XADM : présentation Virus Scanning API 2.0 dans Exchange 2000 Server SP1

Cet article décrit les améliorations apportées à l'antivirus analyse application interface de programmation (API) qui contient des Exchange 2000 Server Service Pack 1 (SP1) pour les administrateurs Exchange et les éditeurs de logiciels (ISV). Cet article décrit des nouvelles fonctionnalités, les modifications de comportement et les suggestions de dépannage.

Vue d'ensemble

Les améliorations pour le mode VSAPI sont inclus dans Exchange 2000 Server SP1 représentent l'engagement que Microsoft a apportées à protéger l'environnement de messagerie de nos clients. Ces nouvelles fonctionnalités, appelées analyse 2.0, développez sur les fonctionnalités d'antivirus API 1.0. Voici une courte liste des fonctionnalités qui sont disponibles dans Exchange 2000 Server SP1 :

• Détails du message
• Contenu MIME/MAPI natif d'analyse
• Proactive analyse
• File d'attente en fonction de priorité
• Traitement de la file d'attente multithread
• Options de configuration de base de données par messagerie
• Analyse en arrière-plan amélioré
• Journalisation des événements
• Antivirus API spécifiques Performance Monitor counters

Fonctionnement de Virus Scanning API 2.0

Antivirus 2.0 possède trois domaines majeurs pour l'analyse :

• À la demande
• Proactive
• L'analyse en arrière-plan

Comme dans antivirus API 1.0, antivirus API 2.0 continue de prennent en charge l'analyse à la demande. Comme clients tentent d'accéder aux messages, en utilisant un client en fonction de protocole Internet comme Post Office Protocol version 3 (POP3), Outlook Web Access (OWA), Internet Message Access Protocol version 4rev1 (IMAP4) ou en utilisant un client MAPI (Messaging Application Programming Interface) traditionnel, une comparaison est effectuée pour s'assurer que les corps du message et pièces jointes (le cas échéant) ont été analysés par le fichier de signature de virus actuel. Si le fichier fournisseur ou une signature en cours a analysé pas le contenu, le composant message correspondant est soumis au fournisseur antivirus pour analyser avant ce composant de message est diffusée auprès du client. Dans l'antivirus API 2.0, ce processus a été amélioré considérablement sur l'antivirus API 1.0 implémentation. Dans l'antivirus API 2.0, une seule file d'attente traite toutes les données du corps et pièce jointe message. Les éléments qui sont soumis à cette file d'attente qu'éléments « à la demande » sont soumis en tant qu'éléments haute priorité. Cette file d'attente est désormais traitée par une série de threads (le nombre de threads par défaut est: 2 * number_of_processors + 1), avec éléments de priorité élevée toujours prioritaires. Cela permet à plusieurs éléments à être soumis au fournisseur simultanément. En outre, les threads client sont plus liés aux valeurs de « délai » qui attendent des éléments à lancer. Après analyse et reconnus sûrs articles, le thread client est averti que l'article est disponible. Par défaut, le thread client attend trois minutes pour être averti de la disponibilité des données requises avant un délai d'expiration.

Une nouvelle fonctionnalité dans antivirus 2.0 est l'analyse proactive en fonction des messages. Dans antivirus API 1.0, les informations de pièces jointes des messages a été seulement analysées comme il est accessible. Dans antivirus 2.0, les éléments sont soumis à une file d'attente de banque d'informations commune qu'ils sont soumis à la banque d'informations. Chacun de ces éléments reçoit une priorité basse dans la file d'attente, afin qu'ils n'interfèrent pas avec l'analyse des éléments à priorité élevée. Lorsque tous les éléments de priorité élevée ont été analysés, antivirus API 2.0 commence à analyser les éléments priorité faible. La priorité des articles est dynamique mise à niveau à priorité élevée si un client tente d'accéder l'élément lorsque l'article est en file d'attente de priorité basse. Un maximum de 30 articles peut exister en même temps dans la file d'attente priorité basse, qui est déterminé un premier, tout d'abord les base.

La dernière zone d'amélioration dans le processus d'analyse est l'analyse en arrière-plan. Dans l'antivirus API 1.0, l'analyse en tâche de fond est effectuée en effectuant un seul passage sur la table jointe envoi de pièces jointes qui n'ont pas été analysés par le fichier fournisseur ou une signature actuel directement à la DLL du fournisseur antivirus. Chacune des banques d'informations privé et public recevoir un thread pour effectuer cette analyse en arrière-plan et une fois le thread terminée une phase de la table des pièces jointes, le thread attend pour un redémarrage du processus de banque d'informations avant d'une autre transmission. Virus analyse 2.0, chaque base de données de messagerie (MDB) reçoit toujours un thread pour effectuer le processus d'analyse en arrière-plan ; cependant, maintenant le processus d'analyse en arrière-plan navigue la série de dossiers qui constituent chaque boîte aux lettres de l'utilisateur. Lorsque des éléments qui n'ont pas été analysés sont rencontrés, ils sont soumis à l'intention du fournisseur et l'analyse continue. Fournisseurs de logiciels antivirus peuvent également forcer une analyse en arrière-plan démarrer par moyen d'un ensemble de clés de Registre.

La fonctionnalité plus demandée plus antivirus API 1.0 est la possibilité de fournir des détails du message, afin que les administrateurs Exchange peuvent suivre la présence de virus, déterminer comment les virus penetrated l'organisation et déterminer quels utilisateurs sont affectés. Cette fonctionnalité a été ajoutée avec antivirus 2.0 car l'analyse n'est plus directement repose la table des pièces jointes.

Pour améliorer le dépannage de l'API d'analyse antivirus, Exchange 2000 Server SP1 implémente nouveau antivirus API Performance Monitor counters que les administrateurs Exchange peuvent utiliser pour suivre les performances de l'API d'analyse antivirus. Ces compteurs donnent l'administrateur la possibilité pour déterminer la quantité d'informations analysé et la fréquence à laquelle ces informations analysées, plus précisément adapter en conséquence serveurs.

La dernière fonctionnalité est la nouvelle journalisation des événements qui est spécifique au mode VSAPI. Nouveaux événements incluent le chargement et déchargement du fournisseur DLL, l'analyse réussie des éléments, les virus qui se trouvent dans la banque d'informations et un comportement inattendu dans le mode VSAPI.

Pour plus d'informations sur l'antivirus analyse les clés de Registre 2.0, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft : Pour plus d'informations sur les nouveaux événements dans 2.0 d'analyse antivirus, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :