Как настроить защиту от файловых угроз

Компонент Защита от файловых угроз позволяет избежать заражения файловой системы устройства. Компонент включается автоматически с параметрами по умолчанию при запуске приложения Kaspersky, постоянно находится в оперативной памяти устройства и проверяет все открываемые, сохраняемые и запускаемые файлы в режиме реального времени.

При обнаружении вредоносного ПО приложение Kaspersky может удалять зараженный файл и завершать вредоносный процесс, запущенный из этого файла.

На работу компонента влияет режим перехвата файловых операций, который вы можете выбрать в общих параметрах приложения. По умолчанию на время проверки доступ к файлу блокируется.

В командной строке вы можете управлять защитой от файловых угроз с помощью предустановленной задачи Защита от файловых угроз (File_Threat_Protection).

Задача Защита от файловых угроз запущена по умолчанию. Вы можете запускать и останавливать эту задачу, а также изменять ее параметры вручную.

Для запуска и остановки задачи Защита от файловых угроз из командной строки требуются права роли Администратор.

Изменяя параметры предустановленной задачи Защита от файловых угроз, вы можете:

• Выбирать режим проверки файлов (при открытии, при открытии и изменении).
• Включать и выключать проверку архивов, почтовых баз, сообщений электронной почты в текстовом формате.
• Временно исключать из повторной проверки файлы в текстовом формате.
• Ограничивать размер проверяемого объекта и продолжительность проверки объекта.
• Выбирать действия, которые приложение будет выполнять над зараженными объектами.
• Настраивать области проверки. Приложение будет проверять объекты в указанной области файловой системы.
• Настраивать исключения объектов из проверки. Исключение из проверки – это совокупность условий, при выполнении которых приложение не проверяет объекты на наличие вирусов и других вредоносных программ. Вы можете исключать из проверки следующее:
  • объекты по именам или маскам;
  • объекты по названиям обнаруженных в объектах угроз;
  • файлы и директории в указанных областях файловой системы;
  • процесс и файлы, изменяемые указанным процессом.
• Настраивать использование эвристического анализатора и технологии iChecker во время проверки.
• Включать и выключать запись в журнал информации о проверенных незараженных объектах, о проверке объектов в составе архивов и о необработанных объектах.

В командной строке вы можете просматривать информацию об обнаруженных угрозах, а также проверять текущее состояние задачи.

Для оптимизации работы компонента Защита от файловых угроз вы можете настроить исключение из проверки файлов, копируемых из сетевых директорий. Файлы будут проверяться только после завершения копирования в локальную директорию. Для исключения из проверки файлов в сетевых директориях вам нужно настроить исключение по процессам для утилиты, предназначенной для копирования из сетевых директорий (например, для утилиты cp). Вы можете настроить исключение по процессам, добавив в параметры задачи типа OAS секцию [ExcludedForProgram.item_#].

В интерфейсе приложения вы можете управлять защитой от файловых угроз с помощью компонента Защита от файловых угроз.

Интерфейс приложения позволяет выполнять следующие действия:

• Включать и выключать компонент Защита от файловых угроз.
• Наблюдать за ходом работы компонента.
• Просматривать всплывающие уведомления об обнаруженных угрозах, из которых вы можете по ссылке Открыть отчеты переходить к отчетам о работе компонентов приложения и результатах выполнения задач проверки.
• Просматривать отчет о работе компонента Защита от файловых угроз.

  Статистические данные о работе компонента Защита от файловых угроз отображаются в отчете в разделе Статистика.

Параметры задачи Защита от файловых угроз

Задача Защита от файловых угроз запущена по умолчанию со значениями параметров, указанными в Приложении 3. Вы можете останавливать и запускать задачу в любое время. Вы также можете изменять параметры задачи.

Изменять параметры задач нужно до их запуска.

Чтобы изменить значения параметров расписания запуска задачи с помощью конфигурационного файла:

1. Выведите параметры задачи в конфигурационный файл с помощью команды kfl-control --get-schedule.
2. Измените в конфигурационном файле значения нужных параметров расписания и сохраните изменения.
3. Выполните команду:

   kfl-control --set-schedule 1 --file <путь к конфигурационному файлу> [--json]

Все значения параметров расписания запуска задачи, заданные в файле, будут импортированы в приложение.

Чтобы изменить отдельные значения параметров расписания запуска задачи с помощью командной строки, выполните следующую команду:

kfl-control --set-schedule 1 <имя параметра>=<значение параметра> [<имя параметра>=<значение параметра>]

Значения указанных параметров расписания запуска задачи будут изменены.

Чтобы остановить задачу Защита от файловых угроз и включить вывод текущих событий, связанных с этой задачей, выполните следующую команду:

kfl-control --stop-task 1 -W

Чтобы запустить задачу Защита от файловых угроз, включить вывод текущих событий, связанных с этой задачей, и отобразить ход выполнения задачи, выполните следующую команду:

kfl-control --start-task 1 [-W] [--progress]

Задача Защита от файловых угроз запускается со значениями по умолчанию.

