Как пофиксить ClamAV?

Question

[Николай]

Поставил на vds сервер с debian 9 на борту антивирусник clamav. С обновлением баз кое как разобрался (ручное обновление), но как быть с прожорливостью?

Процесс clamd жрет почти 1,5 гига оперативки (смотрел в htop) из моих 2-х. Как это починить или хотябы выяснить причину?
P.S. забыл вложить системный лог

и лог самого clamav

Answer 1

[Zerg89]

Можно попробовать уменьшить максимальное количество потоков в файле
clamd.conf
MaxThreads NUMBER
Maximum number of threads running at the same time.
Default: 10

Comments

[Николай]

А как это может повлиять на безопасность? Допустим я поставлю 5 или вообще 1?
P.S. как вариант выключил сканирование почты, т.к. не пользуюсь им. Жду результатов. Потом попробую ваше предложение, но хотелось бы знать о последствиях

[Zerg89]

Николай, Это может замедлить скорость сканирования при большом трафике данных, на безопасность не повлияет
Ps если грубо то этот параметр указывает сколько копий процесса держать запущеными для обработки данных

[Николай]

Zerg89, снизил до 5 и перезапустил демона, предварительно выполнив systemctl daemon-reload. Абсолютно ничего не изменилось. Может дело в конфигах обновлений? Они же заблокировали российские ip

[Николай]

Zerg89, вложил скриншоты с логами.

[Zerg89]

Николай, лучше посмотреть применились конфиги или нет на самих потоках
top -H | grep clamd
Если нет сначала
service clamd reload
Или
service clamav reload
это подгрузит новый конфиг службе.
Возможно что clamd не умеет динамически управлять потоками, тогда
systemctl restart clamd

[Николай]

Zerg89, спасибо. Обязательно попробую. А сколько в среднем ОЗУ занимает нормально работающий clamav?

[Николай]

Zerg89, не помогло

[Zerg89]

Николай, 2 года назад было 250мб
тык

[Николай]

Zerg89, перешел по ссылке и обратил внимание на следующее:

установить размер резидентного набора. Если это удастся, то размер резидентного набора меньше размера рабочего набора приведет к перегрузке процесса в своп и обратно.

Дело в том, что у меня своп всего 128 МБ без возможности расширения (ограничение поставщика). Может изза этого озу и забивается?

[Zerg89]

Swap для проточного антивируса плохо.
Давай так для чего тебе антивирус на отдельном серве и сколько ты за это получаешь?

[Николай]

Zerg89, я в минусе) а проект мой собственный. Финансов на найм прогеров нет и не предвидется. Вот и занимаюсь сам. На мой взгляд наличие антивира более чем желательно, т.к. проект на cms со сторонними плагинами и т.п., которые я не редко меняю (экспериментирую). Кроме того юзеры будут заливать файлы, что зареганные, что не зареганные. Если сервер заразится и начнет впаривать попап баннеры и делать рассылки со спамом на почту, боюсь, большая часть юзеров не захочет возвращаться

Answer 2

[freedom1b2830]

Это из-за количества загруженых в озу сигнатур (

Comments

[Николай]

А это можно было скинуть на своп?

[freedom1b2830]

Не знаю, у меня не выгружало

[Николай]

freedom1b2830, а сколько занимало памяти?

[freedom1b2830]

Николай, 1.9-2 гб

[Николай]

Пообщался с одним чуваком. Он говорит что своп не хранит файлы, а хранит страницы памяти озу.
Где то на просторах тырнета я вычитал, что кламав держит в озу всю сигнатуру и разделить его нельзя, потому что никогда не знаешь какой именно попадется вирус. Тут напрашивается вывод, что пихать это все в своп, как минимум, не разумно, т.к. своп тысячекратно медленней озу и цпу придется все это гонять туда-обратно. Как то слишком напряжно получается

[freedom1b2830]

Николай, я не говорил что своп хранит файлы,
а про медлительнось это факт