Настройка параметров перехвата системных событий

Для полноценной работы приложение должно использовать перехват системных событий – файловых операций и запуска процессов. Если приложение не использует перехват системных событий, проверка файлов в режиме реального времени не выполняется, уровень защиты устройства снижается.

Если операционная система на устройстве поддерживает технологию fanotify, вы можете выбрать, какой механизм приложение должно использовать для перехвата системных событий:

• Системный механизм перехвата на основе технологии fanotify. Этот механизм используется по умолчанию.
• Механизм перехвата на основе обновляемого модуля ядра. Использование обновляемого модуля ядра позволяет оптимизировать перехват файловых операций и перехват запуска процессов приложением Kaspersky Endpoint Security. Обновляемый модуль ядра выполняет перехват файловых операций при открытии, переименовании и изменении файлов. Производительность приложения увеличивается за счет использования кеша файлов и процессов, не нуждающихся в проверке.

  При использовании обновляемого модуля ядра вы можете более точно настраивать глобальные исключения. Если используется механизм перехвата на основе технологии fanotify, из перехвата файловых операций исключаются указанные точки монтирования целиком. Использование обновляемого модуля ядра позволяет исключать конкретные локальные или удаленные директории, смонтированные на устройстве.

  Обновляемый модуль ядра входит в комплект поставки приложения.

Для операционных систем, не поддерживающих технологию fanotify, выбор механизма перехвата недоступен. Приложение использует для перехвата системных событий специальный модуль ядра для защиты от файловых угроз. Этот модуль автоматически компилируется при запуске Защиты от файловых угроз при наличии необходимых пакетов и утилит компиляции.

Приложение может использовать механизм перехвата на основе обновляемого модуля ядра, если операционная система соответствует требованиям для установки обновляемого модуля ядра.

Требования для установки обновляемого модуля ядра

Вы можете проверить соответствие вашего устройства требованиям для установки обновляемого модуля ядра с помощью утилиты Kaspersky ULKM tool.

Если ваша операционная система соответствует требованиям, вы можете выбрать механизм перехвата на основе обновляемого модуля ядра в ходе установки приложения. В результате будет установлен обновляемый модуль ядра. Вы также можете установить обновляемый модуль ядра позже, если появилась поддержка вашей операционной системы. Для этого:

1. Выполните обновление баз и модулей приложения. Обновляемый модуль ядра устанавливается в результате получения обновлений.
2. Выберите механизм перехвата на основе обновляемого модуля ядра. Вы можете выбирать механизм перехвата системных событий в Web Console, в Консоли администрирования или в командной строке.

   В командной строке вы можете настраивать параметры перехвата системных событий с помощью параметров InterceptorMode, InterceptorFallbackStrategy и InterceptorApplyStrategy в общих параметрах приложения.

   Параметры отображаются и доступны для изменения только на устройствах, где операционная система поддерживает технологию fanotify.

   Вы можете изменять значение параметров с помощью ключей командной строки или с помощью конфигурационного файла, который содержит все общие параметры приложения.

   Параметр InterceptorMode позволяет выбрать механизм перехвата системных событий, который приложение использует в своей работе. Параметр может принимать следующие значения:

   • UseFanotify – использовать технологию fanotify для перехвата системных событий.
   • UseUpdatableKernelModule – использовать обновляемый модуль ядра для перехвата системных событий.

   Параметр InterceptorFallbackStrategy применяется, если выбран обновляемый модуль ядра. Параметр позволяет указать действие, которое приложение выполняет в случае ошибки запуска обновляемого модуля ядра. Параметр может принимать следующие значения:

   • FallbackToFanotify – перейти к использованию технологии fanotify для перехвата системных событий в случае ошибки запуска обновляемого модуля ядра.
   • FallbackToLimitedMode – не использовать перехват системных событий в случае ошибки запуска обновляемого модуля ядра. Если приложение не использует перехват системных событий, проверка файлов в режиме реального времени не выполняется, уровень защиты устройства снижается.

   Параметр InterceptorApplyStrategy применяется, если выбран обновляемый модуль ядра. Если приложение переходит к использованию обновляемого модуля ядра, для запуска модуля требуется перезапуск приложения. Параметр позволяет указать, будет ли перезапуск приложения выполняться автоматически или требуется перезапуск приложения вручную:

   • RestartServiceAutomatically (рекомендованное значение) – автоматически перезапускать приложение для запуска обновляемого модуля ядра.
   • RestartServiceManually – запускать обновляемый модуль ядра после перезапуска приложения, выполненного пользователем вручную.

   Рекомендуется выполнять автоматический перезапуск приложения для перехода к использованию обновляемого модуля ядра. Запуск обновляемого модуля ядра после перезапуска приложения вручную может приводить к ошибкам в работе приложения.

   В Web Console вы можете настраивать параметры перехвата системных событий в свойствах политики (Параметры приложения → Общие настройки → Настройки взаимодействия с ОС).

   Параметры применяются только на устройствах, где операционная система поддерживает технологию fanotify.

Приложение может перейти к использованию обновляемого модуля ядра в следующих ситуациях:

• Если вы изменили механизм перехвата системных событий в параметрах приложения на обновляемый модуль ядра.
• Если на устройстве, где обновляемый модуль ядра не запускался, в ходе обновления баз и модулей получены обновления, обеспечивающие поддержку обновляемого модуля ядра.

Для корректной работы приложения требуется, чтобы переход к использованию обновляемого модуля ядра выполнялся после автоматического перезапуска приложения.

Если вы выбрали механизм перехвата на основе обновляемого модуля ядра, вы можете настроить поведение приложения в случае, если при запуске обновляемого модуля ядра происходит ошибка, и модуль не запускается. В этом случае приложение может перейти к использованию технологии fanotify для перехвата системных событий или выключить перехват системных событий.

Вы можете просматривать информацию о состоянии и доступности обновляемого модуля ядра на устройстве:

• В Web Console или в Консоли администрирования с помощью статуса функционального компонента Обновляемый модуль ядра.
• В командной строке в выводе команды kesl-control --app-info.

Информация о состоянии обновляемого модуля ядра отображается в виде статусов:

• Запущен – модуль установлен и работает.
• Остановлен – модуль установлен, но не работает.
• Недоступен – модуль не поддерживается на устройстве.
• Ошибка в работе – произошла ошибка при запуске модуля, модуль не работает.