閱讀英文

共用方式為


Microsoft Antigen for Exchange 使用者指南

第 16 章 - 報告和統計資料

發佈日期: 2006 年 6 月 6 日

本頁內容
事件記錄
VirusLog.txt
Antigen 事件
事件統計資料
隔離
ExtractFiles 公用程式
其他資料庫工作
效能監視器
重新安裝 Antigen 效能計數器

Antigen 提供的各種報告可以協助系統管理員透過 Administrator 介面,來分析 Antigen 服務的狀態和效能統計資料。

回到頁首

事件記錄

事件資料庫 (Incidents.mdb) 可儲存 Exchange 伺服器的所有病毒偵測或篩選操作 (不論是攔截到感染或執行篩選的掃描工作)。Antigen 會根據每個儲存群組來收集「手動」和「即時」掃描工作的統計資料。若要檢視此記錄,請在左側的快速導覽中按一下 [報告 (REPORT)],再按一下 [事件 (Incidents)] 圖示。即會開啟 [事件 (Incidents)] 面板,如下圖所示:

事件記錄

事件結果會被 AntigenService 儲存在磁碟中的事件資料庫內,而不需以開啟的 Administrator 來控制。

Antigen 會在 [病毒事件 (Virus Incidents)] 工作窗格中報告各種資訊。下面說明顯示的各種欄位:

時間 (Time):

事件的時間和日期。

名稱 (Name):

報告事件的掃描工作名稱。

資料夾 (Folder):

找到檔案的資料夾名稱。當郵件被 SMTP 掃描程式攔截到時,此欄也會報告郵件為輸入或輸出郵件。由 SMTP 伺服器轉送的郵件會被報告為 [輸入和輸出 (Inbound and Outbound)],以便與標準輸入和輸出郵件區別。

郵件 (Message):

觸發事件的郵件主旨行或檔案名稱。

檔案 (File):

符合檔案或內容篩選的病毒名稱或檔案名稱。

事件 (Incident):

[事件 (Incident)] 欄位顯示發生的事件類型。四個類別分別為:VIRUS=、FILE FILTER=、SENDER FILTER= 以及 SUBJECT FILTER=。每個事件類型後面都會接已捕捉到的病毒名稱或觸發事件的檔案或內容篩選。

寄件者名稱 (Sender Name):

受感染或被篩選郵件的傳送者名稱。

寄件者地址 (Sender Address):

受感染或被篩選郵件的傳送者電子郵件地址。

狀態 (State):

Antigen 採取的動作。

**請注意:**Antigen 關鍵字篩選會同時掃描純文字和 HTML 郵件本文內容。若 Antigen 同時在 HTML 和純文字中找到某個符合項目,則它會在 [病毒事件 (Virus Incident)] 面板和隔離資料庫報告偵測到兩個項目。

其他資料庫工作

您也可以使用事件資料庫來執行其他工作。下列每項工作在本章後面都有其單獨的一節予以說明:清除資料庫、匯出資料庫項目、清除資料庫項目、篩選資料庫檢視以及移動資料庫。

回到頁首

VirusLog.txt

VirusLog.txt 中也可以記錄病毒和篩選事件。若要啟用 Antigen 以在此檔案中記錄病毒和篩選事件,只要在 [一般選項 (General Options)] 工作面板中核取 [啟用 Antigen 病毒記錄 (Enable Antigen Virus Log)] 方塊即可。啟用該功能後,所有病毒事件會寫入 Antigen 安裝路徑 (InstalledPath) 下的文字檔案 VirusLog.txt。下列是 VirusLog.txt 項目的範例:

‧ Fri Feb 07 12:56:13 2003, “Information:Internet scan found virus:
Folder:SMTPMessages\Internal
Message:test4
File:eicar.com
Incident:VIRUS=EICAR test file (Kaspersky, Norman, Sophos)
State:Removed”

回到頁首

Antigen 事件

下表說明 Antigen 可能會在 Antigen UI 的 [病毒事件 (Virus Incidents)] 面板或 VirusLog.txt 中報告的各種事件。許多報告的事件都是透過 Antigen 設定所產生,而這些設定是透過 [一般選項 (General Options)] 工作窗格進行控制。

報告的事件 一般選項設定 描述

回到頁首

事件統計資料

Antigen 會維護三組基本的統計資料:

