群晖教程 2026-10-02 企业数据管家

NAS 不是病毒免疫区：群晖 Antivirus Essential 从计划扫描到隔离区管理实操

「NAS 是 Linux 系统，不会中病毒」——这句话害了很多公司。真实情况是：勒索软件的加密行程会扫遍所有挂载的网络盘，员工 U 盘里的染毒文件会被备份任务原样搬进 NAS，共享文件夹成了病毒在中转站里最安静的一站。DSM 套件中心的 Antivirus Essential 是群晖官方提供的杀毒套件，无需单独购买授权，装上之后的问题就变成：怎么扫、什么时候扫、扫到了怎么办。这篇按「部署前检查—扫描策略—隔离与日志」的顺序把整套配置过一遍。

部署前先确认一件事

检查系统内存不少于 1 GB。为什么：这是官方给出的扫描运行门槛——杀毒引擎扫描时的内存开销不小，低于这个水位的设备即便能装，扫描也会拖慢文件服务；内存紧张的机型应先把扫描安排在业务低峰。

三种扫描各管什么

系统扫描：检查最可能隐藏在系统分区的病毒，不扫数据存储空间。适合日常确认「NAS 本体健康」。
全盘扫描：扫描 NAS 上所有文件。怀疑设备已经染毒时用它兜底。
自定义扫描：只扫指定文件夹。共享目录多、又只有少数几个是「文件进出频繁」的高风险区时，按目录精准扫描最省资源。

为什么：扫描策略的本质是资源分配——全盘扫描最彻底也最重，日常运维应该以「系统扫描保底、自定义扫描盯高风险目录、全盘扫描留给事件响应」的组合来用，而不是无脑每周全盘。

操作步骤

安装并打开套件，在左侧「概述」页确认当前状态。状态有七种：准备扫描、初始化扫描、更新病毒定义、正在扫描、扫描已完成、病毒已被处理、检测到危险（发现病毒但无法处理，需点「重试」，此时显示正在重新处理）。为什么：把状态机看懂，巡检时扫一眼就知道设备处于哪个阶段；「检测到危险」意味着有漏网文件，不能放着不管。
在「设置」里定默认处理方式：指定发现病毒时的默认动作后单击应用。为什么：不预设处理方式，扫描撞到病毒时行为不确定；企业环境建议明确策略——是隔离优先还是删除优先，写进运维手册，出事时才不依赖当值者的临场判断。
开启「扫描前更新病毒定义」。为什么：病毒定义过期的扫描是心理安慰；官方同时提醒，定期更新定义可能降低扫描速度，所以这项要和下面的计划扫描配合，把更新开销一起放进低峰期。
按需开启两项提效设置：「只扫描特定的文件类型」（在文件扩展名列表里维护清单）与「启用智能扫描 AntiVirus」。为什么：文件服务器场景里，Office 文档、压缩包、可执行文件才是主要风险载体，限定扩展名能把扫描火力集中；智能扫描只比对上次结果、仅扫已修改的文件，静态归档库不需要每次全量重扫。
创建计划扫描：单击「创建」，指定扫描类型、日期和时间，确定后保存。为什么：套件默认在 NAS 未使用时段每周运行一次扫描（例如周六凌晨 01:00）；改成贴合自己业务节奏的时段——备份任务、员工访问高峰都要错开。计划的启用、编辑、删除都在同一列表里完成，改完记得保存才生效。
扫描命中后到「隔离区」处理：选中文件可「恢复」（可勾选将其加入白名单，将来跳过该文件）或「删除」，也可用「批量编辑」整体还原或清除。为什么：隔离区是误报的救济通道——业务系统报毒不等于真是病毒，先隔离观察、再判定，比直接删除稳妥；反过来，确认为恶意的文件应及时删除，别让隔离区变成病毒仓库。
维护「日志」：可按类别清除、导出为文本文件、用过滤器筛选查看。为什么：日志是安全事件的证据链。周期性导出归档，配合告警通知，才能回答「什么时候扫出过什么、处理了没有」这类审计问题。
定义更新异常时走手动通道：更新页支持「立即更新」与「手动更新」——从本机上传病毒定义文件，需上传全部列出的 bytecode.cvd、daily.cvd、main.cvd。为什么：隔离网或代理受限环境里自动更新常失败，手动上传三件套是官方给出的兜底路径，运维应该把这三个文件的下获方式提前记入预案。

引擎的三条已知限制

不扫描大于 2048 MB 的文件；
对藏在压缩包（ZIP、RAR、ARJ、Tar、Gzip、Bzip2）内病毒的检出机率较低；
某些项目不会包含在扫描中。

为什么：这是官方对 ClamAV 引擎的明确说明。它决定了两件事：大体积的影视素材、镜像类文件不要指望杀毒兜底，准入控制要前移到上传环节；重要压缩包应结合来源白名单管理，而不是默认「扫过就是安全的」。

结语

杀毒套件的价值不在装上那一刻，而在扫描计划是否真的在跑、隔离区是否有人定期清、日志是否导出归档。Antivirus Essential 把这三件事都做成了控制台里的固定入口，剩下的只是把它们写进运维排班。贵州诚鑫致达科技在客户机房做安全基线时，计划扫描与隔离区巡检是和备份检查并列的两张固定巡检表——防的和备的，一个都不能少。