中国移动SAVForDomino防病毒安全配置手册.docx

密 级：
文档编号：
项目代号：

中国移动SAV For Domino
防病毒产品安全配置手册

Version 0.2

中国移动通信有限公司
二零零四年十二月

文档信息
文档名称

文档管理编号

保密级别

文档版本号

制作人

制作日期

版本变更记录
时间
版本
说明
修改人

目录
第一章 SAV FOR DOMINO概况 4
1.1保护对象 4
1.2产品部署架构 4
1.3产品实施步骤 4
第二章 SAV FOR DOMINO安装 5
2.1安装前的准备 5
2.2安装步骤 5
2.3 SAV For Domino管理员权限设置 6
2.4 SAV For Domino的邮件策略 7
2.4.1邮件防护 7
2.4.2实时防护扫描 8
2.4.3内容过滤设置 9
第三章 管理员日常维护工作 10
3.1清理隔离区文件和日志文件 10
3.2留意病毒传染源 10
3.3设置紧急的临时策略 11
3.3.1邮件服务器异常触发条件 11
3.3.2邮件服务异常处理 11
第四章 启动SAV For Domino的DeBug功能 13
第五章 如何手动更新SAV FOR DOMINO的病毒代码 14
第六章 卸载SAV FOR DOMINO 17

第一章 SAV FOR DOMINO概况 

1.1保护对象  

使用Lotus Domino系统构建公司邮件系统，其中一台POP3服务器，一台SMTP服务器和MTA服务器；一台服务器使用sendmail做为邮件relay服务器。所有服务器的操作系统均为IBM的AIX操作系统。
1.2产品部署架构  

内外所有的邮件交流都需要经过MTA，将SAV For Domino安装部署在那台做为MTA服务器的Domino系统上，对所有进出内网的邮件进行病毒防护和内容过滤。
1.3产品实施步骤  

将MTA服务器的Domino停止服务，进行备份，安装SAV For Domino，安装完成后启动Domino服务。
第二章 SAV FOR DOMINO安装 

2.1安装前的准备 
确定Domino系统的版本和所运行的AIX版本，安装时需要AIX管理员权限、Domino管理员权限, 先将SAV/F for Domino软件安装程序上传到将要部署的Domino服务器上，停止Domino服务，下载最新病毒定义文件，备份系统配置文件。
2.2安装步骤 

1、先以Domino管理员的身份登陆系统，退出Domino Server服务。
2、切换到AIX系统管理员身份（一般为root,su - notes）,进入终端界面。
3、插入SAV/F for Domino on AIX的安装盘。安装CDROM文件系统（键入下列命令：mount /CDROM）。
4、进入SAV/F for Notes安装目录：键入 cd /CDROM命令。
5、运行安装程序：键入./install。
6、当运行安装程序后，会出现下列提示：
1. Start Installation
2. Cancel
Option[1]
7、选择1，然后敲回车键。
8、接下来会有阅读许可协议的屏幕，按空格键直到看完（出现100%），出现“Press <RETURN> to Continue”后按回车键。
9、 出现下列提示：
Symantec Licenses Agreement
1, Re-read License Agreement
2,Accept the Agreement
3,Decline the Agreement
Option[2]
10、 出现上述提示后键入2，然后敲回车键。
11、 出现下列提示：
1,View replication instructions
2,Go to next screen
3,Go to previous screen
4,Cancel the NAV installion
Option[2]
12、 出现上述提示后键入2，然后敲回车键。
13、 在此期间SAV 会自动搜索NOTES 的PARTITION 信息。搜索完毕后会出现下列提示：
Select the partion on which you wish to install SAV
/E1Nfs Option (y/n):[Y]
“E1Nfs是NOTES的PARTION名称或NOTES 的数据目录名”，选择Y，然后按回车键进行安装。
14、 出现下列提示后，选择2，然后按回车键。
Do you want to run Liveupdate now?
1, Run Liveupdate (Require Internet Access)
2, Go to next screen
Option[2]
到目前为止，所有安装过程已经完成，屏幕上会出现安装完成的提示。
2.3 SAV For Domino管理员权限设置

