Agents de transport antivirus

Les agents antivirus réagissent à l’événement SMTP OnSubmittedMessage correspondant à la mise en file d’attente pour le traitement par le système de transport du serveur. Aucune exclusion de traitement par cet agent n’est prévue pour les messages.

Si l’adresse de l’expéditeur du message est présente dans la liste des valeurs de la variable TrustedEmails, le message est exclu du scan antivirus et il est considéré comme sain.

Le cycle d’analyse de l’agent antivirus représente l’analyse antivirus cohérente du corps de message et de toutes les pièces jointes. Un message infecté peut être supprimé, bloqué ou déplacé en quarantaine (pour les objets suspects il existe également la possibilité de les laisser passer sans appliquer aucune action). Tous les événements sont enregistrés dans la rubrique des événements de la console Dr.Web Administrator Web Console et dans le journal des événements du serveur.

Si la suppression est spécifiée pour les objets infectés, après la détection du premier objet infecté, le scan de pièces jointes est interrompu et un événement de suppression du message est envoyé au système de transport du serveur. Les événements de suppression sont enregistrés dans la section des événements de la console Dr.Web Administrator Web Console et dans le journal d’événements du serveur, mais ni les expéditeurs, ni les destinataires ne sont pas informés de la suppression du message. C’est le moyen le plus rapide de réaction aux infections, pourtant le moyen le plus sûr du point de vue de la perte de données possible est le déplacement des objets infectés en Quarantaine. De plus, si le serveur supporte le protocole EWS (Exchange Web Services), il existe une possibilité de configurer avec la console Dr.Web Administrator Web Console et la console Dr.Web CMS Web Console l’envoi des notifications à une adresse électronique pour tous les cas de suppression des messages infectés.

Si la pièce jointe est bloquée en tant que non conforme aux règles de filtrage et que le déplacement en Quarantaine est spécifié pour les objets infectés, tous les objets infectés ou les pièces jointes bloquées sont remplacés dans le message initial par les fichiers texte décrivant la raison de suppression de la pièce jointe. Ensuite, la présence de l’en-tête X-DrWeb-RedirectTo est vérifiée dans le message désinfecté. Si cet en-tête n’est pas trouvé, le message sera délivré aux destinataires. Si le message doit être redirigé, tous les destinataires reçoivent une notification SmtpResponce au contenu suivant «Dr.Web AntiVirus Agent: Message was redirected as spam.». Dans ce cas, le message sans pièces jointes infectées est envoyé à l’adresse indiquée dans la valeur de l’en-tête X-DrWeb-RedirectTo.