カーネルパニックのためSophos Anti-Virusのオンアクセス検索を止めたらMacが快適になった

Mac mini (Mountain Lion)でカーネルパニックが発生してから、Sophos Anti-Virus for Macのオンアクセス検索を止めています。これは、Sophosのウェブサイトにも書いてあった対策のひとつです。

アンインストールは今のところしていません。その代わり、ClamXav Sentryで常駐ウイルスチェックをしています。

その結果、、、

セキュリティの話ではありませんが、Macがずいぶん軽くなりました。例えば

1. メモリ使用量が減りました。

Sophos Anti-Virusのオンアクセス検索をオンにしている時は、Macを起動した直後からシステムメモリの使用量が増え始め、しばらくしたら、空きがほぼなくなっていました。16GB搭載していますが、固定中と現在使用中で8GBで、現在非使用中が初め2〜3GBから徐々に増え始め、数時間で8GBほどになっていました。オンアクセス検索を止めた後は、固定中と現在使用中が8GB、非使用中が3GB、空きが5GBで徐々に現在使用中が増え、空きが減っていくようになりました。

2. iPhoneを接続した際の動作が速くなりました。

以前は、iPhone上に同期したミュージックのタブをクリックすると、5~6秒待たされる感じでしたが、今は瞬時に切り替わります。

また、同期ボタンを押してもコピーの動作にやたら時間がかかっていたのですが、これもオンアクセス検索をオフにしたら、かなり速い速度で完了します。

3. 他の動作も早くなりました。

起動直後以前は、Sophosのintercheckプロセスが100%近く消費していたのがなくなったり、アプリケーションをインストールする時、非常に遅くなったりの現象があったのですが、それが無くなりました。また、Javaを使っているアプリケーション(Cyber Duckなど)もほぼ使えないのと同じだったのが無くなり使えるようにました。

Mac mini 2012 lateを買ってからすぐClamXavからSophos Anti-Virusにして、それでもMac mini 2006よりずいぶん速く感動していたのですが、実はもっと速かったようです。

Sophosのサイトに書いてあったカーネルパニックへの対策が、オンアクセス検索のオフの他に、アーカイブと圧縮ファイルの内部の検索のオフ、大容量ディスクの検索のオフがあったのですがそれはClamXavでも対応しているので、機能的に優れている点がわからなくなります。

チェックアルゴリズムやウイルスリストの更新等の優劣になってしまいそうです。後は、Sophosのオンアクセスでは、すべてのファイル(のアクセス時チェック)を対象にしていましたが、ClamXav Sentryでは個人的によくアクセスするフォルダや、/tmpなどの誰でも書き込める場所だけをチェックしているのでそこがSophos Anti-Virusの優位点になりそうです。

また、別の設定を試したりしたらレビューなどを書きたいと思います。

カーネルパニックが発生しました。Sophos Anti-Virus for Macの可能性も。

昨日(2/25)、自宅のMac mini 2012 (OS X 10.8.2)を使っていたらカーネルパニックが発生しました。久しぶりだったので、最初何が起きたのか、わかりませんでした。
その後、自動的に再起動が始まりログインしたら、カーネルパニックの情報をAppleに送信するかどうか聞かれたので、匿名情報で送信しました。ところが、その後すぐまたカーネルパニックが起きました。
これは、まずい状況になっていると思い、とりあえずログファイルをみてみることにしました。

/Library/Logs/DiagnosticReports/Kernel_日付時刻_ホスト名.panic
というファイルにカーネルパニック時のログが記録されます。
確認したら
Interval Since Last Panic Report:  121 sec
...
BSD process name corresponding to current thread: InterCheck
...
last loaded kext at 15477617914477: com.sophos.kext.sav 8.0.4 (addr 0xffffff7faaed1000, size 24576)
などの行がありました。
また、何故か、2分前に起きたカーネルパニックのログファイルはありませんでした。

しかし、私が気づかないうちに2/14にもカーネルパニックが起きていたようでその日のログファイルもありました。
まったく気づかなかったので、Macが勝手に再起動してログインウィンドウの状態になっていたのを、電源を入れた後、「起動が速い！」と勘違いしたのではと想像しています。
その時のログファイルも残っていたのですが、昨日のログと同じようなInterCheck (Sophos Anti-Virus for Mac)の行や、カーネルエクステンションのcom.sophos.kext.savの行がありました。

原因究明は時間がかかるので、とりあえずSophos Anti-Virus for Macを環境設定から不使用(オンアクセス検索を無効)にして、ClamXav Sentryを起動しました(昨日朝)。まだ、Sophosが犯人と確定しているわけではありませんが、今のところカーネルパニックは発生していません。
本当は、カーネルエクステンションも外して様子を見る方がいいのかもしれませんが。
また、それとは別にディスクも確認中です。カーネルパニック中にディスクがおかしくなったり、ディスクや他のハードウェアのためにソフトウェアがおかしくなった可能性もありますし。
また。ちょっとだけウェブを検索しましたが、
http://openforum.sophos.com/t5/Sophos-Anti-Virus-for-Mac-Home/Sophos-Kernel-Panic-in-Mountain-Lion-10-8-1/td-p/9910
のような記事もありました。Sophos Anti-Virusは大きいファイルや外部ディスクが不得意なのかもしれません。でもそうだとするといまいちですね。

