4GB RAM Sunucuda ClamAV Tarama Optimizasyonu: Makinenizi Öldürmeden Nasıl Yapılır?

Sınırlı sistem kaynaklarına sahip bir sunucuda kapsamlı virüs taraması yapmak, performanstan ödün vermek anlamına gelmek zorunda değil. Bu rehberde, 4GB RAM’li bir sunucuda ClamAV’ı nasıl etkin ve verimli bir şekilde çalıştırabileceğinizi, sisteminizi yavaşlatmadan güvenlik önlemlerinizi en üst düzeye çıkarabileceğinizi adım adım öğreneceksiniz.

Küçük ve orta ölçekli sunucular, genellikle düşük maliyetleri ve yönetim kolaylıkları nedeniyle tercih edilir. Ancak, bu sunucuların en büyük kısıtlamalarından biri, sistem kaynaklarının (özellikle RAM ve CPU) sınırlı olmasıdır. Bir yandan sunucunuzu kötü amaçlı yazılımlara karşı korumak isterken, diğer yandan kaynakları tüketerek ana hizmetlerin performansını düşürmek istemezsiniz. İşte tam bu noktada ClamAV gibi güçlü bir antivirüs çözümünü, 4GB RAM gibi kısıtlı bir ortamda bile nasıl verimli bir şekilde çalıştırabileceğimiz sorusu ortaya çıkar. Geleneksel yaklaşımlar, ClamAV taramalarını sunucunuz için bir kabusa dönüştürebilir; dakikalarca %100 CPU kullanımı, tam dolu RAM ve disk G/Ç (I/O) tıkanıklıkları, web sitelerinizin veya uygulamalarınızın tamamen erişilemez hale gelmesine neden olabilir. Bu durum, özellikle canlı bir üretim ortamında hizmet kesintileri anlamına gelir ki, bu da hiçbir işletmenin veya yöneticinin karşılaşmak istemeyeceği bir durumdur.

Ancak endişelenmeyin! Bu makale, ClamAV’ın kaynak kullanımı üzerindeki etkisini anlamanıza ve ardından bu etkiyi minimize etmek için uygulanabilir stratejiler geliştirmenize yardımcı olacaktır. Amacımız, sunucunuzun temel hizmetlerini aksatmadan, hatta fark edilir bir yavaşlama olmadan, ClamAV’ın güvenlik avantajlarından faydalanmanızı sağlamaktır. Doğru yapılandırma, akıllı zamanlama ve birkaç küçük optimizasyon ile 4GB RAM’li sunucunuzda bile güvenliğinizi tehlikeye atmadan, ClamAV’ı bir “canavar” olmaktan çıkarıp, sessiz ve etkili bir koruyucuya dönüştürebilirsiniz. Sadece doğru komutları ve parametreleri bilmekle kalmayacak, aynı zamanda arka plandaki mantığı da anlayarak kendi sunucunuzun özel ihtiyaçlarına göre bu bilgiyi nasıl uyarlayacağınızı keşfedeceksiniz. Başlangıçta kulağa imkansız gibi gelse de, ClamAV’ın esnekliği ve doğru optimizasyon teknikleriyle, sınırlı kaynaklarla bile kapsamlı bir virüs koruması sağlamak kesinlikle mümkündür. İlerleyen bölümlerde, bu hedefe ulaşmak için atılacak adımları ayrıntılı bir şekilde inceleyeceğiz.

ClamAV Temelleri ve 4GB RAM’in Getirdiği Zorluklar Nelerdir?

ClamAV, açık kaynaklı bir antivirüs motorudur ve özellikle Linux tabanlı sunucularda e-posta ağ geçitleri, dosya sunucuları ve web sunucuları gibi çeşitli ortamlarda kötü amaçlı yazılımları tespit etmek için yaygın olarak kullanılır. Temel olarak, ClamAV bir imza veritabanı kullanarak çalışır. Bu veritabanı, bilinen virüslerin, trojanların ve diğer kötü amaçlı yazılımların dijital parmak izlerini içerir. Bir dosya taranırken, ClamAV dosyanın içeriğini bu imzalarla karşılaştırır ve eşleşme bulursa bir tehdit tespit eder. Ancak bu basit çalışma prensibi, özellikle kısıtlı kaynaklara sahip sunucularda önemli zorluklar yaratabilir.