事件速率 (Event Rate):追蹤每秒的事件數量 (在 NT [效能監視器] 中進行監視)。

事件 (Events):這些統計資料負責追蹤目前 Antigen 工作階段的事件數量。目前 Antigen 工作階段是自上次重新啟動 Antigen 服務之後的時間。

事件總數 (Total Events):這些統計資料負責追蹤 Antigen 安裝後或統計資料面板重設後的事件總數。

針對郵件和附件,有八種不同的 [事件 (Event)] 和 [事件總數 (Total Event)] 統計資料:

針對郵件:

已掃描的郵件 (Messages Scanned):從上一次重新啟動服務後,Antigen 所掃描的郵件數量。

偵測到的郵件 (Messages Detected):從上一次重新啟動服務後,已掃描到包含病毒或符合檔案、內容或垃圾郵件篩選的郵件數量。

已標記的郵件 (Messages Tagged):從上一次重新啟動服務後,因篩選符合而被 Antigen 標記的郵件數量。

已清除的郵件 (Messages Purged):從上一次重新啟動服務後,因病毒偵測或篩選符合而被 Antigen 清除的郵件數量 (動作設定為 [清除 - 消除郵件 (Purge - Eliminate Message)] 或符合蠕蟲清除)。

已掃描的郵件總數 (Total Messages Scanned)

已偵測到的郵件總數 (Total Messages Detected)

已標記的郵件總數 (Total Messages Tagged)

已清除的郵件總數 (Total Messages Purged)

針對附件:

已掃描的附件 (Attachments Scanned):從上一次重新啟動服務後,Antigen 所掃描的附件數量。

已偵測的附件 (Attachments Detected):從上一次重新啟動服務後,已掃描到包含病毒或符合檔案、內容或垃圾郵件篩選的附件數量。

已清除的附件 (Attachments Cleaned):從上一次重新啟動服務後,因病毒感染或篩選符合而被 Antigen 清除的附件數量。

已移除的附件 (Attachments Removed):從上一次重新啟動服務後,因病毒感染或篩選符合而被 Antigen 移除的附件數量。

已掃描的附件總數 (Total Attachments Scanned)

已偵測的附件總數 (Total Attachments Detected)

已清除的附件總數 (Total Attachments Cleaned)

已移除的附件總數 (Total Attachments Removed)

請注意:「. .” 總數」統計資料提供與上述相同的資訊,但執行的是安裝 Antigen 後或上一次重設 [統計資料 (Statistics)] 面板後的總數。

再者,這些事件會針對四種不同的 Antigen 掃描工作來進行實體和邏輯維護:

即時掃描

SMTP 掃描

手動掃描

MTA 掃描工作

Antigen 會區分附件的實際掃描次數 (實體) 與這個附件可能被掃描的次數 (邏輯)。例如,若三個收件者收到同一封內含一個附件的郵件,則該附件將報告為被實體掃描一次,而被邏輯掃描三次。

每次啟動 Antigen 服務時,所有掃描工作的事件速率 (Event Rate) 和事件統計資料 (Event statistics) 都會重設為零。您也可以手動重設所有的統計資料。

重設統計資料

若要重設掃描工作的所有統計資料,請按一下掃描工作名稱旁的 "x" 或回收服務。

重設統計資料

即會顯示確認選取動作的快顯方塊。按一下 [是 (Yes)] 按鈕會重設已選取掃描工作的所有統計資料。

每個掃描工作的事件總數統計資料會在 [病毒事件 (Virus Incidents)] 面板的下方面板報告,但是不會顯示 [事件速率 (Event Rate)] 統計資料 (使用 2000 [效能監視器])。

請使用 [匯出...(Export...)] 按鈕,將結果儲存為 [格式化文字 (Formatted Text)] 或 [分隔的文字 (Delimited Text)] 格式。