ClamXavのウイルスデータベースがFirewallの後ろなのでアップデートできなくなっていました

会社ではFirewallが入っているのですが、いつの間にかClamXav(正確にはClamAV)のウイルスデータベースがアップデートできなくなっていました。
普段はSophos Anti-Virusを使っていますが、たまにClamXavでファイル単位のウイルスチェックを行います。
原因は予想はついていて、前回ClamAVエンジンをアップグレードした時に、/usr/local/clamXav/etc/freshclam.conf が上書きされたようです。
以下のdiffのようにHTTPProxy部分を修正して、正常にデータベースが更新できるようになりました。

 #HTTPProxyServer myproxy.com
 #HTTPProxyPort 1234
+HTTPProxyServer 私の会社のプロクシサーバ
+HTTPProxyPort 80 #私の会社の場合

Firewallの種類によってはユーザ名やパスワードも必要になるかもしれません。

しかし、ClamXavのエンジンは現在の設定を別名で保存してくれるとかしてくれるといいですね。リクエストをしたいと思います。

ClamXavとSophos Anti-Virusの非科学的な比較 [追記]

自宅のMacでは、ウィルスチェッカーとしてClamXavをメインに使っています。Sophos Anti-Virusもインストールしていますが、オンアクセス(常時監視)はしていません。

私の環境で感じたそれぞれの長所と短所を書いてみます。

ClamXav


ClamXavの長所

• Sophos Anti-Virusより軽い(と感じる)。ベンチマークをしたり、同じ条件になっているかわかりませんので(アーカイブの中の検索など)、単なる個人の感想です。

ClamXavの短所

• ClamXav Sentryという常駐プログラムで、あらかじめ決めておいたディレクトリを監視することができます。が、すべてのディレクトリを設定しているわけではないので、ちょっと心配です。
• たまに、ClamXav Sentryが起動はしているのにオフ状態になっていることがあります。

Sophos Anti-Virus for Mac Home Edition

Sophos Anti-Virusの長所

• すべてのファイルをオンアクセス(常時監視)できます。

Sophos Anti-Virusの短所

• コンフリクトするアプリケーションがあります。Cyberduckなど。どちらに原因があるのかわかりませんが。
• 他のプログラムと競合してそのプログラムの速度が遅くなることがあります。Time Machineや、ディスクユーティリティのアクセス権の修復時が多いです。アクセス権の修復はわかる気もしますが、Time Machineでバックアップしている時は何とかする方法はないでしょうか。
• 動作タイミングがおかしいのでは、と思う時があります。例えば、ファイルをダウンロードしたり、ソフトウェア・アップデートが終了した時点では特に何も動作していないように見えて、その後、intercheckプロセス(Sophos Anti-Virusの一部)が、CPUを100%近く使い続けることが時々起きます。多分チェック自体はちゃんとされているのでしょうが、気になりました。

その他
どちらも、Widowsのウィルス(かアドウェア)は見つけてくれた実績はあります。また、ウェブなどで調べてもどちらも評価はそれなりにいいようです。Macのウィルスは見つかったことはありません。

改めてこうして見ると、ClamXavを使ってはいますが、私のMacの性能が高ければ、Sophos Anti-Virusを使うという手もあるのかなと思いました。Cyberduckとのコンフリクトについては解決してほしいですが。
[追記: CyberduckとSophos Anti-Virusのコンフリクトの一時的回避方法の記事を書きました]

インターネットからのアプリケーションが起動されて、セキュリティが気になる時

たまに、インターネットからダウンロードされたアプリケーションが意図せず起動される時があります。
例えば、Safariを使っていて、Flash Playerのアップデータが見つかった場合などです。

こんな場合、みなさんはどうしていますか。
私は、Dockに現れたアプリケーションをFinderに表示してから、上の図のように「開いてもよろしいですか?」と聞いてくるウィンドウを一旦キャンセルしています。

その後、今回のようにある程度素性がわかっているアプリケーションの場合は、簡単にウィルスチェックなどしてから、改めて起動しています。私のMacではClamXavをメインに使っています。
ウィルスチェックがOKになった後、よく知らないアプリケーションの場合は、ウェブで検索して問題ないと判断すれば実行しますが、わからない場合、基本的には無視することにしています。本当に必要なものだったら、そのうちまた現れてきて、ウェブにも情報が上がってくると思います。

それから、ソフトウェアのアップデートをした時、すぐにインストーラが起動する場合があります。こういう場合もウィルスチェックや中身の確認をある程度できる場合もあります。
下の図は、ClamXavのエンジン(ClamAV)のアップデータをインストールしようとしているところです。

ここで、タイトルバーのパッケージアイコンを右クリックすると、下の図のようにそのパッケージが保存されているフォルダの階層が表示されます。

ここで、位置階層上のResourcesフォルダでマウスを離すと、対象のパッケージが選択された状態でそのフォルダが開きます。ClamXavのResources領域にアップデートパッケージがダウンロードされるんですね。

このパッケージファイルに対してウィルスチェックをすればよいと思います。
また、QuickLookにSuspicious Packageというジェネレーターがあり、それを使うとインストールされるファイルや、インストールスクリプトを見ることができます。私は、インストール先を見るときにたまに使うぐらいで常用しているわけではありませんが。

Sophos Anti-Virusのような常時チェックするタイプのウィルスチェッカーを使えば良いのかもしれませんが、ちょっと私の環境では不具合があり、ClamXavをメインに使っています。