ClamAV ekosistemi genellikle üç ana bileşenden oluşur:

• freshclam: Bu araç, ClamAV’ın virüs imza veritabanını güncelleyen daemon (arka plan hizmeti) veya komut satırı aracıdır. Veritabanı sürekli güncellendiği için, freshclam düzenli olarak çalışmalı ve en son tehditlere karşı korunmanızı sağlamalıdır.
• clamscan: Komut satırı üzerinden dosya ve dizinleri taramak için kullanılan ana araçtır. Her tarama isteğinde veritabanını RAM’e yükler, bu da tek seferlik taramalarda yüksek bellek ve CPU kullanımına yol açabilir.
• clamd (ClamAV Daemon): Daha büyük veya daha sık taramaların gerektiği ortamlar için tasarlanmış bir arka plan hizmetidir. Veritabanını bir kez RAM’e yükler ve sonraki tarama isteklerini bu yüklü veritabanı üzerinden işleyerek daha hızlı yanıt süreleri ve daha düşük tekrarlayan bellek yükü sağlar. Ancak, clamd‘nin kendisi sürekli olarak bir miktar RAM kullanır.

Peki, 4GB RAM’e sahip bir sunucu için bu neden bir meydan okumadır?

1. Büyük Veritabanı Boyutu: ClamAV’ın virüs imza veritabanı, milyonlarca tehdit imzası içerir ve boyutu sürekli olarak artmaktadır. Güncel main.cvd ve daily.cvd dosyaları kolayca birkaç yüz megabaytı bulabilir. clamscan veya clamd bu veritabanını RAM’e yüklediğinde, bu zaten 4GB RAM’in önemli bir kısmını tek başına tüketebilir. Örneğin, 500MB’lık bir veritabanı RAM’e yüklendiğinde, sistemde rahatça çalışabilecek diğer uygulamalar için çok az boş alan kalır. Bu durum, özellikle yoğun disk G/Ç işlemleri sırasında takas alanının (swap space) aşırı kullanılmasına ve sistemin genel performansının ciddi şekilde düşmesine neden olabilir.
2. Yüksek CPU Kullanımı: Tarama işlemi sırasında ClamAV, dosyaların içeriğini karmaşık algoritmalarla analiz eder ve bunu veritabanındaki imzalarla karşılaştırır. Bu işlem, özellikle büyük dosya koleksiyonlarını tararken yüksek oranda CPU gücü gerektirir. 4GB RAM’li sunucular genellikle çok çekirdekli, yüksek performanslı işlemcilere sahip olmadığından, tek bir ClamAV taraması CPU’yu tamamen doyurarak diğer tüm işlemlerin yavaşlamasına hatta donmasına yol açabilir.
3. Disk G/Ç Yükü: Tarama yapılırken, ClamAV taranacak tüm dosyalara diskten erişir. Bu, özellikle geleneksel HDD’lerde (SSD’lere kıyasla daha yavaş) yüksek disk G/Ç yüküne neden olur. Disk G/Ç’nin yoğunlaşması, sistemin genel yanıt verme süresini düşürür ve özellikle veritabanı, web sitesi dosyaları veya log dosyaları gibi diğer kritik verilere erişimi yavaşlatır.
4. Zamanlama ve Çakışmalar: Yanlış zamanlanmış bir tarama, sunucunun en yoğun olduğu saatlerde başlayabilir ve bu da kullanıcılar için kabul edilemez gecikmelere veya hizmet kesintilerine yol açabilir.

Bu zorluklar göz önüne alındığında, 4GB RAM’li bir sunucuda ClamAV’ı çalıştırmak sadece kurulumdan ibaret değildir; dikkatli bir optimizasyon stratejisi gerektirir. Makalenin ilerleyen bölümlerinde, bu zorlukların üstesinden gelmek için kullanabileceğiniz pratik adımları ve teknikleri keşfedeceğiz.

Performans Optimizasyonu Adımları: Kaynak Dostu Tarama ve Zamanlama Stratejileri

ClamAV’ı 4GB RAM’li bir sunucuda sorunsuz çalıştırmanın anahtarı, kaynak kullanımını en aza indiren akıllı tarama stratejileri geliştirmekten geçer. Bu, hem tarama modlarının doğru seçimi hem de taramaların ne zaman ve nasıl yapılacağının dikkatli bir şekilde planlanmasını içerir. Unutmayın, amacımız güvenlikten ödün vermeden sistem kararlılığını sağlamaktır.

