不同的供应商为同一病毒指定不同的名称。所有供应商在病毒名称中都使用攻击载体名称。载体出现在病毒名称的开头。一些例子包括：
● W32, which represents 32-bit Windows
● W64, which represents 64-bit Windows
● JS, which represents JavaScript (which is cross-platform)
一些供应商还使用模式作为病毒名称的一部分。有些模式每个模式只检测一个病毒。其他模式更灵活，可以为每个模式检测多个病毒。供应商使用的模式取决于供应商的引擎。
基于主机的杀毒软件，如FortiClient，可以在主机级提供帮助；但主机防病毒软件不能安装在路由器上。此外，客户Wi-Fi网络和ISP客户可能没有安装杀毒软件。
那么，如何保护客户网络、ISP客户和你自己的网络免受恶意软件威胁呢?
● 反病毒扫描：这是第一个，最快、最简单的方法检测恶意软件。它检测与反病毒数据库中的特征完全匹配的病毒。
● 灰色软件扫描：这种扫描检测未经请求的程序，称为灰色软件，在用户不知情或不同意的情况下被安装。严格来说，灰色软件并不是一种病毒。它通常与一些无害的软件捆绑在一起，但也有一些副作用，因此被归类为恶意软件。通常，使用FortiGuard灰色软件签名就可以检测到灰色软件。
● 机器学习(AI)扫描：这些扫描基于概率，因此它们增加了误报的可能性，但它们也检测到零日攻击。零日攻击是一种新的、未知的恶意软件，因此没有现有的相关签名。如果你的网络是频繁的目标，启用Al扫描可能值得付出性能代价，因为它可以帮助你在爆发开始之前检测病毒。默认情况下，当Al引擎检测到新病毒时，它会将文件记录为“可疑”，但不会阻止它。你可以选择是否阻止或允许可疑文件。
Al扫描是可选特性，必须在CLI中启用。在反病毒设置中，可以通过CLI命令配置Al扫描的动作为启用、监控或禁用。
如果所有防病毒特性都已启用，FortiGate的扫描顺序为：防病毒扫描、灰色软件扫描、Al扫描。
你可以将防病毒扫描与FortiSandbox云或FortiSandbox设备集成。注意，你需要在CLI的系统全局设置下启用云沙箱，以便配置选项出现在GUI上。对于需要更多确定性的环境，FortiSandbox在受保护环境(VM)中执行文件，然后检查软件的效果，看看它是否危险。
例如，假设你有两个文件。两者都会更改系统注册表，因此是可疑的。一个是驱动程序安装——它的行为是正常的——但第二个文件安装了一个连接到僵尸网络命令和控制服务器的病毒。沙盒将揭示出区别。
FortiGate可以配置为从FortiSandbox接收基于沙箱结果的补充特征库。
FortiGuard为FortiGate提供基于当前威胁环境的信息，用于确定文件是否应该被视为可疑。FortiGate为管理员提供粒度控制，以确定发送给FortiSandbox进行进一步调查的文件类型。管理员还可以选择将FortiSandbox数据库与FortiGuard反病毒数据库结合使用，以增强他们的网络安全。
无论选择哪种方法，都必须在至少一个防火墙策略中启用病毒扫描。否则，FortiGate将不会下载任何更新。或者，你可以从Fortinet客户服务和支持网站下载软件包(需要订阅)，然后手动上传到你的FortiGate。你可以通过图形化界面或CLI控制台中验证签名的更新状态和版本。
所有FortiGate设备都包含扩展数据库。扩展的数据库包含最近几个月检测到的病毒的签名，由FortiGuard全球安全研究小组识别。扩展数据库还检测不再活动的病毒。
极端数据库是为了在高安全性环境中使用。极端数据库可以检测所有已知的病毒，包括针对已不再广泛使用的遗留操作系统的病毒。大多数FortiGate型号支持极端数据库。
病毒爆发防御：保护你的网络安全，防止新出现的恶意软件。快速的病毒爆发可以在签名被开发出来阻止之前感染网络。爆发保护将阻止这些病毒爆发，直到FortiGuard中出现可用签名为止。FortiGate必须有零时病毒爆发许可证(ZHVO)。FortiGate为反病毒签名尚未检测到的新威胁添加基于散列的病毒检测。当文件被发送到扫描单元守护进程时，缓冲区被散列，请求被发送到urlfilter守护进程。urlfilter守护进程在其请求缓存中检查已知签名后，会向FortiGuard发送一个带有剩余签名的反病毒请求。FortiGuard返回一个等级，用于确定扫描单元守护程序是否应该报告该文件为有害文件。作业在扫描单元守护进程中保持暂停状态，直到客户端收到响应或请求超时。
恶意软件阻止列表：FortiGate可以通过将动态外部恶意软件阻止列表链接到FortiGate来增强反病毒数据库。该列表驻留在web服务器上，可以通过Security Fabric恶意软件哈希列表中定义的HTTP/HTTPS URL访问。该列表可以是MD5、SHA1和SHA256散列的形式，并在纯文本文件的单独行上写入。恶意软件阻止列表可以定义为一个Security Fabric连接器，并配置为通过设置刷新率来动态拉出列表。
