content hormi qu'il ne dispose pas d'antivirus
capable de nettoyer les flux HTTP/FTP... du coup certaines $%#&! arrivent
à rentrer.

Pour réagir a ce probleme, j'ai fais quelques recherches sur Internet et
je me suis dis que j'allais tester Viralator.
Mais franchement, je trouve ce systeme vraiment pas terrible. Un
redirecteur dans un redirecteur... bof bof.
J'ai essayé de le mettre en place, il n'y a quasiment pas de doc, pas de
forum dédié. Je me sens un peu sans amis Laughing


- Quelle solution fiable existe t'il qui pourrait me permettre de
rajouter les fonctionnalités antivirus HTTP sur mon pingouin ?

- J'ai vu qu'il existait DanGuardian (j'en entends beaucoup de bien), est
ce aussi bien que l'on le dit ?

- Puis je rajouter à mon squid + SquidGuard, DanGuardian ? Est ce qu'il
cohabite bien ? Je pose la question car SquidGuard m'offre entiere
satisfaction au niveau filtrage d'URL. Je n'ai besoin que des
fonctionnalités Antivirus de DanGuardian.
Avec cette solution, cela me permetterait de ne pas trop toucher à mon
existant.

- Dans le cas ou je dois virer SquidGuard et mettre DanGuardian. Aurais
je les meme possibilité de configuration. Comme par exemple créé des
catégories de groupe et leur donner des droits différents (ex : le
service info peut aller un peu de partout, la direction un peu moins...
associé tout cela à des range d'adresses IP...)

- Puis je faire l'installation suivante : je laisse mon proxy +
squidguard existant sur mon serveur et rediriger tout les autres flux
vers une autre machine DanGuardian qui ne fera que du dévirussage (si
j'arrive à décrocher un budget tot ou tard Razz ).


Sinon comme j'aime les cerises, le top (mais pas primordiale) c'est de
faire de l'authentification Active Directory (j'ai pas le choix du
produit :D )


Merci pour votre aide.

Salut,

tu peux regarder du coté de HAVP, s'intègre avec Squid/Squidguard sans
difficulté.
Je l'ai chez moi, aucun problème et j'envisage de le mettre au boulot
également , mais là j'ai des doutes sur la puissance de nos proxys (les
machines ont 5 ans, et faire du filtrage temps réel, je ne sais pas
combien ça va consommer).

Marc.

--
L'I2C sous Windows
http://perso.club-internet.fr/mbouget/index.html

ATTENTION : enlevez les X pour répondre (remove all X to reply)

Marc <XmbougetX@club-internet.fr> wrote in news:453e6bbe$0$21148$7a628cd7
@news.club-internet.fr:

Oui les performances, il faut que le systeme antivirus soit bien concu.
Dans ma boite, on a environ 120 stations + 50 serveurs qui doivent
accéder au Web... :(


Peux tu déjà me fournir quelques pistes pour configurer HAVP +
SquidGuard.
Je n'ai pas trouver de tutorial qui explique comment faire fonctionner
les deux en meme temps.
Sinon pour l'implémentation, d'après ce que j'ai compris, HAVP est une
application qui est "PARENT" de squid. On chaine en gros squid à HAVP.
Sinon en ce qui concerne la partie squidGuard, je ne touche à rien

Merci pour votre aide.


J'attends de nouvelles propositions / idées

Marc <XmbougetX@club-internet.fr> wrote in news:453e6bbe$0$21148$7a628cd7
@news.club-internet.fr:

Oui les performances, il faut que le systeme antivirus soit bien concu.
Dans ma boite, on a environ 120 stations + 50 serveurs qui doivent
accéder au Web... :(


Peux tu déjà me fournir quelques pistes pour configurer HAVP +
SquidGuard.
Je n'ai pas trouver de tutorial qui explique comment faire fonctionner
les deux en meme temps.
Sinon pour l'implémentation, d'après ce que j'ai compris, HAVP est une
application qui est "PARENT" de squid. On chaine en gros squid à HAVP.
Sinon en ce qui concerne la partie squidGuard, je ne touche à rien

Merci pour votre aide.


J'attends de nouvelles propositions / idées

Méthode 1 (la plus simple), qui ne scan que le HTTP :

dans squid.conf :

# HAVP include
# HAVP scans only HTTP traffic
#
-----------------------------------------------------------------------------
cache_peer 127.0.0.1 parent 8010 0 no-query no-digest no-netdb-exchange
acl Scan_HTTP proto HTTP
never_direct allow Scan_HTTP
cache_peer_access 127.0.0.1 deny !Scan_HTTP
cache_peer_access 127.0.0.1 allow Scan_HTTP

Ensuite tu configure HAVP (avec son propre fichier de conf).