Текущие значения параметров задачи вы можете вывести одним из следующих способов:

• в консоль с помощью команды вывода параметров задачи kfl-control --get-settings 1 [--json];
• в конфигурационный файл с помощью команды вывода параметров задачи kfl-control --get-settings 1 --file <путь к конфигурационному файлу> [--json].

При необходимости изменить параметры задачи Защита от файловых угроз вы можете:

• Изменять все параметры задачи с помощью конфигурационного файла. Для этого нужно выполнить следующие действия:
  1. Вывести параметры задачи в конфигурационный файл с помощью команды kfl-control --get-settings 1 [--json].

     Будет сформирован конфигурационный файл с текущими параметрами задачи.

  2. Внести изменения в параметры задачи в сформированном конфигурационном файле, выбрав значения из таблицы ниже.
  3. При необходимости добавить в конфигурационный файл область проверки или удалить из него те области проверки, которые вы хотите пропустить.

     Чтобы добавить область проверки, добавьте в конфигурационный файл секцию [ScanScope.item_#] и укажите значения ее параметров, выбрав их из таблицы ниже.

     Чтобы удалить область проверки, удалите из конфигурационного файла секцию [ScanScope.item_#], соответствующую ненужной области проверки, вместе с ее параметрами.

  4. При необходимости добавить в конфигурационный файл область исключения из проверки.

     Чтобы добавить область исключения из проверки, добавьте в конфигурационный файл секцию [ExcludedFromScanScope.item_#] для исключения файлов и директорий или [ExcludedForProgram.item_#] для исключения процессов и укажите значения ее параметров, выбрав их из таблицы ниже.

  5. Сохранить конфигурационный файл.
  6. Выполнить команду kfl-control --set-settings 1 --file <путь к конфигурационному файлу> [--json].
• Изменять отдельные параметры задачи, с помощью ключей командной строки. Для этого нужно выполнить следующие действия:
  1. Изменить значения параметров с помощью команды kfl-control --set-settings 1 <имя параметра>=<значение параметра> [<имя параметра>=<значение параметра>].
  2. При необходимости добавить область проверки с помощью команды kfl-control --set-settings 1 --add-path <путь к директории с проверяемыми объектами> или удалить область проверки с помощью команды kfl-control --set-settings 1 --del-path <путь к директории с проверяемыми объектами>.
  3. При необходимости добавить область исключения из проверки с помощью команды kfl-control --set-settings 1 --add-exclusion <путь к директории с исключаемыми объектами> или удалить область исключения из проверки с помощью команды kfl-control --set-settings 1 --del-exclusion <путь к директории с исключаемыми объектами>.
• Восстанавливать заданные по умолчанию параметры задачи с помощью команды kfl-control --set-settings 1 --set-to-default.

Подробная инструкция по изменению параметров задач приложения приведена в разделе Как изменить параметры задачи в командной строке.

В таблице ниже описаны все параметры и значения параметров задачи Защита от файловых угроз.

Параметры задачи Защита от файловых угроз

Как оптимизировать проверку сетевых директорий

Для оптимизации защиты от файловых угроз вы можете настроить исключение из проверки файлов, копируемых из сетевых директорий в локальную директорию. Для этого вам нужно настроить исключение по процессам для утилиты, предназначенной для копирования из сетевых директорий (например, для утилиты cp).

Чтобы настроить исключение сетевых директорий из проверки:

1. Выведите параметры задачи Защита от файловых угроз (File_Threat_Protection, ID:1) в конфигурационный файл с помощью команды:

   kfl-control --get-settings 1 --file <полный путь к конфигурационному файлу> [--json]

2. Откройте конфигурационный файл и добавьте секцию [ExcludedForProgram.item_#] со следующими параметрами:
   • ProgramPath – путь к исключаемому процессу или к директории с исключаемыми процессам.
   • ApplyToDescendants – параметр, показывающий, нужно ли исключать из проверки дочерние процессы исключаемого процесса (возможные значения: Yes или No).
   • AreaDesc – описание области исключения по процессам, содержащее дополнительную информацию об области исключения.
   • UseExcludedForProgram – включить исключение указанной области при работе задачи (возможные значения: Yes или No).
   • Path – путь к файлам или к директории с файлами, которые изменяет процесс.
   • AreaMask.item_# – маска имени файла для файлов, которые вы хотите исключить из проверки. Вы также можете указать полный путь к файлу.

     Пример: [ExcludedForProgram.item_0000] ProgramPath=/usr/bin/cp ApplyToDescendants=No AreaDesc= UseExcludedForProgram=Yes Path=AllRemoteMounted AreaMask.item_0000=*

3. Выполните команду:

   kfl-control --set-settings 1 --file <полный путь к конфигурационному файлу> [--json]

   Укажите ключ --json, если вы импортируете параметры из конфигурационного файла формата JSON. Если вы не укажете ключ, приложение попытается выполнить импорт из файла формата INI. При невозможности импорта отображается ошибка.

Приложение не будет проверять файлы в сетевых директориях, при этом сама команда cp (для приведенного выше примера) и локальные файлы будут проверяться.