**請注意:**您也可以建立登錄機碼 "VirusLogEnabled",此登錄機碼會引導 Antigen 將所有病毒事件寫入名為 VirusLog.txt 的文字檔案。請參閱<附錄 B>以取得關於使用此機碼的詳細資訊。

回到頁首

隔離

Antigen 預設會在清除、刪除或略過動作之前,先建立每個偵測到檔案的備份。這些檔案會以編碼的格式儲存在 [Quarantine] 資料夾 (位於 Antigen 安裝資料夾之下)。每個偵測到的檔案會以 "Filex" 名稱儲存,其中 "x" 是該檔案的 ID 號碼。而偵測到附件的實際檔案名稱、感染病毒的名稱、其相關聯的 ID 值、郵件的主旨欄位、寄件者名稱、寄件者地址、收件者名稱、收件者地址以及其他記錄的資訊,都會被儲存在 [Quarantine] 資料夾的 Quarantine.mdb 中。隔離資料庫是由 Quarantine.mdb 檔案中的兩個資料表所組成。此資料庫會被設定成名為 "Antigen Quarantine" 的系統資料來源名稱 (System DSN)。您可以使用協力廠商工具來檢視和操作此資料庫。

隔離選項

Antigen 會執行兩種不同的隔離作業:隔離整封郵件或僅隔離附件。啟用 [隔離 (Quarantining)] 時,只會隔離將 [內容篩選 (Content Filters)]、[垃圾郵件篩選 (Spam Filters)] 和 [檔案篩選 (File Filters)] 設為 [清除 (Purge)] 的整封郵件。

當 [一般選項 (General Options)] 設定的 [隔離郵件 (Quarantine Messages)] 設為 [隔離為單一 EML 檔案 (Quarantine as Single EML File)] 時,被隔離的郵件會以 EML 檔案格式隔離。若要檢視 EML 檔案中包含的附件,您必須在隔離資料庫中儲存該檔案,並使用 Outlook Express 來檢視檔案的內容。若電腦沒有安裝 Outlook Express,則無法輕易地擷取檢視 EML 檔案中的郵件附件。

對於沒有在隔離郵件的伺服器上安裝 Outlook Express 的客戶而言,他們可以將 [隔離郵件 (Quarantine Messages)] 設定為 [分開隔離郵件本文和附件 (Quarantine Message Body and Attachments Separately)] 來分開隔離郵件本文和附件。Antigen 將會以個別部分 (本文/附件) 來隔離郵件,這樣當您將它們從隔離資料庫儲存至磁碟後,便可較輕易地檢視它們。

您也可以將已隔離的郵件轉寄到信箱。當 [隔離郵件 (Quarantine Messages)] 選項設定為 [分開隔離郵件本文和附件 (Quarantine Message Body and Attachments Separately)] 時,若您希望收件者看到原始郵件的完整內容,則必須轉寄已隔離郵件的每個部分。如果 [隔離郵件 (Quarantine Messages)] 選項設定為 [隔離為單一 EML 檔案 (Quarantine as Single EML File)],只要轉寄已隔離的 EML 檔案,收件者就可以收到原始郵件和所有附件 (原始郵件和所有附件會以新郵件的單一附件方式寄出)。

**請注意:**這些設定不適用於因被掃描到病毒而隔離的檔案。當偵測到感染時,只會隔離感染的附件。

隔離資料庫資料表

資料表包含下列資料行:

**資料表名稱:**HeaderInfo --此資料表包含隔離版本、已隔離檔案的號碼以及下一個隔離檔案使用的 ID。

欄位名稱

Version

Int

Count

Int

NextDetectedId

Int

**資料表名稱:**Quarantine --此資料表包含隔離郵件的所有詳細資料。

欄位名稱 類型 大小 描述

FileName

文字

255

附件檔案名稱

VirusIncident

文字

255

病毒名稱

Message

備忘

5000

主旨行

SenderName

文字

255

寄件者名稱

SenderAddress

文字

255

寄件者地址

RecipientNames

備忘

5000

收件者名稱

RecipientAddresses

備忘

5000

收件者地址

ccNames

文字

5000

副本名稱

ccAddresses

文字

5000

副本地址

bccNames

文字

5000

密件副本名稱

bccAddresses

文字

5000

密件副本地址

_DateTime

日期/時間

N/A

隔離檔案的日期/時間。

DetectedFile

Int

N/A

用來儲存重新命名之隔離檔案的檔案 ID (如 file9)

ID

自動編號

N/A

用來識別資料表中的資料列。

系統管理員可以存取 [隔離 (Quarantine)] 面板以刪除或擷取儲存之偵測到的檔案附件。若要檢視此隔離記錄,請在左側的快速導覽中按一下 [報告 (REPORT)],再按一下 [隔離 (Quarantine)] 圖示。您會看到右側出現 [隔離 (Quarantine)] 面板,如下圖所示:

