Управление сканированием файлов и процессов по YARA-правилам

Параметры

Описание

--scan-yara [<полный путь к yara-файлу>]

Обязательный параметр.

Запускает сканирование YARA на устройстве. Проверка выполняется по правилам из YARA-файлов с расширением yara или yar.

Параметру может быть передано несколько значений через пробел.

Хотя бы одно значение <полный путь к yara-файлу> должен быть указано, если не задан параметр --path.

Если в дополнение к аргументам параметра --scan-yara также задан параметр --path, при сканировании используются как указанные в аргументах файлы с YARA-правилами, так и файлы из папки параметра --path.

--path=<путь к папке с yara-файлами>

Путь к папке с YARA-файлами, по которым требуется выполнять поиск.

Обязательный параметр, если не задан параметр <полный путь к yara-файлу>.

--fast-scan

Необязательный параметр.

Параметр запускает проверку в режиме быстрого сканирования. Для каждого объекта сканирования в журнале фиксируется одно вхождение обнаруженного маркера, при этом дубликаты обнаруженных маркеров не отображаются в журнале. Использование данного параметра позволяет сократить время проверки больших файлов.

Если параметр не передан, выполняется стандартная проверка и дубликаты обнаруженных маркеров отображаются в журнале.

--tag-hint=<тег правила>

Необязательный параметр.

Параметр позволяет учитывать при сканировании только правила с указанным тегом. Можно указать только одно значение параметра.
Правила без тегов или с другими тегами, помимо указанных в параметре, игнорируются при сканировании.

Если параметр не передан, при сканировании учитываются все правила.

--id-hint=<идентификатор правила>

Необязательный параметр.

Параметр позволяет учитывать при сканировании только правила с указанным идентификатором. Можно указать только одно значение параметра.
Правила без идентификаторов или с другими идентификаторами, помимо указанных в параметре, игнорируются при сканировании.

Если параметр не передан, при сканировании учитываются все правила.

--max-rules=<максимальное количество правил сканирования>

Необязательный параметр.

Параметр задаёт лимит уникальных сработавших правил обнаружения, при превышении которого проверка прекращается.

Если значение параметра не задано или равно 0, проверка выполняется без ограничений.

--timeout=<остановка сканирования по истечении указанного времени в секундах>

Необязательный параметр.

Параметр указывает продолжительность проверки в секундах. По истечении указанного времени проверка будет остановлена.

Если значение параметра не задано или равно 0, проверка выполняется без ограничений.

--recursive

Необязательный параметр.

Параметр запускает рекурсивную проверку вложенных папок в рамках значения [<список папок для сканирования>].

--scan_folders [<список папок для сканирования>]

Дополнительно в параметрах --scan-folders, --excludes, --includes в качестве аргументов можно указывать ссылки на файлы аргументов с префиксом "@".
Файлы аргументов - это текстовые файлы в кодировке UTF-8, которые содержат списки объектов для обработки с использованием соответствующего параметра в командной строке.

Пример:
Файл my_rules.txt содержит две строки:

• c:\trusted\*.*
• *.abc

Файл rules2.txt содержит одну строку:

• img_*.jpg

В случае запуска сканирования с параметрами вида "--scan-folders --exclude *.txt @my_rules.txt *.xml @rules2.txt" будет проведено сканирование всех файлов на всех дисках, за исключением файлов с расширениями "txt", файлов в папке "c:\trusted", файлов с расширением "abc", файлов с расширением "xml" и файлов по маске "img_*.jpg".

Необязательный параметр.

Параметр запускает сканирование файлов по указанному списку папок.

Если значение параметра <список папок для сканирования> не задано, сканирование производится рекурсивно на всех локальных дисках, кроме сетевых, облачных и подключаемых.

--scan-memory

Необязательный параметр.

Параметр запускает сканирование памяти всех запущенных процессов.

--scan-process <имя процесса>

Необязательный параметр.

Параметр запускает сканирование памяти только для указанных процессов. Для значения <имя процесса> поддерживаются стандартные маски "?" и "*".

--max-size=<размер файла в байтах>

Необязательный параметр.

Сканирование выполняется только для тех файлов, размер которых не превышает заданное значение. Файлы большего размера пропускаются при сканировании.

--includes <список объектов для сканирования>

Необязательный параметр.

Параметр позволяет ограничить область сканирования. Можно задать несколько значений параметра через пробел. Доступные значения:

• имя файла;
• путь к файлу;
• маска имени файла;
• маска пути к файлу.

Передается с параметром --scan-folders.

Пример:
--scan-folders c:\*.* --recursive --includes *.exe c:\temp\*.* *.dll – сканирование будет проведено для всех файлов с расширениями "exe" и "dll" на диске C:, а также будут просканированы рекурсивно все файлы в папке C:\temp

--excludes <список объектов для сканирования>

Необязательный параметр.

Параметр исключает указанные файлы или папки из сканирования. Можно задать несколько значений параметра через пробел. Доступные значения:

• имя файла;
• путь к файлу;
• маска имени файла;
• маска пути к файлу.

Передается с параметром --scan-folders.

Пример:
--scan-folders c:\*.* --excludes readme.txt c:\trusted\*.* *.xml – при сканировании будут пропущены файлы readme.txt, все файлы из папки C:\trusted, а также все файлы с расширением xml в корневой папке на диске C:.

Offset

Смещение в объекте, для которого Kaspersky Endpoint Agent выполняет сканирование.

Data

Сигнатуры, которые Kaspersky Endpoint Agent ищет во время сканирования.

Object Name

Имя объекта сканирования.

Rule Name

Имя правила, которое используется во время сканирования.