Tarama Parametrelerini İnce Ayarlama: clamscan ve clamd

ClamAV, kaynak tüketimini kontrol etmek için çeşitli parametreler sunar. Bu parametreleri doğru şekilde kullanmak, 4GB RAM’li bir sistemde hayat kurtarıcı olabilir.

clamscan ile Kontrollü Taramalar

clamscan, genellikle tek seferlik veya ad-hoc taramalar için kullanılır. Ancak, varsayılan ayarlarıyla çalıştırdığınızda, tüm sistemi kilitleyebilir. İşte size özel olarak ayarlanmış bazı önemli parametreler:

• --max-filesize=N: Taranacak tek bir dosyanın maksimum boyutunu bayt cinsinden belirler. Çok büyük dosyaların (örneğin, videolar, arşivler veya yedekler) taranmasını engelleyerek RAM ve CPU tüketimini azaltır. Örneğin, --max-filesize=10M (10 megabayt) olarak ayarlayabilirsiniz.
• --max-scansize=N: Bir dizin içindeki toplam taranacak veri boyutunu bayt cinsinden sınırlar. Bu, özellikle çok sayıda küçük dosyanın bulunduğu dizinleri tararken faydalıdır.
• --exclude-dir=DIR: Belirli dizinleri taramanın dışında bırakır. Güvenli olduğundan emin olduğunuz veya zaten taramadan geçirilmiş dizinleri hariç tutarak zaman ve kaynak tasarrufu yaparsınız. Örneğin, sistem dizinleri (/proc, /sys, /dev) genellikle kötü amaçlı yazılım içermez ve hariç tutulabilir.
• --bell: Tarama sonunda sesli uyarı verir. Gerekli değil ama eğlenceli olabilir.
• --recursive: Alt dizinleri de tarar. Bu genellikle istenir ancak kapsamı daraltmak için kullanılabilir.

Örnek bir clamscan komutu şu şekilde görünebilir:

    clamscan -r --max-filesize=10M --max-scansize=100M --exclude-dir=/var/log --exclude-dir=/tmp --exclude-dir=/sys /var/www/html
  

Bu komut, /var/www/html dizinini ve alt dizinlerini tarar, ancak 10MB'tan büyük dosyaları veya toplamda 100MB'tan fazla veri içeren dizinleri atlar. Ayrıca /var/log, /tmp ve /sys dizinlerini tamamen hariç tutar. Bu, özellikle bir web sunucusunda, web dosyalarının genellikle küçük olduğu ve log veya geçici dosyaların taranmasının gereksiz yük yaratabileceği durumlarda oldukça verimlidir.

clamd: Daemon Modunun Avantajları ve Ayarları

clamd, veritabanını bir kez RAM'e yükleyerek ve birden fazla tarama isteğini işleyerek daha verimli çalışır. Ancak, 4GB RAM'li bir sunucuda clamd'nin kendisi önemli bir bellek ayak izi bırakabilir. Bu nedenle, clamd.conf dosyasında dikkatli ayarlamalar yapmak kritik öneme sahiptir.

clamd.conf dosyasını genellikle /etc/clamav/clamd.conf yolunda bulabilirsiniz. İşte dikkat etmeniz gereken bazı parametreler:

• MaxThreads: Eşzamanlı tarama iş parçacıklarının maksimum sayısını belirler. Daha düşük bir değer (örneğin, 1 veya 2) CPU kullanımını sınırlar ancak tarama süresini uzatabilir.
• MaxConnectionQueueLength: Bekleyen bağlantı kuyruğunun boyutunu ayarlar. Çok fazla tarama isteği gelirse, bu ayar aşırı yüklenmeyi önleyebilir.
• MaxScanSize ve MaxFileSize: clamscan'de olduğu gibi, clamd için de global olarak maksimum tarama ve dosya boyutlarını belirler.
• StreamMaxLength: Clamd'ye gönderilebilecek maksimum veri akışı boyutunu ayarlar. Büyük dosyaların tek seferde işlenmesini engelleyebilir.

    # /etc/clamav/clamd.conf içinde örnek ayarlar
    # Bu ayarlar 4GB RAM için başlangıç noktası olabilir.
    LogFile /var/log/clamav/clamd.log
    LogFileMaxSize 1M
    LogTime yes
    PidFile /run/clamav/clamd.pid
    TemporaryDirectory /var/tmp
    LocalSocket /run/clamav/clamd.sock
    ExcludePath ^/proc/
    ExcludePath ^/sys/
    ExcludePath ^/dev/
    ExcludePath ^/var/log/
    ExcludePath ^/tmp/
    MaxScanSize 100M
    MaxFileSize 10M
    MaxThreads 1 # Daha düşük CPU kullanımı için 1 veya 2 önerilir
    MaxConnectionQueueLength 5
    StreamMaxLength 25M
  

Bu ayarlarla, clamd'nin bellekte tuttuğu veritabanı haricindeki operasyonel bellek ve CPU kullanımını daha iyi yönetebilirsiniz. MaxThreads'i düşük tutarak, sunucunun diğer iş yükleri için de kaynak bırakmış olursunuz.

cron ile Otomatik ve Düşük Etkili Taramalar Nasıl Planlanır?

Manuel taramalar her ne kadar kontrollü olsa da, düzenli bir güvenlik protokolü için otomatik taramalar vazgeçilmezdir. cron, Linux sistemlerinde zamanlanmış görevleri yönetmek için kullanılan standart bir araçtır ve ClamAV taramalarını sunucunun en az yoğun olduğu saatlere denk getirerek kaynak etkisini minimize etmemizi sağlar.

crontab -e komutu ile cron düzenleyicisini açın ve aşağıdaki gibi bir giriş ekleyebilirsiniz:

    # Her gün gece 03:00'te ClamAV taramasını çalıştır
    0 3 * * * nice -n 19 clamscan -r --max-filesize=10M --max-scansize=100M --exclude-dir=/var/log --exclude-dir=/tmp /var/www/html >> /var/log/clamav/scan.log 2>&1
  

Bu cron girişi, ClamAV'ı her gün sabah 03:00'te çalıştırır. nice -n 19 ile taramanın düşük öncelikte çalışması sağlanır. Tarama çıktısı ise /var/log/clamav/scan.log dosyasına yönlendirilir, böylece daha sonra incelenebilir.

Farklı dizinleri farklı günlerde tarayarak yükü daha da dağıtabilirsiniz. Örneğin:

    # Pazartesi 03:00'te /var/www/html dizinini tara
    0 3 * * 1 nice -n 19 clamscan -r --max-filesize=10M /var/www/html >> /var/log/clamav/scan_html.log 2>&1
    # Salı 03:00'te /var/mail dizinini tara (eğer kullanılıyorsa)
    0 3 * * 2 nice -n 19 clamscan -r --max-filesize=10M /var/mail >> /var/log/clamav/scan_mail.log 2>&1
  

Bu kademeli tarama yaklaşımı, sunucunuzun herhangi bir zamanda maruz kaldığı tekil yükü azaltır ve 4GB RAM gibi kısıtlı kaynaklara sahip sistemlerde özellikle etkilidir. Tarama süresi uzayabilir, ancak her bir taramanın sistem üzerindeki etkisi çok daha az olur.

Akıllı Veritabanı ve Kapsam Yönetimi: Gereksiz Yükten Kurtulun

ClamAV'ın verimliliğini artırmanın bir diğer önemli yolu, virüs veritabanı güncellemelerini ve taranan dosya kapsamını akıllıca yönetmektir. Büyük ve sık güncellenen bir veritabanı, özellikle sınırlı bant genişliği ve depolama alanına sahip sunucularda ciddi bir yük oluşturabilir. Aynı şekilde, taranması gerekmeyen dosyaları taramak da tamamen boşa harcanan kaynak anlamına gelir.

freshclam Ayarları ve Veritabanı Optimizasyonu

freshclam, ClamAV veritabanını güncelleyen araçtır. Varsayılan olarak her saat başı güncellemeleri kontrol edebilir. 4GB RAM'li bir sunucuda bu kadar sık kontrol etmek her zaman optimal olmayabilir, çünkü her kontrol belirli bir miktar kaynak tüketimi ve ağ trafiği anlamına gelir. freshclam.conf dosyasını (genellikle /etc/clamav/freshclam.conf) düzenleyerek bu davranışı optimize edebiliriz.

    # /etc/clamav/freshclam.conf içinde örnek ayarlar
    # Günde 4 kez güncelleme kontrolü
    Checks 4
    # Günlük veritabanının boyutunu sınırlar (isteğe bağlı, ileri düzey)
    # MaxDailyDatabaseSize 20M
    # Yalnızca belirli veritabanlarını indir (örneğin bytecode ve safebrowsing'i atlayarak)
    # Varsayılan olarak main ve daily indirilir. Üçüncü parti veritabanlarını ekleyebilir veya çıkarabilirsiniz.
    # Bu genellikle varsayılan bırakılır, ancak çok özel durumlarda ayarlama yapılabilir.
    # PrivateMirror http://your.local.mirror/ # Yerel bir yansıdan güncelleme için
  

Checks 4, freshclam'in günde yalnızca 4 kez (yani her 6 saatte bir) güncelleme kontrol etmesini sağlar. Bu, çoğu sunucu için yeterli bir güvenlik seviyesi sunarken, sık ağ bağlantısı ve işlemci kullanımını azaltır. Eğer internet bağlantınız kısıtlıysa veya sunucunuzun ağ trafiğini dikkatli yönetmeniz gerekiyorsa, bu ayar çok faydalı olabilir.

Ayrıca, ClamAV'ın varsayılan olarak indirdiği bazı ek veritabanları (örneğin bytecode.cvd, safebrowsing.cvd) vardır. Bu veritabanları belirli türdeki tehditlere odaklanır. Eğer çok özel bir kullanım durumunuz yoksa, bu veritabanlarını hariç tutmak RAM yükünü biraz azaltabilir. Ancak bu, güvenlik kapsamınızda potansiyel bir boşluk yaratabileceği için dikkatli değerlendirilmelidir. Genellikle, main.cvd ve daily.cvd temel koruma için yeterlidir ve genellikle ClamAV bunları otomatik olarak yönetir.