1. 在服务器上打开Lotus Notes客户机，并以Notes管理员的id登陆。

2. 先设定sav.nsf,savlog.nsf数据库的存取控制列表（ACL），使只有管理员和授权用户才具有SAV/F for Domino数据库的访问权限。操作方法是鼠标右键单击sav（savlog）按钮，然后选择“数据库”——“访问控制”——选择授权用户给他们分配权限。
2.4 SAV For Domino的邮件策略

2.4.1邮件防护
1) “Options”选项卡，共有三个子选项，分别是“Scanning”、“Backup”、“Virus Processing”。
Ø “scanning”选项用中：所要扫描的文件为带常用扩展名的文件；所要排除扫描的数据库为空；指定扫描时临时文件的路径为AIX的临时文件夹。
Ø “Backup”选项用来配置发现病毒邮件时采用修复前和删除前全备份备份。
Ø “Virus Processing”选项中“Bloodhound病毒探测技术”设为中级；启用“包含数字签名的附件的扫描”
2) “Logging”选项卡中，将登陆错误、无效地址、恶意邮件等消息和所有病毒邮件记录到日志。
3) “Virus Notification”选项卡中设置将病毒警报邮件发送给病毒管理员、网络管理员
4) “MIME”选项卡中设置当发现有恶意的HTML邮件发送时，不用文本文件代替。
2.4.2实时防护扫描

1) 在Basic选项卡上，选择实时防护的触发条件：启用邮件路由，或者文档写入，发生以上两种情况之一的时候就触发实时防护。
2) 在Opotion选项卡上，选择所要排除扫描的数据库，根据扩展名选择所要扫描的附件，以及当发现有恶意的HTML邮件发送时，不用文本文件代替。
3) 在“Action”选项卡上，选择实时防护扫描发现病毒时所采取的操作。第一步， “清除文件中的病毒”；第二步，如果无法修复文件中的病毒，“隔离受感染的文件”。这样操作会占用大量的磁盘空间，但是如果有用户重要的邮件感染病毒，可以通过隔离区找到并恢复该邮件。
4) 在“Notification”选项卡上，选择实时防护扫描发现病毒时，病毒警报邮件发送给病毒管理员、网络管理员：填写管理员的邮件地址
配置界面如下图所示：

2.4.3内容过滤设置

邮件服务器每天都会收到大量的垃圾邮件，大大影响了服务器的性能，根据当前实际网络环境中发现的病毒邮件的规律添加相应的过滤规则进行过滤。现根据垃圾邮件的数量主要定制了针对于邮件主题和发信人地址进行过滤，随着垃圾邮件变化的规律及时变更和添加新的过滤策略。
过滤规则配置界面如下图。

第三章 管理员日常维护工作

3.1清理隔离区文件和日志文件

SAV for Domino每天会产生大量的日志文件，包括系统正常的SMTP的日志信息,病毒邮件日志，过滤的垃圾邮件日志等，虽然这些短期内日志占用的磁盘空间不大，但是这些日志每日大量的递增也会影响查询日志的的效率和系统的磁盘空间，需要定期对这些日志进行清除，如有需要清除前可对存储的日志进行备份。
如果在配置防病毒策略时选择了将病毒邮件隔离的策略，那每天都会有大量的病毒隔离邮件，这些隔离文件占用大量的磁盘空间，如果没有特别重要的邮件要恢复需要每日清除隔离区文件。
3.2留意病毒传染源

SAV for Domino会记录每个病毒邮件的详细信息，通过查看和检索可以很容易找到某封病毒邮件的详细信息。通过病毒邮件统计可以直观查看截获的病毒邮件数量和类型。如图：

3.3设置紧急的临时策略

当病毒邮件或SAV For Domino软件本身的问题影响到邮件系统时，必须根据具体情况及时更改SAV For Domino的某些设置和策略。
3.3.1邮件服务器异常触发条件

1、 用户申告收发邮件异常，用户无法向外网发邮件，或无法接收外网发来的邮件；
2、 邮件服务器管理员申告异常，
3、 应用管理员申告邮件异常
4、 其它（告警方式）
3.3.2邮件服务异常处理