基于流的检测模式是基于代理检测的扫描模式的混合：默认扫描模式和传统扫描模式。默认模式增强了嵌套归档文件的扫描，而不缓冲容器归档文件。遗留模式缓冲整个容器，然后扫描它。
在基于流的检测模式下，IPS引擎读取每个报文的有效载荷，在本地缓存一份报文副本，同时将报文转发给接收方。由于文件是同时传输的，因此基于流的模式比基于代理的模式消耗更多的CPU周期。但是，根据FortiGate模型，可以将一些操作卸载到SPU上以提高性能。当FortiGate接收到文件的最后一个包时，它将该包置于等待状态，并向IPS引擎发送一份副本。IPS引擎提取有效载荷并将整个文件组装起来，然后将整个文件发送给AV引擎进行扫描。
当检测到病毒时，可能出现两种情况：
● 当在TCP会话中检测到病毒时，一些数据包已经被转发给了接收者，FortiGate会重置连接，不发送文件的最后一部分。虽然接收方获得了大部分文件内容，但文件已被截断，因此无法打开。IPS引擎还会缓存受感染文件的URL，因此，如果再次尝试传输该文件，IPS引擎会向客户端发送块替换消息，而不是再次扫描该文件。
● 如果在连接开始时检测到病毒，IPS引擎会立即发送阻断替换消息。
无论你使用哪种模式，扫描技术都会给出相似的检测率。如何选择扫描引擎?如果性能是最优先考虑的，那么流量检测模式更合适。如果安全性是你的优先考虑因素，那么代理检查模式(客户端被禁用)更合适。
你可以在config firewall profile-protocoloptions命令树中配置HTTP和FTP协议的客户端安慰。这允许代理缓慢地传输一些数据，直到它能够完成缓冲区和完成扫描。这可以防止连接或会话超时。在第一次尝试中没有出现阻断替换消息，因为FortiGate正在将数据包传输到最终客户端。
代理检查反病毒功能支持基于流的扫描，默认开启。基于流的扫描对大型归档文件进行扫描，首先对文件进行解压缩，然后对文件进行扫描和解压缩。这个进程优化了内存利用率，以节约FortiGate上的资源。病毒被检测到，即使他们是在中间或接近这些大文件的结尾。
1. 反病毒配置文件
2. 防火墙策略
反病毒配置文件提供了选择基于代理的方式作为配置文件内的检查模式的选项。这允许配置文件检查MAPI和SSH协议通信，以及使用内容解除和重构(CDR)特性对Microsoft文档和PDF文件进行消毒。
如果反病毒配置文件的检测模式为基于代理，则只有防火墙策略的检测模式为基于代理时才有效。
两个检测模式都提供以下选项：
APT保护选项：
● 将电子邮件附件中的Windows可执行文件视为病毒：默认情况下，启用此选项，标识为Windows可执行文件的文件(包括压缩文件)可以视为病毒。
● 将文件发送到FortiSandbox进行检测：如果配置了FortiSandbox云或设备，则可以配置反病毒配置文件，将恶意文件发送到FortiSandbox进行行为分析。如果标记为恶意，如果启用了Use FortiSandbox数据库，任何未来匹配相同行为的文件都将被阻止。
病毒爆发防御：
● 使用FortiGuard爆发防御数据库：FortiGuard病毒爆发防御是一层额外的保护，可使你的网络安全，免受新出现的恶意软件的伤害。快速的病毒爆发可以在签名被开发出来阻止之前感染网络。爆发保护将阻止这些病毒爆发，直到FortiGuard上的签名可用为止。
● 使用外部恶意软件阻止列表：FortiGate可以通过将动态外部恶意软件阻止列表链接到FortiGate来增强反病毒数据库。恶意软件阻止列表可以定义为一个安全结构连接器，并配置为通过设置刷新率来动态拉出列表。
在反病毒配置文件中，你可以定义FortiGate在检测到受感染的文件时应该做什么。配置反病毒配置文件后，需要在防火墙策略中应用反病毒配置文件。
协议选项可通过GUI界面或CLI界面进行配置。协议选项用于反病毒和其他安全配置文件，如web过滤、DNS过滤和数据丢失预防(DLP)等。
一旦配置了协议选项，它们将应用到防火墙策略中。
如果不确定要将oversize-limit设置为什么值，可以临时启用oversize-log，以查看FortiGate是否频繁扫描大文件。然后你可以相应地调整值。
大于过大限制的文件将被跳过扫描。在命令行中启用oversize-log选项，可以启用超大文件的日志记录功能。
在解压文件之前，FortiGate必须先识别压缩算法。一些归档类型可以仅使用头来正确识别。此外，FortiGate必须检查该文件是否受密码保护。如果存档文件有密码保护，FortiGate就无法解压它，因此也就无法扫描它。
FortiGate将文件解压缩到RAM中。就像其他大文件一样，RAM缓冲区有一个最大的大小。增加这个限制可能会降低性能，但它允许你扫描更大的压缩文件。
如果存档是嵌套的——例如，如果攻击者试图通过在ZIP文件中放置ZIP文件来绕过扫描——FortiGate将尝试撤销所有的压缩层。默认情况下，FortiGate将尝试解压并扫描12层，但你可以将其配置为扫描到你的设备支持的最大数量(通常为100)。通常，你不应该增加这个设置，因为它会增加RAM使用量。