Hariç Tutmalar (Exclusions) ile Gereksiz Yükü Ortadan Kaldırma

Taranacak dosya ve dizin kapsamını akıllıca daraltmak, ClamAV'ın kaynak tüketimini azaltmanın en etkili yollarından biridir. Sistemin temel işleyişi için kritik olan ancak kötü amaçlı yazılım içermesi pek olası olmayan veya zaten sistem tarafından korunan alanları taramaktan kaçınmalıyız.

Hangi Diziler Hariç Tutulmalı?

• Sistem Dizileri: /proc, /sys, /dev, /run gibi dizinler, çekirdek ve donanım ile ilgili sanal dosya sistemleridir. Gerçek disk üzerinde bulunmazlar ve kötü amaçlı yazılım barındıramazlar. Bunları taramak sadece zaman ve kaynak israfıdır.
• Geçici Dosya Dizileri: /tmp ve /var/tmp gibi dizinler sıkça kullanılır ancak genellikle kısa ömürlü ve taranması gereksiz dosyalar içerir. Uygulamalar bu dizinleri kullandığında, tarama işlemleri çakışabilir ve performansı düşürebilir. Temel web sunucusu kurulumlarında, bu dizinler genellikle sıkça yazılır ve okunur.
• Log Dosyaları: /var/log dizini, sistem ve uygulama loglarını içerir. Bu dosyalar genellikle çok büyüktür ve sürekli yazılır. Kötü amaçlı yazılımın log dosyalarında direkt olarak barınması nadirdir (ancak log injeksiyonu mümkündür). Yine de, taramanın kapsamını daraltmak için bu dizini hariç tutmak mantıklı olabilir, özellikle web sunucularında erişim logları ve hata logları boyut olarak çok büyüyebilir.
• Yedekleme Dizileri: Eğer sunucunuzda düzenli yedeklemeler yapılıyorsa ve bu yedeklemelerin zaten ayrı bir güvenlik denetiminden geçtiğinden eminseniz, yedekleme dizinlerini taramanın dışında bırakabilirsiniz.
• Büyük Medya Dosyaları/Arşivler: Videolar, ISO kalıpları, büyük arşivler (.zip, .rar vb.) gibi dosyalar genellikle çok büyüktür ve taramaları uzun sürer. Eğer bu dosyaların içeriğinin güvenli olduğundan eminseniz (örneğin, kendi oluşturduğunuz medya kütüphaneleri), bunları hariç tutmak büyük bir performans kazancı sağlayabilir.

Örnek bir hariç tutma listesi:

    clamscan -r \
      --exclude-dir=/proc \
      --exclude-dir=/sys \
      --exclude-dir=/dev \
      --exclude-dir=/run \
      --exclude-dir=/tmp \
      --exclude-dir=/var/tmp \
      --exclude-dir=/var/log \
      --exclude='\.iso$' \
      --exclude='\.mp4$' \
      /
  

Yukarıdaki komut, kök dizini (/) tararken belirtilen sistem dizinlerini ve log/geçici dizinleri hariç tutar. Ayrıca .iso ve .mp4 uzantılı dosyaları da taramaz. exclude parametresi regex kabul ettiği için daha esnek kurallar yazılabilir.

Vaka Analizi: Paylaşımlı Hosting Sunucusunda Hariç Tutmalar

Bir paylaşımlı hosting sunucusu yöneticisisiniz ve 4GB RAM'li bir sunucuda yüzlerce küçük web sitesi barındırıyorsunuz. Her gün gece yarısı başlattığınız tam sistem taramaları, sunucunun yavaşlamasına ve müşterilerin web sitelerinin sabahın erken saatlerinde bile erişilemez olmasına neden oluyor.

Sorun:

• /var/www/vhosts/ dizini altında yüzlerce web sitesi var ve her birinin binlerce küçük dosyası bulunuyor.
• /var/log/apache2/ ve /var/log/nginx/ dizinleri günde gigabaytlarca log dosyası üretiyor.
• Müşterilerin yüklediği büyük resim ve video dosyaları da clamscan'i yavaşlatıyor.