Oui, HAVP est un parent et tu ne touche à rien d'autre, squidGuard fait
son travail avant lui (dans le sens poste -> proxy -> web, où donc tu
trouve tes modules :
poste -> squid -> auth -> squidguard -> havp -> web

pour les perf, 150 postes, je ne suis pas trop inquiet (perso ma cible
est à 2000 users).

Pour la méthode 2, squid écoute sur 2 ports, un pour les cliens, l'autre
pour HAVP, il est ainsi pris en sandwich et cela permet en plus de
filtrer le FTP.
Sur le site HAVP il y a qq bons exemples de config.

Marc.

--
L'I2C sous Windows
http://perso.club-internet.fr/mbouget/index.html

ATTENTION : enlevez les X pour répondre (remove all X to reply)

On Tue, 2006-10-24 at 20:04 +0000, OnEal wrote:

Dans ma boite, on a environ 120 stations + 50 serveurs qui doivent
accder au Web

Tu dois scanner tout le traffic de toutes ces machines?

Merci Marc pour toutes ces informations, c'est vraiment très clair !!
Le principe de fonctionnement me plait beaucoup !

Je compte re installer mon Squid + SquiGuard + HAVP + Clamav sur une
Fedora Core 6.

Je pense que je vais faire une poste -> squid -> auth -> squidguard ->
havp -> web.

Ce qui me fait un peu peur c'est l'installation de HAVP + SquidGuard.

Voilà ce que j'ai trouvé sur HAVP :
Installation:

configure
make
make install

You can define the virus scanner by the configure --with-scanner= option:
- libclamav = Clamav Library
- fprot = F-Prot server (f-protd)
- aveclient = Kaspersky aveclient

Copy HTML templates / Configurationfile and rc-script:

cd sourcetohavp/havp/etc
cp -r havp /etc/
cp init.d/havp /etc/init.d/

Edit the configfile:
vi /etc/havp/havp.config

Create the logfile directory:

i.e.: mkdir /var/log/havp
Make the directory writable for to the user define in havp.config
i.e. chown nobody /var/log/havp

Create the tempfile directory:
i.e.: mkdir /var/tmp/havp

!!!!!!!!This directory needs mandatory looks!!!!!!!!
Mount a filesystem with mandatory locks to /var/tmp/havp
i.e. mount /dev/hda9 /var/tmp/havp -o mand

You can also use a ramdisk, but downloaded files must be smaller than
the ramdisk!
mkfs.ext3 /dev/ram0
mount /dev/ram0 /var/tmp/havp -o mand

Make the directory writable for to the user define in havp.config
i.e. chown nobody /var/tmp/havp

Start havp:

/etc/init.d/havp start

If you have problems check the logfiles

/var/log/havp/havp.log
/var/log/havp/access.log

If you don't want to use the rc-script you can start havp directly:
/usr/local/bin/havp -c Configfile -p Pidfile
/usr/local/bin/havp -h (shows help

your browsers to point to the proxy.

Try to download eicar test virus. You have to get a Virus message!!

Check out Ideas if you want to use squid with havp.

That's all - havP fun..



C'est super short.

J'essai de faire l'installation de ces deux parties demain.
Je vous tiens au courant.

Merci

OnEal

Marc <XmbougetX@club-internet.fr> wrote in news:453e6bbe$0$21148$7a628cd7
@news.club-internet.fr:

Oui les performances, il faut que le systeme antivirus soit bien
concu. Dans ma boite, on a environ 120 stations + 50 serveurs qui
doivent accéder au Web... :(


Peux tu déjà me fournir quelques pistes pour configurer HAVP +
SquidGuard.
Je n'ai pas trouver de tutorial qui explique comment faire fonctionner
les deux en meme temps.
Sinon pour l'implémentation, d'après ce que j'ai compris, HAVP est une
application qui est "PARENT" de squid. On chaine en gros squid à HAVP.
Sinon en ce qui concerne la partie squidGuard, je ne touche à rien

Merci pour votre aide.


J'attends de nouvelles propositions / idées

Méthode 1 (la plus simple), qui ne scan que le HTTP :

dans squid.conf :

# HAVP include
# HAVP scans only HTTP traffic
#
-----------------------------------------------------------------------------

cache_peer 127.0.0.1 parent 8010 0 no-query no-digest no-netdb-exchange
acl Scan_HTTP proto HTTP
never_direct allow Scan_HTTP
cache_peer_access 127.0.0.1 deny !Scan_HTTP
cache_peer_access 127.0.0.1 allow Scan_HTTP

Ensuite tu configure HAVP (avec son propre fichier de conf).

