Настройка задачи Защита от файловых угроз

Если после выполнения анализа работы задачи Защита от файловых угроз вы сформировали список директорий и файлов, которые можно исключить из проверки задачи, вам нужно добавить их в исключения.

Исключения из проверки

Чтобы исключить директорию /tmp/logs и все поддиректории и файлы рекурсивно, выполните следующую команду:

kesl-control --set-settings 1 --add-exclusion /tmp/logs

Чтобы исключить конкретный файл или файлы по маске в директории /tmp/logs, выполните следующую команду:

kesl-control --set-settings 1 --add-exclusion /tmp/logs/*.log

Чтобы исключить по рекурсивной маске все файлы с расширением .log в директории /tmp/ и поддиректориях, выполните следующую команду:

kesl-control --set-settings 1 --add-exclusion /tmp/**/*.log

Исключения из перехвата

Если вы хотите исключить файлы определенной директории не только из проверки, но и из перехвата, вы можете исключить точку монтирования целиком.

Чтобы исключить точку монтирования целиком:

1. Если директория не является точкой монтирования, нужно создать из нее точку монтирования. Например, чтобы создать точку монтирования из директории /tmp, выполнив следующую команду:

   mount --bind /tmp/ /tmp

2. Чтобы точка монтирования сохранилась после перезагрузки сервера, добавьте в файл /etc/fstab следующую строку:

   /tmp /tmp none defaults,bind 0 0

3. Добавьте директорию /tmp в глобальные исключения, выполнив следующую команду:

   kesl-control --set-app-settings ExcludedMountPoint.item_0000=/tmp

4. Если требуется добавить несколько директорий, увеличивайте счетчик item_0000 на единицу (item_0001, item_0002 и так далее).

Исключать точки монтирования также рекомендуется, если это примонтированный удаленный ресурс с нестабильным или медленным соединением.

Изменение типа проверки

По умолчанию задача Защита от файловых угроз может проверять файлы при открытии и закрытии. Если в ходе анализа работы задачи Защита от файловых угроз было выявлено слишком много записываемых файлов, вы можете перевести файловый перехватчик в режим работы только при открытии файлов, выполнив следующую команду:

kesl-control --set-set 1 ScanByAccessType=Open

При таком режиме работы изменения, внесенные в файл после открытия, не будут проверяться до следующего обращения к файлу.