Come rilevare l'antivirus su Windows Server 2008 in C#?

Question

ho visto esempi di codice simili ai seguenti numerose volte nella mia ricerca di una risposta:

using System; 
using System.Text; 
using System.Management; 

namespace ConsoleApplication1 
{ 
    class Program 
    { 
    public static bool AntivirusInstalled() 
    { 

     string wmipathstr = @"\\" + Environment.MachineName + @"\root\SecurityCenter"; 
     try 
     { 
     ManagementObjectSearcher searcher = new ManagementObjectSearcher(wmipathstr, "SELECT * FROM AntivirusProduct"); 
     ManagementObjectCollection instances = searcher.Get(); 
     return instances.Count > 0; 
     } 

     catch (Exception e) 
     { 
     Console.WriteLine(e.Message); 
     } 

     return false; 
    } 

    public static void Main(string[] args) 
    { 
     bool returnCode = AntivirusInstalled(); 
     Console.WriteLine("Antivirus Installed " + returnCode.ToString()); 
     Console.WriteLine(); 
     Console.Read(); 
    } 

    } 
} 

Purtroppo, sembra che Windows Server 2008 non ha lo spazio dei nomi SecurityCenter o SecurityCenter2, così ho ottenere un'eccezione Invalid namespace quando provi questo approccio.

Qualcuno conosce un modo per determinare se è in esecuzione un software antivirus su Windows Server 2008? Qualsiasi aiuto è apprezzato!

Answer 1

Ho affrontato questo problema qualche tempo fa per un cliente e ho finito per eseguire una ricerca dictonary sui driver di sistema locale e ai processi alla ricerca di un modello di conoscere le firme anti-virus (come ad esempio i nomi delle cartelle, processi nomi, ecc ...) non è sicuro al 100% perché da qualche parte qualcuno scaricherà un nuovo anti-virus che non conosci, ma a parte questo è stato molto efficace ...

Answer 2

In base alla maggior parte del Web, SecurityCenter e SecurityCenter2 non sono disponibili su Windows Server 2008 (come avete già elaborato personalmente).

Ho trovato questo articolo SO, che contiene una soluzione alternativa. How to detect antivirus installed on windows 2003 server and 2008 server 2003 server R2and 2008 server R2 using WMI or other then WMI in C++

Certo, questa è un'implementazione C++, ma non vedo alcuna ragione per cui non può essere portato su C#

Anche trovato questa pagina che suggerisce di utilizzare il quadro OESIS. http://social.msdn.microsoft.com/Forums/en/windowsgeneraldevelopmentissues/thread/b0806608-fee0-413c-a34d-674aeb11be3c

Answer 3

Questa è un'idea più che una soluzione perfetta. Per quanto riguarda la risposta di Leonardo, che ne dici di utilizzare un vero e proprio software anti-virus (link contro di esso) per eseguire una ricerca di altro software anti-virus? ClamAV è opensource e un buon punto di partenza. Devi solo "definire" un nuovo database delle firme piuttosto specifico.

Answer 4

Utilizzare il virus di test EICAR.

1. avere la vostra applicazione provare a scrivere uno di questi file sul disco: http://www.eicar.org/85-0-Download.html
2. intercettare l'eccezione

E non solo lavorare su ogni antivirus sulla terra, ma sarà anche dire tu se l'anti-virus è attivo!

Si possono trovare difficoltà a scaricare il file di test se si dispone di anti-virus attivo, quindi si consiglia di utilizzare questa stringa invece:

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* 

tenere a mente, che probabilmente vuole mantenere la stringa codificato sulla tua app e decodificarlo appena prima di scriverlo su disco.In caso contrario, si può rischiare la vostra applicazione viene rilevato come un virus :)

Sul sito EICAR, dicono:

Qualsiasi prodotto antivirus che supporta il file di test EICAR dovrebbe rilevare in qualsiasi tipo di file che fornisce che il file inizia con i seguenti 68 caratteri, ed è esattamente lungo 68 byte

Comunque, io non ci conterei sviluppatori AV hanno letto le specifiche, quindi meglio tenere solo la stringa codificata. In effetti, ho appena provato a salvare la stringa su un file .txt sul desktop con alcuni caratteri aggiuntivi e Windows Defender ha iniziato a urlare.

Answer 5

Hmmm, ho finito per giocare con PowerShell:

$avSoftware = get-wmiobject -class "Win32_Product" -namespace "root\cimv2" -computername "." -filter "Name like '%antivirus%'" 
if ($avSoftware.Count -gt 0) { 
    foreach ($av in $avSoftware) { 
     write-host $p.Name 
    } 
} else { 
    write-host "No AV software found" 
} 

Sembra di essere al lavoro sia sul nostro Windows Server 2008 e 2008 R2 casi ...

Maggiori informazioni qui: https://serverfault.com/questions/12343/how-can-i-determine-whether-an-antivirus-product-is-installed