隔離面板

隔離清單會報告隔離檔案的日期、檔案的名稱、觸發隔離的事件類型 (病毒、篩選符合等)、感染的病毒名稱或篩選檔案名稱、郵件的主旨欄位、寄件者名稱、寄件者地址、收件者名稱以及收件者地址。

[另存新檔… (Save As…)] 按鈕

[另存新檔… (Save As…)] 按鈕可讓您卸離選取的檔案並將其解除編碼至磁碟。

[傳遞 (Deliver)] 按鈕

[傳遞 (Deliver)] 按鈕允許系統管理員將隔離的郵件傳遞給預定的收件者或任何其他指定的收件者。按下該按鈕時,會顯示下列對話方塊:

ConfirmDelivery

如果選取單一檔案進行傳遞,則收件者編輯方塊會填入原始收件者。

如果選取多個檔案,則編輯方塊一開始會空白。

選取 [原始收件者 (Original Recipients)] 選項時會停用編輯方塊,且按下 [確定 (OK)] 時檔案會傳遞給原始的收件者。

選取 [上方收件者 (Above Recipients)] 時會啟用編輯方塊,且使用者可以進行變更。按下 [確定 (OK)] 時,選取的檔案會傳遞給編輯方塊中的收件者。

選取 [原始和上方收件者 (Original and Above Recipients)] 選項時會啟用編輯方塊,且使用者可以變更它們。按下 [確定 (OK)] 時,選取的檔案會傳遞給原始收件者和編輯方塊中的任何其他收件者。

在傳遞被隔離的郵件至使用者的信箱時,原始郵件會以附件方式包括在其中。當使用者開啟附件時,原始郵件會在 Outlook 中以個別郵件的方式啟動。

DeliverLog.txt

從隔離資料庫傳遞郵件檔案時,會建立名為 Deliverlog.txt 的文字檔案,並儲存在安裝 Antigen 的資料夾中。此檔案可提供從隔離處所傳遞來之郵件和附件的記錄。

轉寄被病毒掃描程式隔離的附件

除非停用掃描工作,否則無法轉寄被病毒掃描程式隔離的附件。所有包含病毒的轉寄附件,都會被適當地重新偵測和處理。

轉寄被檔案篩選隔離的附件

除非 [一般選項 (General Option)] 設定的 [傳遞自隔離安全性 (Deliver From Quarantine Security)] 設定為 [相容模式 (Compatibility Mode)],否則會掃描被檔案篩選隔離的附件來比對篩選。這樣會讓郵件在不經過任何掃描工作重新偵測的情況下進行轉寄。若要執行「手動掃描」,並重新偵測轉寄的附件,您必須將 "ManuallyScanForwardedAttachments" 登錄值設定為 TRUE。此值預設為 FALSE。

為了讓附件在不重新偵測的情況下進行傳遞,Antigen 會在郵件的主旨行新增特殊的標記。您可以變更登錄機碼值 "ForwardedAttachmentSubject" 中的項目來自訂此標記。此值可以讓系統管理員指定用於主旨行中的標記文字。主旨行標記文字可以變更為各組織專用的字串,或變更為本地的語言。

**請注意:**如果 [一般選項 (General Options)] 中的 [傳遞自隔離安全性 (Deliver from Quarantine Security)] 設定為 [相容模式 (Compatibility Mode)],而且主旨行標記文字已變更,若重新掃描已在組織中的郵件,則篩選會套用至主旨行仍使用舊標記文字的這些郵件。

轉寄附件和手動掃描

手動掃描預設不會對從隔離轉寄來的郵件執行檔案篩選。若變更了 "ForwardedAttachmentSubject" 登錄機碼,則手動掃描會針對已經在組織中、且主旨行包含在變更前的登錄機碼中的郵件,執行檔案篩選。

回到頁首

ExtractFiles 公用程式

Antigen for Exchange 包含了一種公用程式應用程式,可擷取隔離中的所有檔案或一部分檔案至指定的目錄。此應用程式名稱是 ExtractFiles.exe。它是主控台應用程式,並接受兩個必要引數:

1.

