О сканировании YARA в Kaspersky Endpoint Agent

Сканирование YARA – это процесс, в ходе выполнения которого Kaspersky Endpoint Agent использует YARA-файлы (файлы описания сигнатур открытого стандарта YARA) для поиска сигнатур вредоносной активности на устройствах. Сканирование выполняется рекурсивно на локальных дисках. Сканирование сетевых, подключаемых и облачных ресурсов не поддерживается.

YARA-файлы – это файлы с расширением yara или yar, которые содержат YARA-правила.

YARA-правила представляют собой описание сигнатур целевых атак и вторжений в IT-инфраструктуру организации. По этим правилам Kaspersky Endpoint Agent производит проверку объектов. Если правило выполняется, анализатор выносит заключение о заражении с соответствующими подробностями в журнале.

Kaspersky Endpoint Agent поддерживает следующие типы сканирования YARA:

• Сканирование по YARA-файлам с помощью командной строки – групповые или локальные задачи, которые создаются и настраиваются через интерфейс командной строки. Для запуска задач используются YARA-файлы, подготовленные пользователем.
• Сканирование по YARA-файлам, загружаемым вручную через веб-интерфейс Kaspersky Anti Targeted Attack Platform – пользователи программы могут использовать YARA-файлы для поиска признаков целевых атак, зараженных и возможно зараженных объектов в базе событий и обнаружений, а также для проверки компьютеров с установленным компонентом Kaspersky Endpoint Agent.

Типы сканирования отличаются возможностями управления и доступными для настройки параметрами. Описание каждого типа сканирования YARA представлено в следующей таблице.

Типы сканирования YARA