如果没有限制，非常大的文件可能会耗尽扫描内存。因此，这个阈值平衡了风险和性能。这种权衡是FortiGate独有的，还是特定的型号?不，无论是供应商还是型号，你都必须做出选择。这是因为理论上的扫描没有限制，而实际设备上的扫描只有有限的RAM。无论文件大小如何，为了100%检测恶意软件，防火墙需要无限大的内存——现实世界中没有任何设备具备这种能力。
大多数病毒都很小。这个表显示了一个典型的权衡。你可以看到，使用默认的10MB阈值，只有0.01%的病毒通过。
在完全SSL检查级别中，FortiGate在到达服务器之前，会在自己的接口上终止SSL/TLS握手。在交换证书和私钥时，使用FortiGate，而不是服务器。接下来，FortiGate启动与服务器的第二个连接。
由于流量在接口之间通过时未加密，FortiGate可以对报文进行内容检测，寻找匹配的反病毒特征库，然后对报文重新加密转发。
由于这些原因，完全SSL检查级别是唯一的选择，允许反病毒是有效的。
对于基于流的检测模式扫描，如果在流开始时检测到病毒，第一次尝试时将显示阻断替换页面。如果发送数包后检测到病毒，则不会显示阻断替换页面。但是，FortiGate会缓存URL，并在第二次尝试时立即显示替换页面。
请注意，如果启用了深度检测，所有基于HTTPS的应用程序也会显示阻断替换消息。
阻断页面包括以下内容：
● 文件名
● 病毒名
● 网站主机和URL
● 用户名和组（如果启用了身份验证）
● 链接到FortiGuard百科全书——它提供分析、推荐的操作(如果有的话)和检测可用性
你可以直接访问FortiGuard网站，查看其他恶意软件的信息，然后扫描、提交或同时进行这两种操作，获取疑似恶意软件的样本。
如果FortiGate正在提交用于沙盒的文件，它会保存有关提交的文件数量和这些扫描结果的统计数据。这些统计数据与FortiGate上本地扫描的文件是分开的。
当反病毒扫描检测到病毒时，默认会创建日志，记录检测到的病毒类型、动作、策略ID、反病毒配置文件名称和检测类型。它还提供了FortiGuard网站上更多信息的链接。
你还可以在转发流量日志页面查看日志明细，防火墙策略记录了流量活动。你还可以找到FortiGate应用反病毒处理的流量摘要。
● 对所有上网流量启用反病毒扫描。这包括内部到外部防火墙策略，以及任何VIP防火墙策略。
● 采用深度检测，而不是证书检测，确保全内容检测。
● 使用FortiSandbox防止新病毒。
● 不要增加要扫描的最大文件大小，除非有充分的理由，或者为了满足网络需求而需要这样做。
当CP加速被启用时，基于流的模式数据库被编译并从IPS引擎和IPS数据库下载到内容处理器。这减少了FortiGate CPU上的负载，因为基于流的模式匹配请求被重定向到CP硬件。在对流量进行基于流的检测之前，IPS引擎通过一系列的解码器，根据报文的协议和策略设置，来判断哪些安全模块可以被使用。另外，如果配置了SSL检测，IPS引擎也会对SSL报文进行解密。SSL解密也由CP8或CP9处理器卸载和加速。
检查FortiGate上安装的当前数据库版本，并将版本号与FortiGuard网站上的当前版本进行比较。如果没有使ge防病毒数据库。请确保至少一个防火墙策略上应用了反病毒配置文件。如果你继续看到更新的问题，运行实时调试命令来识别问题。
● 确保FortiGate有一个稳定的互联网连接，可以解析DNS(update.fortinet.net)。
● 如果FortiGate和internet之间有另一个防火墙，请确保TCP端口443是开放的，并且允许来自FortiGate设备和到FortiGate设备的流量。
● 使用CLI命令强制FortiGate检查新的病毒更新：execute update-av。
● 请确认FortiGate设备已注册，且具有有效的反病毒服务合约。
● 请确保在正确的防火墙策略上应用了正确的反病毒配置文件。
● 确保你在所有internet连接防火墙策略上使用相同的反病毒配置文件和SSL/SSH检查。
● 添加并使用高级威胁保护统计信息小部件可从该单位获取最新的病毒统计信息。
以下是一些可以用来检索信息和解决反病毒问题的命令：
● get system performance status: 显示最近一分钟的统计信息。
● diagnose antivirus database-info: 显示当前的反病毒数据库信息。
● diagnose autoupdate versions: 显示当前的反病毒引擎和签名版本。
● diagnose antivirus test“get scantime”: 显示被病毒感染文件的扫描时间。
● execute update-av: 强制FortiGate检查来自FortiGuard服务器的反病毒更新。
通过掌握本课所涉及的目标，你了解了如何使用FortiGate特性和功能来保护你的网络免受病毒侵害。