Çözüm:

1. Log Hariç Tutma: Günlük ClamAV taramasından /var/log dizini tamamen hariç bırakıldı. Bunun yerine, log dosyaları için ayrı bir, daha az sıklıkta (örneğin haftalık) ve daha düşük öncelikli bir tarama planlandı.
2. Medya ve Arşiv Hariç Tutma: Web sitelerinin medya yükleme dizinleri (örneğin /var/www/vhosts/domain.com/httpdocs/wp-content/uploads/ gibi) taranırken, .jpg, .png, .gif, .mp4, .zip gibi uzantılı dosyalar hariç tutuldu. Bu tür dosyalar genellikle statiktir ve sunucuya direkt olarak kötü amaçlı kod enjekte etmezler (ancak dosya yükleme zafiyetlerinde vektör olabilirler). Bu hariç tutma, tarama süresini ve bellek tüketimini ciddi şekilde azalttı.
3. Max Filesize Sınırlaması: Tüm taramalarda --max-filesize=5M ve --max-scansize=50M parametreleri kullanıldı. Bu, bir PHP dosyasının veya küçük bir JS dosyasının taranmasına izin verirken, büyük bir dosyanın (örneğin 1GB'lık bir yedek) taramasını engelledi.

Sonuç: Tarama süresi %60 kısaldı, CPU kullanımı %80'den %20-30'lara düştü ve RAM kullanımı stabil bir seviyede kaldı. Müşteriler artık sabahları yavaş web siteleri şikayetiyle karşılaşmıyordu. Bu vaka analizi, doğru hariç tutma ve parametre optimizasyonunun 4GB RAM'li bir sunucuda ClamAV'ın nasıl dönüştürücü bir etki yaratabileceğini açıkça göstermektedir.

İleri Düzey Teknikler ve Gerçek Dünya Senaryoları

Temel optimizasyon adımlarının ötesine geçerek, sunucunuzun performansını daha da artırmak ve ClamAV taramalarının etkisini minimize etmek için kullanabileceğiniz bazı ileri düzey teknikler bulunmaktadır. Bu teknikler, özellikle ClamAV'ın hala sistem kaynaklarını zorladığını fark ettiğinizde devreye girer veya daha sıkı bir kontrol sağlamak istediğinizde size esneklik sunar.

Sistem Kaynaklarını Korumak İçin nice ve ionice Kullanımı

Daha önce kısaca değindiğimiz nice ve ionice komutları, ClamAV taramalarının sistem üzerindeki etkisini hassas bir şekilde yönetmenizi sağlar. Bu komutlar, bir işlemin CPU ve disk G/Ç önceliğini değiştirmek için kullanılır.

nice ile CPU Önceliğini Ayarlama

Linux sistemlerinde, işlemlerin CPU'ya erişim önceliği "nice değeri" ile belirlenir. Nice değerleri -20 (en yüksek öncelik) ile 19 (en düşük öncelik) arasında değişir. Varsayılan olarak, çoğu işlem 0 nice değeriyle başlar. ClamAV gibi kaynak yoğun bir görevi en düşük öncelikle çalıştırmak, sunucudaki diğer tüm işlemlerin CPU'ya öncelikli erişimini garanti eder.

Kullanım:

    nice -n 19 clamscan -r /path/to/scan
  

Bu komut, clamscan'i en düşük CPU önceliğiyle başlatır. Yani, sunucunuzda aktif olan herhangi başka bir uygulama (web sunucusu, veritabanı, SSH oturumu vb.) CPU'ya ihtiyaç duyduğunda, ClamAV işlemi hemen geri çekilecek ve diğer işleme öncelik verecektir. Bu, sunucunun tarama sırasında bile kullanıcı arayüzünde (örneğin, bir web sitesi) takılma veya yavaşlama yaşamamasını sağlar.

ionice ile Disk G/Ç Önceliğini Ayarlama

ClamAV, dosyaları diskten okuduğu için yoğun disk G/Ç işlemleri yapar. Bu, özellikle geleneksel HDD'lerde, disk performansını düşürebilir. ionice komutu, bir işlemin disk G/Ç önceliğini yönetmenizi sağlar.

ionice üç öncelik sınıfına sahiptir:

• -c 1 (Realtime): En yüksek G/Ç önceliği, diğer tüm işlemleri bastırır. ASLA ClamAV için kullanmayın.
• -c 2 (Best-effort): Varsayılan sınıftır.
• -c 3 (Idle): En düşük G/Ç önceliği. Yalnızca başka hiçbir işlem disk G/Ç'si yapmıyorsa disk erişimi sağlar. ClamAV için idealdir.

Kullanım:

    ionice -c 3 clamscan -r /path/to/scan
  

Bu komut, clamscan'i en düşük disk G/Ç önceliğiyle başlatır. Disk meşgul olduğunda, ClamAV disk erişimi için bekleyecek, böylece diğer kritik işlemlerin diskten sorunsuz bir şekilde veri okuyup yazabilmesini sağlayacaktır.