Oui, HAVP est un parent et tu ne touche à rien d'autre, squidGuard fait
son travail avant lui (dans le sens poste -> proxy -> web, où donc tu
trouve tes modules :
poste -> squid -> auth -> squidguard -> havp -> web

pour les perf, 150 postes, je ne suis pas trop inquiet (perso ma cible
est à 2000 users).

Pour la méthode 2, squid écoute sur 2 ports, un pour les cliens, l'autre
pour HAVP, il est ainsi pris en sandwich et cela permet en plus de
filtrer le FTP.
Sur le site HAVP il y a qq bons exemples de config.

Marc.

Merci Marc pour toutes ces informations, c'est vraiment très clair !!
Le principe de fonctionnement me plait beaucoup !

Je compte re installer mon Squid + SquiGuard + HAVP + Clamav sur une
Fedora Core 6.

Je pense que je vais faire une poste -> squid -> auth -> squidguard ->
havp -> web.

Ce qui me fait un peu peur c'est l'installation de HAVP + SquidGuard.

Voilà ce que j'ai trouvé sur HAVP :
Installation:

configure
make
make install

You can define the virus scanner by the configure --with-scanner= option:
- libclamav = Clamav Library
- fprot = F-Prot server (f-protd)
- aveclient = Kaspersky aveclient

Copy HTML templates / Configurationfile and rc-script:

cd sourcetohavp/havp/etc
cp -r havp /etc/
cp init.d/havp /etc/init.d/

Edit the configfile:
vi /etc/havp/havp.config

Create the logfile directory:

i.e.: mkdir /var/log/havp
Make the directory writable for to the user define in havp.config
i.e. chown nobody /var/log/havp

Create the tempfile directory:
i.e.: mkdir /var/tmp/havp

!!!!!!!!This directory needs mandatory looks!!!!!!!!
Mount a filesystem with mandatory locks to /var/tmp/havp
i.e. mount /dev/hda9 /var/tmp/havp -o mand

You can also use a ramdisk, but downloaded files must be smaller than
the ramdisk!
mkfs.ext3 /dev/ram0
mount /dev/ram0 /var/tmp/havp -o mand

Make the directory writable for to the user define in havp.config
i.e. chown nobody /var/tmp/havp

Start havp:

/etc/init.d/havp start

If you have problems check the logfiles

/var/log/havp/havp.log
/var/log/havp/access.log

If you don't want to use the rc-script you can start havp directly:
/usr/local/bin/havp -c Configfile -p Pidfile
/usr/local/bin/havp -h (shows help

your browsers to point to the proxy.

Try to download eicar test virus. You have to get a Virus message!!

Check out Ideas if you want to use squid with havp.

That's all - havP fun..



C'est super short.

J'essai de faire l'installation de ces deux parties demain.
Je vous tiens au courant.

Merci

OnEal

Marc <XmbougetX@club-internet.fr> wrote in news:453e6bbe$0$21148$7a628cd7
@news.club-internet.fr:

Oui les performances, il faut que le systeme antivirus soit bien
concu. Dans ma boite, on a environ 120 stations + 50 serveurs qui
doivent accéder au Web... :(


Peux tu déjà me fournir quelques pistes pour configurer HAVP +
SquidGuard.
Je n'ai pas trouver de tutorial qui explique comment faire fonctionner
les deux en meme temps.
Sinon pour l'implémentation, d'après ce que j'ai compris, HAVP est une
application qui est "PARENT" de squid. On chaine en gros squid à HAVP.
Sinon en ce qui concerne la partie squidGuard, je ne touche à rien

Merci pour votre aide.


J'attends de nouvelles propositions / idées

Méthode 1 (la plus simple), qui ne scan que le HTTP :

dans squid.conf :

# HAVP include
# HAVP scans only HTTP traffic
#
-----------------------------------------------------------------------------

cache_peer 127.0.0.1 parent 8010 0 no-query no-digest no-netdb-exchange
acl Scan_HTTP proto HTTP
never_direct allow Scan_HTTP
cache_peer_access 127.0.0.1 deny !Scan_HTTP
cache_peer_access 127.0.0.1 allow Scan_HTTP

Ensuite tu configure HAVP (avec son propre fichier de conf).

Oui, HAVP est un parent et tu ne touche à rien d'autre, squidGuard fait
son travail avant lui (dans le sens poste -> proxy -> web, où donc tu
trouve tes modules :
poste -> squid -> auth -> squidguard -> havp -> web

pour les perf, 150 postes, je ne suis pas trop inquiet (perso ma cible
est à 2000 users).

Pour la méthode 2, squid écoute sur 2 ports, un pour les cliens, l'autre
pour HAVP, il est ainsi pris en sandwich et cela permet en plus de
filtrer le FTP.
Sur le site HAVP il y a qq bons exemples de config.

Marc.