ONTAP Antivirus Connector

富士通が提供するONTAP Antivirus Connectorは、ONTAPとVscanサーバー間の通信を処理します。
ウイルス対策ソフトウェア

ONTAP対応のサードパーティ製ウイルス対策ソフトウェアは、ファイルにウイルスなどの悪意のあるプログラムがないかをスキャンします。ソフトウェアを設定する際に、感染したファイルに対して実行する処理を指定します。

ONTAPの設定項目

富士通のストレージシステムで次の項目を設定する必要があります。

スキャナプール

スキャナプールは、SVMに接続できるVscanサーバーと特権ユーザーを定義します。また、スキャン要求のタイムアウト時間も定義します。この時間が経過すると、代わりのVscanサーバーがある場合はそのサーバーにスキャン要求が送信されます。

Vscanサーバーのウイルス対策ソフトウェアのタイムアウト時間は、スキャナプールのタイムアウト時間よりも5秒ほど短く設定することを推奨します。ソフトウェアのタイムアウト時間がスキャン要求のタイムアウト時間よりも長いと、ファイルアクセスに時間がかかったり、完全に拒否されてしまう可能性があります。

特権ユーザー

特権ユーザーは、VscanサーバーがSVMへの接続に使用するドメインユーザーアカウントです。スキャナプールに定義された特権ユーザーのリストに含まれている必要があります。
スキャナポリシー

スキャナポリシーは、スキャナプールがアクティブかどうかを定義します。スキャナポリシーには次のいずれかの値が設定されます。
- Primary ：スキャナプールをアクティブにします。
- Secondary ：プライマリースキャナプールのVscanサーバーが1つも接続されていない場合にのみスキャナプールをアクティブにします。
- Idle ：スキャナプールを非アクティブにします。スキャナポリシーはシステムで定義されます。カスタムのスキャナポリシーを作成することはできません。

オンアクセスポリシー

オンアクセスポリシーはオンアクセススキャンの範囲を定義します。スキャンするファイルの最大サイズ、スキャン対象に含めるファイルの拡張子、およびスキャン対象から除外するファイルの拡張子とパスを指定できます。

デフォルトでは、読み取り/ 書き込みボリュームのみがスキャンされます。読み取り専用ボリュームのスキャンを有効にするフィルターや、実行アクセス権で開かれたファイルのみにスキャンを制限するフィルターを指定できます。

scan-ro-volume ：読み取り専用ボリュームのスキャンを有効にします。

scan-execute-access ：実行アクセス権で開かれたファイルのみをスキャンします。

「実行アクセス権」は「実行権限」とは異なります。「実行アクセス権」は、クライアントが「実行目的」で実行可能ファイルを開いた場合にのみそのファイルに対して付与されます。

scan-mandatory オプションをoffに設定すると、ウイルススキャンに使用できるVscanサーバーがない場合にファイルアクセスが許可されます。

オンデマンドタスク

オンデマンドタスクはオンデマンドスキャンの範囲を定義します。スキャンするファイルの最大サイズ、スキャン対象に含めるファイルの拡張子とパス、およびスキャン対象から除外するファイルの拡張子とパスを指定できます。デフォルトでは、サブディレクトリー内のファイルもスキャンされます。

cronスケジュールを使用していつタスクを実行するかを指定できます。 vserver vscan on-demand-task run コマンドを使用すると、タスクをただちに実行できます。

Vscanファイル処理プロファイル（オンアクセススキャンのみ）

vserver cifs share create コマンドの -vscan-fileop-profile パラメーターは、ウイルススキャンをトリガーするSMB共有での処理を定義します。このパラメーターは、デフォルトでは富士通のベストプラクティスに従って standard に設定されます。

このパラメーターは、SMB共有を作成または変更するときに必要に応じて調整できます。

no-scan ：共有に対してウイルススキャンを一切トリガーしません。
standard ：開く、閉じる、名前変更の各処理でウイルススキャンをトリガーします。
strict ：開く、読み取る、閉じる、名前変更の各処理でウイルススキャンをトリガーします。

strict プロファイルは、複数のクライアントが同時にファイルにアクセスする状況でセキュリティを強化できます。 strict では、あるクライアントがウイルスを書き込んだあとにファイルを閉じたときに別のクライアントが同じファイルを開いていた場合、2番目のクライアントがファイルを閉じる前に読み取り処理を実行した場合にもスキャンがトリガーされます。

strict プロファイルは、同時にアクセスされる可能性のあるファイルを含む共有にのみ適用してください。このプロファイルは他のプロファイルよりも多くのスキャン要求を生成するため、パフォーマンスの低下を招くことがあります。

writes-only ：変更されたファイルが閉じられたときにのみウイルススキャンをトリガーします。

クライアントアプリケーションによって名前が変更された場合、ファイルは新しい名前で閉じられるためスキャンされません。このような処理によるセキュリティの懸念がある環境では、 standard プロファイルまたは strict プロファイルを使用してください。

writes-only は他のプロファイル（ no-scan は除く）よりも生成されるスキャン要求が少ないため、一般にパフォーマンスは高くなります。

ただし、このプロファイルを共有に使用する場合は、修復不可能な感染ファイルは削除または隔離するようにスキャナを設定し、以降クライアントがアクセスできないようにする必要があります。たとえば、あるクライアントがウイルスを書き込んだあとにファイルを閉じ、そのファイルが修復、削除、または隔離されていない場合、以降に書き込み以外の目的でアクセスしたクライアントがすべて感染します。