# Проверка работы антивируса
# Симптомы

1.  *Какие протоколы проверяются с помощью потокового антивируса UserGate?*
2.  *Как посмотреть отчёт о вредоносном ПО, обнаруженном потоковым антивирусом?*
3.  *Имеется ли отдельный механизм антивирусной проверки трафика?*
4.  *При скачивании тестового фала в расширении zip, Антивирусная проверка не срабатывает. Возможно ли отработка антивируса при скачивании архивов?*
5.  *Как можно проверить работу антивируса?*
6.  *Файл "eicar\_com.zip" и "eicarcom2.zip" пропускает с включенным ssl-инспектированием* [*https://www.eicar.org/download-anti-malware-testfile/*](https://www.eicar.org/download-anti-malware-testfile/)
7.  *Какой принцип работы потокового антивируса?*

# Решение

1.  Потоковый антивирус является частью механизма Фильтрации контента, поэтому он работает с протоколом HTTP(S).  Для работы с HTTPS необходимо наличие соответствующего правила SSL-инспектирования [https://docs.usergate.com/inspektirovanie-ssl\_108.html](https://docs.usergate.com/inspektirovanie-ssl_108.html)
2.  Срабатывания по потоковому антивирусу можно увидеть в разделе "Журналы и отчеты", по Журналу веб-доступа при срабатывании соответствующего правила фильтрации контента (у которого в свойствах отмечен чекбокс "Проверять потоковым антивирусом UserGate"). 
    Также важно учитывать, что если пользователь заходил на зараженный сайт до включения правила с антивирусной проверкой, то это правило пользователю при повторном заходе на этот сайт уже никак не поможет, т.к. браузер берет данные из кэша и зараженный трафик через NGFW не прогоняется.  Эта проблема характерна при проверки скачиванием архивов на [eicar.org](https://www.eicar.org/download-anti-malware-testfile/) - обычно кешируются все файлы, кроме самого большого размером в 308 байт.
3.  В настоящий момент имеется возможность передавать HTTP(S) и SMTP/POP3 трафик на внешние серверы ICAP для работы со сторонними системами безопасности. Вы можете указать, какой трафик требуется передавать на ICAP-сервер, а также настроить работу с фермами серверов.
4.  Отработка антивируса при скачивании архивов возможна. Если ее не происходит, проверьте, включено ли инспектирование SSL - возможно он скачивается с использованием HTTPS.
5.  Для проверки работы антивируса используйте тестовый файл eicar, доступный по следующим ссылкам:
    [https://www.eicar.org/download-anti-malware-testfile](https://www.eicar.org/download-anti-malware-testfile "https://www.eicar.org/download-anti-malware-testfile")
    [https://support.kaspersky.ru/common/diagnostics/7399](https://support.kaspersky.ru/common/diagnostics/7399 "https://support.kaspersky.ru/common/diagnostics/7399")
6.  Если вы обнаружили, что наш потоковый антивирус пропустил какой-либо файл, пришлите нам ссылку на него или сам файл в рамках заявки - мы проанализируем его и если это необходимо, внесем изменения в следующую версию базы антивируса.
7.  Более подробно с принципом работы антивируса вы можете ознакомиться в статье [https://sd.usergate.com/articles/359](https://sd.usergate.com/articles/359 "https://sd.usergate.com/articles/359")

В настоящий момент проблема с детектированием различных файлов потоковым антивирусом решаются в рамках задачи SUM-6158

# Диагностика

1.  Проверьте, попадает ли данный трафик под правила инспектирования SSL - это необходимо для работы потокового антивируса.
2.  При помощи механизма проверки обновлений проверьте наличие новой версии базы "AV: UserGate antivirus" - если она есть, попробуйте скачать ее. Если ваша текущая версия последняя - нужно выполнить повторное скачивание базы, процедуру проводит инженер технической поддержки через удаленный помощник.
3.  Если все вышеизложенное не помогло, попробуй скачать файл из режима "Инкогнито" вашего браузера - вполне возможно, что файл, на котором вы проверяете срабатывание, был скачан до включения правила и кэширован браузером. Это означит, что при последующих скачиваниях файл берется с самого браузера - трафикчерез UG не проходит,. Чтобы исправить ситуацию - выполните очистку кэша браузера, перед этим убедившись, что выставлен правильный диапазон временного интервала удаляемой информации.