用來儲存所擷取隔離檔案之資料夾的絕對路徑(例如,C:\ExtractToFolder)。

2.

要擷取之隔離檔案的類型:例如 *.* - 擷取所有隔離檔案;*.doc - 擷取符合篩選檔案名稱 *.doc 的隔離檔案;Jerusalem.Standard - 擷取已感染 Jerusalem.Standard 病毒的檔案。

**例如:**extractfiles c:\temp\quarantine *.doc

若未使用 2 個引數,或引數不符合要求,則此公用程式會輸出如何使用的簡短用法描述。

回到頁首

其他資料庫工作

您也可以使用隔離資料庫來執行其他工作。以下各節將說明此處各項工作:清除資料庫、匯出資料庫項目、清除資料庫項目、篩選資料庫檢視以及移動資料庫。

清除資料庫

一段時間之後,您可能會發現事件及隔離資料庫變得非常龐大。每個資料庫 (incidents.mdb 及 quarantine.mdb) 都有 2 GB 的限制。如果資料庫經過壓縮之後,仍然大於 1.5 GB,系統會將通知傳送給系統管理員,警告資料庫即將達到它的限制。然後,系統管理員可以清除資料庫,以確保系統會儲存日後的事件和隔離項目。此通知會傳送到 [一般選項 (General Options)] 中的 [病毒管理員清單 (Virus Administrator List)] 所包含的所有地址。

郵件主旨行會顯示如下:

Microsoft Antigen for Microsoft Exchange 資料庫警告 (Microsoft Antigen for Microsoft Exchange Database Warning)

郵件本文則會顯示如下:

Microsoft Antigen for Microsoft Exchange <<資料庫名稱>> 的資料庫已超過 1.5 GB (最大上限為 2 GB),目前的大小為 x GB。

當資料庫大小增加至 2 GB 時,系統便不會更新 <<資料庫名稱>>。如需關於維護資料庫的資訊,請參閱使用者操作手冊。

如果因為某些原因而無法傳送通知,則系統會略過該失敗,並將它記錄在程式記錄中。然後會在特定資料庫的每個壓縮循環期間,再次嘗試傳送郵件。

清除病毒事件資料庫

清除病毒事件資料庫的處理程序共有兩步驟。

1.

在 [事件 (Incidents)] 對話方塊上按一下 [清除記錄檔 (Clear Log)]。即可清除所有顯示的事件項目。

2.

在 [作業 (OPERATE)] 快速導覽中選取 [執行工作 (Run Job)],並選取掃描工作,然後按一下 [清除記錄檔 (Clear Log)],清除該工作之事件顯示中的項目。您必須同時清除「即時」和「手動」工作,才能將資料庫中所有項目標幟為刪除。

清除這兩個工作面板中的項目之後,會將項目標幟為從事件資料庫中刪除,而且不會再顯示於對話方塊中。Antigen 會在每天上午 2:00 自動壓縮資料庫 (在此之前,資料庫中仍會包含這些項目)。

您也可以反白選取一或多個項目來刪除結果的子集 (使用 SHIFT 和 CTRL 鍵來選取多個項目),然後使用 Delete 鍵將來從病毒事件清單中移除它們。

**請注意:**如果反白大量項目,則刪除處理程序需要較長的時間才能完成。在此情況下,會出現一個訊息方塊,要求您確認刪除。

清除隔離資料庫

若要清除隔離資料庫,請在 [隔離 (Quarantine)] 對話方塊上按一下 [清除記錄檔 (Clear Log)]。

清除項目之後,會將項目標幟為從隔離資料庫中刪除。Antigen 會在每天上午 2:00 自動壓縮資料庫 (在此之前,資料庫中仍會包含這些項目)。

您也可以反白選取一或多個項目來刪除結果的子集 (使用 SHIFT 和 CTRL 鍵來選取多個項目),然後使用 Delete 鍵來從隔離清單中移除它們。

**請注意:**如果反白大量項目,則刪除處理程序需要較長的時間才能完成。在此情況下,會出現一個訊息方塊,要求您確認刪除。

匯出資料庫項目

使用 [匯出 (Export)] 來儲存病毒事件或隔離結果。按一下此按鈕,會顯示標準的 Windows 儲存檔案對話方塊,您可以在其中選取 Incidents.txt 或 Quarantine.txt 檔的位置,並選取 [格式化文字 (Formatted Text)] 或 [分隔的文字 (Delimited Text)] 格式。「分隔的文字」格式中的項目是以垂直線 (|) 隔開。

