Ein ICAP-Virenscanner (z. B. Kaspersky, Sophos, McAfee, Symantec, Avira, ClamAV) kommuniziert Virenfunde über das ICAP-Protokoll an den ICAP-Client (z. B. einen Proxy wie Squid). Die Signalisieru... [mehr]
1 Frage zu Virenfund
Neue Frage stellenFragen und Antworten zum Thema Virenfund
Wie signalisiert ein ICAP-Virenscanner einen Virenfund? Vollständige Übersicht mit konkreten Werten.
Ein ICAP-Virenscanner (z. B. Kaspersky, Sophos, McAfee, Symantec, Avira, ClamAV) kommuniziert Virenfunde über das ICAP-Protokoll an den ICAP-Client (z. B. einen Proxy wie Squid). Die Signalisierung erfolgt dabei über den HTTP-Statuscode und spezifische Header im ICAP-Response. Die genaue Ausgestaltung kann je nach Hersteller leicht variieren, aber es gibt typische und weit verbreitete Standards. **Typische Signalisierung eines Virenfunds durch einen ICAP-Virenscanner:** 1. **ICAP-Statuscode:** - `ICAP/1.0 200 OK` (Der Request wurde verarbeitet, aber das bedeutet nicht, dass kein Virus gefunden wurde! Die eigentliche Information steht in den HTTP-Headern.) 2. **HTTP-Statuscode im encapsulated HTTP-Response:** - `HTTP/1.1 403 Forbidden` (Oft bei Virenfund, um dem Client mitzuteilen, dass der Zugriff verweigert wird.) - Alternativ: `HTTP/1.1 200 OK` mit zusätzlichem Hinweis im Body oder Header. 3. **ICAP-spezifische Header:** - `X-Virus-ID: <Name des Virus>` (z. B. `X-Virus-ID: Eicar-Test-Signature`) - `X-Infection-Found: <Details>` (z. B. `X-Infection-Found: Type=0; Resolution=2; Threat=Eicar-Test-Signature`) - `X-Virus-Status: Infected` (Manchmal auch: `X-Virus-Status: Clean`) 4. **Body/Content:** - Der Body kann eine HTML-Seite mit einer Warnung enthalten, z. B. „Access Denied – Virus Found: Eicar-Test-Signature“. **Konkret sieht ein ICAP-Response bei Virenfund oft so aus:** ``` ICAP/1.0 200 OK Date: Fri, 07 Jun 2024 12:00:00 GMT Server: Example-ICAP-Server/1.0 Connection: keep-alive ISTag: "ICAPServer-123456" Encapsulated: res-hdr=0, res-body=234 HTTP/1.1 403 Forbidden Content-Type: text/html X-Virus-ID: Eicar-Test-Signature X-Infection-Found: Type=0; Resolution=2; Threat=Eicar-Test-Signature <html> <head><title>Virus Found</title></head> <body> <h1>Access Denied</h1> <p>Virus detected: Eicar-Test-Signature</p> </body> </html> ``` **Zusammenfassung der wichtigsten Werte:** | Header/Status | Typischer Wert bei Virenfund | |------------------------ |---------------------------------------------| | ICAP-Status | 200 OK | | HTTP-Status | 403 Forbidden (oder 200 OK mit Warnung) | | X-Virus-ID | Name des Virus (z. B. Eicar-Test-Signature) | | X-Infection-Found | Details zum Fund | | X-Virus-Status | Infected | **Herstellerspezifische Dokumentation:** - [Kaspersky ICAP](https://support.kaspersky.com/KICS/3.7/en-US/198670.htm) - [Sophos ICAP](https://docs.sophos.com/nsg/sophos-firewall/19.5/help/en-us/webhelp/onlinehelp/AdministratorHelp/WebProtection/ICAP/index.html) - [ClamAV ICAP](https://github.com/ehlers/clamav-icap) Die tatsächlichen Header und Werte können je nach eingesetztem Scanner und Konfiguration abweichen, aber die oben genannten sind branchenüblich.
