一家大公司在使用我们这家初创公司开发的 Web 软件之前，正在对我们的软件进行审查。我们使用 Linux 进行托管，该软件经过了妥善的安全和强化。
安全审查员的规定是所有计算机和服务器必须安装防病毒程序。显然，告诉他们Linux不会感染病毒是行不通的。
是否有第三方安全文章或资源可以帮助我们说服他们放弃要求，或者我们是否需要安装 ClamAV 并让它每天消耗一些 CPU？
答案1
是的，这当然是合理的要求。如果你否认你的基础设施容易受到病毒威胁，那你就已经失去了很多信誉。
您需要权衡运行 AV 的后果（烦恼因素、可能的性能问题、维护开销）与此合同的价值。如果一家公司将 AV 列为一项要求，那么其他公司将来也可能会这样做。如果您已经在运行它，那么您将处于有利地位，可以赢得他们的业务。
答案2
Linux 服务器感染病毒的可能性非常低，不是零。如果这是您的审计员/客户/任何人的担忧，那么您应该理解这一点并确定他们的业务对您是否重要。如果他们的业务价值超过扫描所需的 CPU 周期和磁盘 I/O，那么您应该安装 AV。如果不是，那么您应该向您的客户解释这一点并要求他们将合同带到其他地方。
这并不是一个不合理的要求，特别是如果此服务器托管文件到 Windows 客户端。通过安装 ClamAV（或其他程序），您可以保护连接到您服务器的 Windows 客户端。
答案3
我认为我们需要结合上下文来理解“病毒”一词。
如果您谈论的是 Windows 网络中浮动的自我复制二进制文件，那么 Linux 获得其中一个的可能性非常非常低。
如果我们谈论的是恶意软件这个更广泛的话题，那么 Linux 根本无法幸免。未打补丁且配置不当的 Linux 服务器一直受到攻击，并成为机器人牧民，或用于其他邪恶目的。假装这些威胁不存在就是在鸵鸟政策。
我从未在 Linux 服务器上运行过防病毒软件，因为我认为定期打补丁和合理配置可以保护我的服务器免受 99.99% 的威胁。但是在这种情况下我肯定会考虑它，前提是该软件确实能够检测到影响 Linux 服务器的恶意软件，而不是 Windows AV 套件的简单移植。
答案4
要求他们准确定义“反病毒”的概念. 他们担心什么样的威胁？
如果他们无法回答（可能是因为他们真的不知道自己在说什么而只是在填写一份清单），请他们提供一份批准的防病毒程序列表。
如果要求只是：
您必须安装一个 AV 程序，就这样。
他们可能不知道自己在说什么。只要问他们他们到底希望你做什么。
如果要求是：
您应该定期检查所有已安装的程序（二进制文件和脚本）是否有新程序、更改的文件或任何其他病理文件内容的迹象。
那么这意味着您可能不需要众所周知的“AV”，并且检查服务器完整性的脚本将是足够的、更精确的、更可靠的：如果您知道服务器正常运行时修改了哪些文件，并且您可以说明修改文件的一致性要求，则不会出现误报。
设计一个脚本来检查完整性，或者甚至设置一些现有的工具，以便它了解你的服务器的具体情况，将需要额外的工作（AV程序更多购买、安装、然后忘记，这可能就是它们如此受欢迎的原因）。但我认为这对你的服务器安全更有好处。