İki komutu birleştirerek en düşük etkiye sahip bir tarama oluşturabilirsiniz:

    nice -n 19 ionice -c 3 clamscan -r --max-filesize=10M /var/www/html >> /var/log/clamav/scan.log 2>&1
  

Bu strateji, 4GB RAM'li sunucularda ClamAV'ın kaynak tüketimini neredeyse tamamen "arka plan işi" seviyesine indirerek, ana hizmetlerin kesintisiz çalışmasını garanti altına alır.

Gerçek Bir Senaryo: Kritik Bir Web Sunucusunun Optimizasyonu

Bir küçük işletme, 4GB RAM'e sahip bir Linux sunucusunda müşteri veritabanını, e-ticaret uygulamasını ve blogunu barındırıyor. Başlangıçta, güvenlik için kurulan ClamAV, her gün sabaha karşı yapılan tam sistem taramaları sırasında sunucunun tamamen donmasına neden oluyordu. Sabah gelen ilk müşteriler, "Bağlantı Zaman Aşımına Uğradı" hatalarıyla karşılaşıyordu.

Problemin Teşhisi:

• ClamAV, main.cvd ve daily.cvd dosyalarını RAM'e yüklediğinde bellek kullanımı 2GB'ı aşıyordu.
• Aynı anda taranan büyük log dosyaları (Apache, MySQL) ve yüzbinlerce küçük web dosyası CPU'yu %100'e çıkarıyor ve disk G/Ç'yi doyuruyordu.
• Bu durum, MySQL ve Apache süreçlerinin yanıt vermemesine ve sunucunun tamamen kilitlenmesine yol açıyordu.

Uygulanan Çözümler:

1. Kademeli Tarama Zamanlaması: Tam sistem taraması yerine, kritik dizinler (/var/www/html, /var/lib/mysql – sadece yapılandırma dosyaları için) haftanın farklı günlerinde taranmak üzere planlandı. Örneğin, Pazartesi günleri web dosyaları, Salı günleri e-posta dizinleri (eğer varsa).
2. nice ve ionice Kullanımı: Her ClamAV tarama komutu nice -n 19 ionice -c 3 ile çalıştırıldı. Bu, taramaların düşük öncelikle çalışmasını sağladı ve diğer hizmetlerin kesintisiz devam etmesini sağladı.
3. Akıllı Hariç Tutmalar:
   • /proc, /sys, /dev, /run, /tmp, /var/tmp dizinleri tamamen hariç tutuldu.
   • /var/log dizini ana taramadan çıkarıldı ve sadece haftalık olarak, daha kısa süreli bir tarama ile kontrol edildi.
   • Web sitesi yedekleri ve statik medya dosyaları (.jpg, .png, .mp4 vb.) büyük boyutları nedeniyle hariç tutuldu.
4. clamscan Parametreleri: --max-filesize=8M ve --max-scansize=75M gibi parametreler, taranacak dosyaların ve dizinlerin boyutunu sınırlandırdı. Bu, büyük, potansiyel olarak zararsız dosyaların sistem kaynaklarını tüketmesini engelledi.
5. freshclam Ayarı: freshclam.conf dosyasındaki Checks değeri günde 2'ye düşürüldü (her 12 saatte bir güncelleme kontrolü).

Elde Edilen Sonuçlar:

• Tarama sırasında CPU kullanımı %100'den %10-25 aralığına düştü.
• RAM kullanımı, ClamAV veritabanı yüklendiğinde maksimum 2.5GB'a ulaşsa da, nice/ionice sayesinde diğer uygulamalar sorunsuz çalışmaya devam etti ve swap kullanımı minimumda kaldı.
• Web sitesi erişilebilirliği %99.9'un üzerine çıktı ve müşteri şikayetleri tamamen ortadan kalktı.
• Haftalık tam tarama süresi 3 saatten 1.5 saate, günlük web dizini taraması 45 dakikadan 15 dakikaya düştü.

Bu vaka analizi, kısıtlı kaynaklara sahip sunucularda bile ClamAV'ın doğru yapılandırma ve stratejilerle sorunsuz bir güvenlik katmanı sağlayabileceğini açıkça ortaya koymaktadır. Anahtar, kapsamlı bir yaklaşım benimsemek ve her parametrenin sunucu üzerindeki etkisini anlamaktır.

Sonuç ve Sıkça Sorulan Sorular

4GB RAM'li bir sunucuda ClamAV çalıştırmak, ilk başta göz korkutucu gelse de, doğru stratejiler ve ince ayarlar ile tamamen yönetilebilir bir görevdir. Bu makalede ele aldığımız gibi, ClamAV'ın temellerini anlamak, tarama parametrelerini optimize etmek, clamd ve clamscan'i doğru senaryolarda kullanmak, veritabanı güncellemelerini ve tarama kapsamını akıllıca yönetmek, ve son olarak nice ile ionice gibi ileri düzey araçları devreye sokmak, sunucunuzun performansını düşürmeden etkili bir güvenlik katmanı oluşturmanıza olanak tanır. Unutmayın, her sunucu ortamı benzersizdir, bu nedenle önerilen ayarları kendi özel ihtiyaçlarınıza ve gözlemlerinize göre uyarlamak önemlidir. Sürekli izleme ve gerektiğinde ayarlamalar yapmak, başarılı bir ClamAV optimizasyonunun anahtarıdır.

Sıkça Sorulan Sorular (SSS)

SSS 1: ClamAV taraması sırasında sunucum donarsa ne yapmalıyım?
Cevap: Eğer ClamAV taraması sırasında sunucunuz donuyorsa, öncelikle taramayı hemen sonlandırın (killall clamscan veya killall clamd, dikkatli kullanın!). Daha sonra, bu makalede belirtilen optimizasyon adımlarını uygulayın: tarama komutunu nice -n 19 ionice -c 3 ile başlatın, --max-filesize ve --max-scansize parametrelerini düşürün, ve güvenli dizinleri --exclude-dir ile hariç tutun. Ayrıca, taramayı sunucunun en az yoğun olduğu saatlere zamanlayın.

SSS 2: ClamAV veritabanı ne kadar yer kaplar ve RAM'i ne kadar kullanır?
Cevap: ClamAV'ın ana (main.cvd) ve günlük (daily.cvd) virüs veritabanları sürekli büyümektedir. Genellikle diskte toplamda 300MB ile 500MB arası bir yer kaplarlar. RAM'e yüklendiğinde, bu boyut birkaç yüz megabayt (örneğin 500MB-1GB) civarında bir RAM tüketimine neden olabilir, çünkü veritabanı genellikle bellekte daha fazla yer kaplar. Bu nedenle, 4GB RAM'li bir sunucuda bu yükü yönetmek kritik öneme sahiptir.

SSS 3: Sadece belirli dizinleri taramak yeterli midir?
Cevap: Güvenlik açısından "yeterli" terimi genellikle tartışmaya açıktır, ancak sınırlı kaynaklara sahip bir sunucuda, potansiyel tehditlerin en çok bulunabileceği kritik dizinleri (örneğin, web sunucusu kök dizini /var/www/html, kullanıcıların yükleme yapabildiği dizinler, e-posta kutuları) düzenli olarak taramak, tam sistem taramasına göre çok daha verimli ve çoğu zaman yeterli bir koruma sağlayabilir. Sistem dizinleri (/proc, /sys vb.) genellikle hariç tutulabilir. Risk analizi yaparak hangi dizinlerin öncelikli olduğunu belirlemeniz önemlidir.

SSS 4: Tarama tamamlandığında virüs bulunamazsa bu tamamen güvende olduğum anlamına mı gelir?
Cevap: Hayır, hiçbir antivirüs çözümü %100 güvenlik garantisi veremez. ClamAV, bilinen virüs imzalarına dayalı bir tarama yapar. Sıfır gün (zero-day) saldırılarına veya imzası henüz veritabanına eklenmemiş yeni tehditlere karşı savunmasız olabilirsiniz. ClamAV, sunucu güvenliği stratejinizin önemli bir parçasıdır ancak tek başına yeterli değildir. Güvenlik duvarı, düzenli güvenlik güncellemeleri, sağlam parola politikaları ve diğer güvenlik en iyi uygulamaları ile birlikte kullanılmalıdır.

SSS 5: 4GB RAM sunucuda ClamAV dışında hangi güvenlik önlemlerini almalıyım?
Cevap: ClamAV iyi bir ilk adımdır, ancak kapsamlı bir güvenlik için şunları yapmalısınız:

• Güvenlik Duvarı (Firewall): Sadece gerekli portları açın (örneğin UFW veya iptables).
• Düzenli Sistem Güncellemeleri: İşletim sistemi ve tüm uygulamaları güncel tutun.
• SSH Güvenliği: Parola ile oturum açmayı devre dışı bırakın, anahtar tabanlı kimlik doğrulamayı kullanın, varsayılan SSH portunu değiştirin ve fail2ban gibi araçlarla kaba kuvvet saldırılarını engelleyin.
• Uygulama Güvenliği: Kullandığınız web uygulamalarını (WordPress, Joomla vb.) ve veritabanlarını güncel tutun ve güvenlik açıklarını düzenli olarak kontrol edin.
• Yedeklemeler: Düzenli ve otomatik yedeklemeler alın ve bunları güvenli bir uzak konumda saklayın.
• Sistem İzleme: Sunucu kaynak kullanımını ve logları düzenli olarak izleyin. Anormal davranışları erken tespit edin.