search

stadtluzern / decidim-ocl

GNU Affero General Public License v3.0
2 stars 2 forks source link

Dateiupload Virenscanner #89

Open bsantschi-zz opened 3 years ago

bsantschi-zz commented 3 years ago

ModSecurity kann auf Viren scannen, resp. einen externen Virenscanner anwerfen. Diese Erweiterung ist aber in unserer WAF noch nicht eingebaut. Fränzi macht eine Aufwandschätzung.

franbuehler commented 3 years ago

Für die Implementierung von Antivirus Upload Checks schätze ich zwischen 2 und 5 Tagen Aufwand. Ich habe das aktuelle Image gestern und heute bereits tetsweise mit den nötigen Installationen erweitert, aber noch nicht zum Laufen gebracht. Das kann jetzt schnell gehen oder auch nicht. Weiter würde ich gerne das Update der AV Definitionen überlegen, implementieren, testen und das Image anschliessend gerne in der Integration testen, den Rollout planen etc.

bsantschi-zz commented 3 years ago

Hoi @innosmith, darf ich dich bitten zu entscheiden. ob wir hier weiterfahren dürfen?

innosmith commented 3 years ago

@bsantschi , @franbuehler : verstehe ich richtig, dass ihr für die Antivirus-Prüfung eine Erweiterung der WAF vorschlagt, welche ihr über Standard-Erweiterungen umsetzen könnt, welche für unser Setup richtig zu konfigurieren und zu testen ist? Welchen Aufwand schätzt ihr neben dem initialen Invest von 2-5 Tagen für den monatlichen Betrieb mit Aktualisierung von AV Definitionen? Wie lösen andere Decidim-Anwender dieses Problem? Ebenfalls über WAF?

franbuehler commented 3 years ago

Hallo @innosmith Ja, ich die Erweiterungen wären Standard. Dies wird bereits so eingesetzt und es sollte funktionieren. Ich habe es aber noch nie für ein Projekt umgesetzt und deshalb ist meine Schätzung eher vorsichtig und nicht super genau. Den Aufwand für den monatlichen Betrieb habe ich gerade noch bei einem ClamAV Experten nachgefragt. Wenn ich es richtig verstehe, sollte die Aktualisierung automatisiert funktionieren, möchte mich hier aber noch kurz absichern, dass ich da nichts Falsches erzähle. Wie es andere Decidim Anwender lösen, weiss ich nicht. Hier weiss @bsantschi vermutlich mehr.

franbuehler commented 3 years ago

Für den monatlichen Betrieb der AV Signaturen gibt es keinen zusätzlichen Aufwand, da die Signaturen mit freshclam automatisiert updatet werden sollten. Das würden wir natürlich so einrichten. Wir würden die Signaturen von ClamAV verwenden. Wir haben hier keine grossen Erfahrungen, was die Detection Rate betrifft. Es gibt hier auch kommerzielle Anbieter von AV Signaturen. Wir könnten hier evtl. weitere Abklärungen bezüglich Signaturdatenbanken machen oder diese ClamAV Signaturen mal als guten Start für AntiVirus Checks nehmen.

innosmith commented 3 years ago

@bsantschi : bevor wir diese individuelle Variante umsetzen, könntet ihr bitte prüfen, wie andere Decidim-Anwender das Thema Antivirus lösen?

bsantschi-zz commented 3 years ago

Hoi @innosmith, ich schaue das nächste Woche mit Fränzi und Thomas an. Nebst Fränzis Vorschlag, die Dateien via WAF/ModSecurity zu scannen, sehe ich noch die Variante des Decidim Modules Antivirus, das die Viren explizit beim öffentlichen Dateiupload überprüft. Im Hintergrund muss aber bei beiden Varianten ClamAV als Deamon laufen.

bsantschi-zz commented 3 years ago

Erkenntnisse aus Austausch mit Fränzi und Thomas:

Wir sehen zwei Möglichkeiten: WAF oder Antivirus-Modul. Beides basiert auf dem Open Source Virenscanner ClamAV. Aufwand für beide Varianten etwa 4-7 Tage.

Variante WAF Vorteile:

Nachteile:

Variante Modul Vorteile:

Nachteile:

Aufwände/Kosten

bsantschi-zz commented 3 years ago

Nachtrag von Thomas: bei der Variante "Modul" könnten wir das Scannen von Viren im Admin-Bereich nachrüsten/implementieren.

innosmith commented 3 years ago

@bsantschi : lass uns die Vor- und Nachteile bei der nächsten Abstimmung auch noch besprechen.

bsantschi-zz commented 3 years ago

Hoi @innosmith hiermit schicke ich dir unsere versprochene Aufwandschätzung. Für die Erweiterung des Admin-Bereiches rechnen wir mit 3-5 Tagen Aufwand, den wir ins decidim-module-antivirus stecken würden, damit auch dort die hochgeladenen Dokumente auf Viren geprüft würden.

Zusammen mit den oben genannten 4-7 Tagen kämen wir auf rund 10 Tage, was in etwa dem entspricht, das ich euch gegenüber bereits am Montag erwähnt habe.

innosmith commented 3 years ago

Gemäss Abklärung und Aufwandsschätzung von Puzzle bitte das Decidim Antivirusprüfungsmodul für hochgeladene Files im Frontend in Betrieb nehmen und erweitern um Prüfung von hochgeladenen Files im Backend.

Kagemaru commented 3 years ago

Erfolg! image

Kagemaru commented 3 years ago

Das Antivirus Image funktioniert und ist auf der Integration deployt und kann durchgetestet werden. Ich habe es auf den master Stand aktualisiert und lasse es für die nächsten Tage so laufen. Wenn es keine Probleme auf INT gibt, merge ich sowohl den code Branch als auch das config-management repo. Dann können wir es auf PROD deployen.

Kagemaru commented 3 years ago

Übrige Aufgaben:

Kagemaru commented 2 years ago

Etwas stimmt noch nicht mit der Übersetzung. Ich kann sie nicht per Term Customizer setzen.

Bugticket dafür ist: #166