当邮件服务器异常时，省公司安全管理员、邮件服务器管理员、应用程序管理员三方立即组成应急处理小组，分头查看OA服务日志、AIX操作系统日志、通过命令ps –ef|nntask察看邮件防病毒系统的运行情况、查看邮件服务器上硬盘空间的使用情况，尤其是sav for domino产生的日志文件以及隔离区文档的大小，以找出故障发生的原因。
处理方法：
第一， 根据OA的服务日志，若某些正常邮件被防病毒软件的内容过滤规则挡住的话，则要删除某些添加的过滤规则，之后要进行内外网间收发邮件的测试；
第二， 若sav for domino产生的日志文件过大，要定期删除日志文件以及隔离区中的文件；
第三， 由省公司安全管理员下载最新病毒定义码，升级邮件服务器的病毒定义码至最新，同时联系symantec的中国区技术支持，获取最新版sav for domino以备升级，升级前应向有关领导提交升级方案，并通知邮件服务器管理员和应用程序管理员做好系统以及数据库的备份，以免造成不必要的损失。
第四， 当邮件服务器无法与外网进行通信时，应先查看邮件队列中的死信是不是比较多，请先删除这些死信，并清空邮件队列，重启Domino服务，然后进行内外网间收发邮件的测试，观察一下邮件服务器运行是否正常；若故障依然存在，可以进行三种测试，以确认是实时防护还是内容过滤功能引起此故障的，分别是：（1）同时禁用SAV for Domino中的实时防护和内容过滤功能，然后进行内外网间收发邮件的测试；（2）启用SAV for Domino中的实时防护功能，禁用内容过滤功能，然后进行内外网间收发邮件的测试；（3）禁用SAV for Domino中的实时防护功能，启用内容过滤功能，然后进行内外网间收发邮件的测试。

第四章 启动SAV For Domino的DeBug功能

1、停止Domino服务，备份notes.ini文件；
2、在notes.ini文件添加以下内容：
SAVTrace=5
SAVTraceDest=3
SAVTraceDestSize=10
SAVTraceDetach=1
SAVTraceHook=2
SAVTraceHookDestSize=10
并保存修改后的notes.ini；
3、启动Domino服务。
4、观察nntask进程的资源占用情况，并与以往所取数据进行比对，以调整debug所记录的日志内容。
5、 debug日志默认保存路径及文件名：
/tmp/savlog/<servername>_savtask0.txt
/tmp/savlog/<servername>_savtask1.txt
/tmp/Nlog0.txt
/tmp/Nlog1.txt

第五章 如何手动更新SAV FOR DOMINO的病毒代码

为保证邮件防病毒系统的病毒定义为最新可以每日手动更新病毒定义，在symantec病毒定义网页下载最新的病毒定义文件，服务器端可将扩展名为sh的文件下载上传到AIX服务器上，运行该病毒定义的脚本程序即可。下载病毒定义步骤如下：
1. 打开IE ，登录到赛门铁克网站, 之后出现赛门铁克公司的WEB主页，然后在中间的“Security Response Tools”处点击“Download Virus Definitions”，如下图所示：

2．进入到病毒定义码下载页面，点击位于页面上方的Download Virus Defination , 如下图所示：

3． 呈现如下界面，点击download updates :

4. 按照提示下载企业版病毒定义码（文件大小约为5---6M）：

5．下载完毕后，立即在AIX 服务器上运行， SAV For Domino的病毒定义立即更新。
第六章 卸载SAV FOR DOMINO  

先停止服务（在命令提示符下输入“TELL SAV QUIT“）
再卸载SAV/F for Domino,卸载步骤如下
1. 先以Domino管理员的身份登录系统，退出Domino Server服务。
2. 切换到管理员身份（一般为root，su - notes）AIX系统，进入终端界面。
3. 进入SAV for Domino 卸载目录：一般为/opt/lotus/notes/symantec/uninstall/, 因此可键入 cd /opt/lotus/notes/symantec/uninstall命令。
4. 然后运行SAV Notes卸载程序：键入 ./uninstall 命令。
5. 键入卸载命令后，出现下列提示：
a) Start uninstallation
b) Cancel
Option[1]
选择 1，敲回车键。
6. 出现下列提示后，选择n (即不保留该数据库)，然后敲回车键
Keep existing SAVlog.nsf database confirmation
Do you wish to keep /E1Nfs/sav/savlog.nsf ?
(Press y or n )：
Option:[n]
7. 到目前为止，卸载成功，会有下列提示，敲回车键结束卸载。
Symantec Antivirus/Filtering for Domino on AIX has been successfully removed from the server, The Notes server will no longer be protected from virus.
8. Press Enter Key to continue …