Как определить задачу, которая занимает ресурсы

Для того чтобы определить, какая задача или задачи приложения занимают ресурсы системы, требуется разделить потребление ресурсов задачей Защита от файловых угроз (тип OAS) и задачами проверки по требованию (тип ODS).

Как проанализировать работу задачи Защита от файловых угроз

Чтобы проанализировать работу задачи Защита от файловых угроз:

1. Остановите все задачи проверки и мониторинга.
2. Убедитесь, что задачи проверки по требованию не будут запущены во время проверки или не имеют расписания. Вы можете сделать это, выполнив следующие действия:
   1. Получите список всех задач приложения, выполнив следующую команду:

      kfl-control --get-task-list

   2. Получите параметры расписания задачи поиска вредоносного ПО, выполнив следующую команду:

      kfl-control --get-schedule <ID задачи>

      Если команда выводит RuleType=Manual, то задача запускается только вручную.

   3. Получите параметры расписания всех ваших задач поиска вредоносного ПО и выборочной проверки, если такие были созданы, и укажите им запуск вручную, выполнив следующую команду:

      kfl-control --set-schedule <ID задачи> RuleType=Manual

3. Включите создание файлов трассировки приложения с высоким уровнем детализации, выполнив следующую команду:

   kfl-control --set-app-settings TraceLevel=Detailed

4. Запустите задачу Защита от файловых угроз, если она не была запущена, выполнив следующую команду:

   kfl-control --start-task 1

5. Создайте нагрузку на систему в том же режиме, который вызвал проблемы с производительностью, достаточно нескольких часов.

   Под нагрузкой приложение записывает много информации в файлы трассировки, при этом по умолчанию хранится 5 файлов по 500 МБ, поэтому старая информация будет перезаписываться. Если проблемы с производительностью и потреблением ресурсов перестали проявляться, значит, скорее всего, проблемы вызывают задачи проверки по требованию и можно перейти к анализу работы задач проверки c типом ODS.

6. Выключите создание файлов трассировки приложения, выполнив следующую команду:

   kfl-control --set-app-settings TraceLevel=None

7. Определите список объектов, которые были проверены наибольшее количество раз, выполнив следующую команду:

   fgrep 'AVP ENTER' /var/log/kaspersky/kfl/kfl.* | awk '{print $8}' | sort | uniq -c | sort -k1 -n -r|less

   Результат загружается в приложение просмотра текста less, где в самом начале отображаются те объекты, которые были проверены наибольшее количество раз.

8. Определите, являются ли опасными объекты, которые были проверены наибольшее количество раз. В случае затруднения обратитесь в Службу технической поддержки.

   Например, неопасными можно признать директории и файлы журналов, если запись в них ведет доверенный процесс, файлы баз данных.

9. Запишите пути к неопасным, по вашему мнению, объектам, они потребуются в дальнейшем для настройки исключений из проверки.
10. Если в системе осуществляется частая запись файлов различными сервисами, такие файлы будут повторно проверяться в отложенной очереди. Определите список путей, которые были проверены в отложенной очереди наибольшее количество раз, выполнив следующую команду:

    fgrep 'SYSCALL' /var/log/kaspersky/kfl/kfl.* | fgrep 'KLIF_ACTION_CLOSE_MODIFY' | awk '{print $9}' | sort | uniq -c | sort -k1 -n -r

    Файлы, проверенные наибольшее количество раз, будут отображаться в начале списка.

11. Если счетчик по одному файлу превышает несколько тысяч за несколько часов, определите, можно ли доверять этому файлу, чтобы исключить его из проверки.

    Логика определения такая же, как и для предыдущего исследования (см. п. 8): файлы журналов можно признать неопасными, так как они не могут быть запущены.

12. Даже если некоторые файлы исключены из проверки постоянной защитой, они все равно могут перехватываться приложением. Если исключение определенных файлов из постоянной защиты не приносит существенного прироста производительности, вы можете полностью исключить из перехвата приложением точку монтирования, где расположены эти файлы. Для этого выполните следующие действия:
    1. Получите список файлов, перехваченных приложением, выполнив следующую команду:

       grep 'FACACHE.*needs' /var/log/kaspersky/kfl/kfl.* | awk '{print $9}' | sort | uniq -c | sort -k1 -n -r

    2. С помощью полученного списка определите пути, по которым происходит большое количество перехватов файловых операций, и настройте исключения из перехвата.