[隔離 (Quarantine)] 畫面中除了有 [匯出 (Export)] 按鈕,還有 [另存新檔 (Save As)] 按鈕。此按鈕是用來卸載選取的檔案,並將其解碼至磁碟。您可以從隔離清單中選取多個項目;每個項目將會儲存為個別的檔案。

移動資料庫

系統管理員可以移動隔離資料庫,但如果進行此作業,則必須一併移動所有相關的資料庫,隔離才能正確運作。請遵循下面步驟,來移動 Quarantine.mdb 和相關的資料庫及檔案:

1.

在新位置中建立新的資料夾 (例如,C:\Moved Quarantine)

2.

停止 Exchange 服務,以及關閉 Exchange 後仍然繼續執行的任何 Antigen 服務。

3.

從 Antigen 安裝資料夾將 [Quarantine] 資料夾複製到步驟 1 所建立的資料夾 (此步驟建立的資料夾名稱為 c:\Moved Quarantine\Quarantine) 中。

4.

將 ProgramLog.txt、Incidents.mdb、AntigenHRLog.txt 和所有 .adb 檔案移動至新位置 (C:\Moved Quarantine)。

5.

將 "DatabasePath" 登錄機碼 (HKEY_LOCAL_MACHINE/Software/Sybari Software/Antigen) 中的路徑變更為指向新 Quarantine 資料夾位置。

6.

重新啟動 Exchange 服務。

在事件資料庫中使用篩選

事件檢視可根據 [篩選 (Filter)] 編輯方塊中輸入的字串來進行篩選。此字串是用來執行所選取欄的子字串比對 (只支援單欄排序)。

在事件資料庫中使用篩選

您可以使用萬用字元 (如下所述)。請注意,下面的萬用字元就是 Jet 資料庫 OLEDB 驅動程式使用的萬用字元。使用者按 [儲存 (Save)] 按鈕之後,就會套用篩選。

萬用字元 描述

_ (底線)

任何單一字元。

[ ]

指定範圍 ([a-f]) 或集 ([abcdef]) 中的任何單一字元。

[!]

不在指定範圍 ([!a-f]]) 或集 ([!abcdef]) 中的任何單一字元。

清除事件和隔離資料庫的檔案

使用者可以設定清除閾值,以便在設定的天數之後,從事件和隔離資料庫中移除檔案。第一次啟動 Antigen 時,會執行清除週期。Antigen 會先確定是否啟用 [清除 (Purge)] 功能。如果已啟用該功能,則在經過指定的天數之後,會移除事件和/或隔離資料庫中的所有檔案,以及 Antigen Administrator 的 [事件 (Incidents)] 和/或[隔離 (Quarantine)] 面板中的所有項目。在下面範例中,Antigen 是設定為清除已在事件或隔離資料庫中 30 天以上的所有檔案。

清除事件和隔離資料庫的檔案

只有在按 [儲存 (Save)] 按鈕之後,清除值的所有變更才會生效。

回到頁首

效能監視器

所有 Antigen 病毒掃描統計資料都可以使用 Windows 所提供的 [效能監視器] 小程式 (Perfmon.exe) 予以顯示,而此小程式通常是位在 [系統管理工具] 中。Antigen 物件稱為 [Antigen 掃描 (Antigen Scan)]。

回到頁首

重新安裝 Antigen 效能計數器

如果刪除了 Antigen 效能計數器,則有兩種方法可以重新安裝:

重新安裝 Antigen。

在命令提示字元中,執行 "AntigenPMSetup –install" 命令。

"AntigenPMSetup" 命令會重新安裝效能計數器,而不需要重新安裝 Antigen。請依照下列步驟,在命令提示字元中重新安裝計數器:

開啟 Windows 命令提示字元。

導覽至 Antigen 安裝資料夾 (預設:c:\Program Files\Microsoft Antigen for Exchange)。

輸入命令:AntigenPMSetup -install

即會重新安裝效能計數器。

回到頁首 上一頁第 16 頁,共 19 頁cc983059(v=technet.10).md