kav調査 - iphloxの情報整理ノート

ログ見る

/var/log/gwav/ave/kav/kavupdater.logを見るとアップデート処理は2分で終わってる

[30-11-2009 10:10:04 I] Configuration file: /usr/local/gwav/ave/kav/5.5/etc/kav4unix.conf
[30-11-2009 10:10:04 I] Start update for 'Kaspersky Anti-Virus for Linux'
[30-11-2009 10:10:04 I] Update source 'http://dnl-06.geo.kaspersky.com'
[30-11-2009 10:10:06 E] Published: ev_type = 'UPD_UpdateVersion'
        Params: 'Ver' = 1259549880
[30-11-2009 10:11:55 I] Update 'Kaspersky Anti-Virus for Linux' completed successfully

カスペルスキーなのね

ログを追記にする

vi /usr/local/gwav/ave/kav/5.5/etc/kav4unix.conf

[scanner.report]
Append=yes
ReportFileName=/var/log/gwav/ave/kav/kavscan.log
ReportLevel=3
ShowOk=yes
ShowContainerResultOnly=no
ShowObjectResultOnly=no

[aveserver.report]
Append=yes
ReportFileName=/var/log/gwav/ave/kav/aveserver.log
ReportLevel=2
ScanReportFormat=3

一度killしないと反映されない

ログはこうだった(抜粋)

-rw-r--r--  1 root root      0 Jul 11 04:04 aveserver.log
-rw-r--r--  1 root root      0 Dec 26  2005 kavscan.log
-rw-r--r--  1 root root 333971 Nov 30 11:12 kavupdater.log

アップデートが動くとき反応あったけど30秒程度

# sar -x 1854 5 100
Linux 2.6.8-20smp (hoge.net) 	11/30/09

14:07:48          PID  minflt/s  majflt/s     %user   %system   nswap/s   CPU
14:11:18         1854      0.00      0.00      0.00      0.00      0.00     0
14:11:23         1854      0.00      0.00      0.00      0.00      0.00     0
14:11:28         1854   1038.60      0.00      0.80      1.00      0.00     0
14:11:33         1854   6520.36      0.00     92.61      4.19      0.00     0
14:11:38         1854   3099.60      0.00     76.80      2.00      0.00     1
14:11:43         1854      0.00      0.00      0.00      0.00      0.00     1
14:11:48         1854      0.00      0.00      0.00      0.00      0.00     1

スキャンが動く毎時20分には反応なし

アップデート後に再起動、mta用に待ち受けると予想

このプロセスを監視してみた

sar -x (pid) 60 60

15:28:14          PID  minflt/s  majflt/s     %user   %system   nswap/s   CPU
15:29:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:30:14         1854      0.17      0.00      0.00      0.00      0.00     1
15:31:14         1854      0.50      0.00      0.00      0.03      0.00     1
15:32:14         1854      0.50      0.00      0.00      0.03      0.00     1
15:33:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:34:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:35:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:36:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:37:14         1854      0.50      0.00      0.00      0.03      0.00     1
15:38:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:39:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:40:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:41:14         1854      0.17      0.00      0.00      0.02      0.00     0
15:42:14         1854      0.15      0.00      0.00      0.00      0.00     1
15:43:14         1854      0.52      0.00      0.00      0.03      0.00     1
15:44:14         1854      0.00      0.00      0.00      0.00      0.00     1
15:45:14         1854      0.17      0.00      0.00      0.02      0.00     0
15:46:14         1854      0.00      0.00      0.00      0.00      0.00     0

高まった瞬間のps auxを見ると

代表メアドに届いたメールを関係者全員に転送してるらしい
- こんなのが延々とプロセスに入ってる

root     27611  0.0  0.0  2128  848 ?        Ss   16:03   0:00 local -f xxx@xxx.com xxx
root     27612  0.0  0.0  1456  420 ?        S    16:03   0:00 sh -c /usr/bin/procmail -f 'xxx@xxx.com' -d 'xxx' 
root     27613  0.0  0.0  1756  700 ?        S    16:03   0:00 /usr/bin/procmail -f xxx@xxx.com -d xxx
root     27614  0.0  0.0  1756  700 ?        S    16:03   0:00 /usr/bin/procmail -f xxx@xxx.com -d xxx
root     27615  0.0  0.0  1972  536 ?        S    16:03   0:00 /usr/bin/spamc

kavは問題ないと思う

kavはサバに届いたメールを即時スキャンするのが主な仕事
常時serverとして待ち受け
- ほとんどスリープしてて、webを阻害するほどの負荷ではない
- 大量のメールに対しては真面目にスキャンをかけてるので負荷が高まる
- 稼働時間が異常に長いのは待ち受けのためで問題ない
- Winのアンチウイルスソフトのようにディスクアクセスしまくって全体のパフォーマンスを落とすものではない