Как оптимизировать работу задачи Защита от файловых угроз

Если после выполнения анализа работы задачи Защита от файловых угроз вы сформировали список директорий и файлов, которые можно исключить из проверки задачи, вам нужно добавить их в исключения.

Исключения из проверки

Чтобы исключить директорию /tmp/logs и все поддиректории и файлы рекурсивно, выполните следующую команду:

kfl-control --set-settings 1 --add-exclusion /tmp/logs

Чтобы исключить конкретный файл или файлы по маске в директории /tmp/logs, выполните следующую команду:

kfl-control --set-settings 1 --add-exclusion /tmp/logs/*.log

Чтобы исключить по рекурсивной маске все файлы с расширением .LOG в директории /tmp/ и поддиректориях, выполните следующую команду:

kfl-control --set-settings 1 --add-exclusion /tmp/**/*.log

Исключения из перехвата

Если вы хотите исключить файлы определенной директории не только из проверки, но и из перехвата, вы можете исключить точку монтирования целиком.

Чтобы исключить точку монтирования целиком:

1. Если директория не является точкой монтирования, нужно создать из нее точку монтирования. Например, чтобы создать точку монтирования из директории /tmp, выполнив следующую команду:

   mount --bind /tmp/ /tmp

2. Чтобы точка монтирования сохранилась после перезагрузки сервера, добавьте в файл /etc/fstab следующую строку:

   /tmp /tmp none defaults,bind 0 0

3. Добавьте директорию /tmp в глобальные исключения, выполнив следующую команду:

   kfl-control --set-app-settings ExcludedMountPoint.item_0000=/tmp

4. Если требуется добавить несколько директорий, увеличивайте счетчик item_0000 на единицу (item_0001, item_0002 и так далее).

Исключать точки монтирования также рекомендуется, если это примонтированный удаленный ресурс с нестабильным или медленным соединением.

Изменение типа проверки

По умолчанию задача Защита от файловых угроз может проверять файлы при открытии и закрытии. Если в ходе анализа работы задачи Защита от файловых угроз было выявлено слишком много записываемых файлов, вы можете перевести задачу в режим работы только при открытии файлов, выполнив следующую команду:

kfl-control --set-set 1 ScanByAccessType=Open

При таком режиме работы изменения, внесенные в файл после открытия, не будут проверяться до следующего обращения к файлу.

Как проанализировать работу задач проверки по требованию

Также большое потребление ресурсов может быть вызвано использованием задач с типом ODS. Следуйте следующим рекомендациям по использованию задач с типом ODS:

• Убедитесь, что не выполняется запуск нескольких задач проверки по требованию одновременно. Приложение позволяет работать в таком режиме, но потребление ресурсов может сильно увеличиться. Проверьте расписание всех задач с типом ODS (как описано для задачи Защита от файловых угроз).
• Запускайте проверку во время наименьшей нагрузки на сервер.
• Убедитесь, что по указанному пути проверки нет примонтированных удаленных ресурсов (SMB / NFS). Если задача состоит в проверке удаленного ресурса и нет возможности выполнять ее непосредственно на сервере, предоставляющем ресурс, не выполняйте проверку на серверах c критическими сервисами, так как такая задача может выполняться достаточно долго (в зависимости от скорости соединения и количества файлов).
• Выполните оптимизацию параметров задачи проверки по требованию перед запуском.

Как оптимизировать работу задачи проверки по требованию

Исключения из проверки

Для задач проверки по требованию с типом ODS вы можете настроить исключения из проверки. Настройка выполняется аналогично настройке исключений из проверки для задачи Защита от файловых угроз.

Параметры исключений из проверки для одной задачи проверки не действуют на другие задачи проверки. Для каждой задачи проверки требуется настроить свои исключения.

Ограничение использования памяти для распаковки архивов

Задача проверки по требованию при рекурсивной проверке во время проверки архивов будет распаковывать их, используя оперативную память. В приложении предусмотрена возможность регулировать размер оперативной памяти, используемой приложением при проверке файлов, с помощью параметра ScanMemoryLimit в конфигурационном файле kfl.ini. Значение параметра по умолчанию равно 8192 МБ. Минимальное значение параметра: 2 МБ. Если указанное значение параметра меньше 2 МБ, приложение будет использовать минимальное значение (2 МБ). Если указанное значение параметра превышает размер оперативной памяти системы, приложение будет использовать до 25% оперативной памяти. Это значение изменить невозможно.