Анализ работы приложения на устройстве

При проверке объектов приложение Kaspersky Endpoint Security использует ресурсы процессора, ввод-вывод дисковой подсистемы и оперативную память.

Посмотреть информацию о потреблении ресурсов приложением

top -bn1|grep kesl

Выполнять команду нужно в момент нагрузки на систему.

Вывод команды показывает количество потребляемой памяти и занимаемого процессорного времени:

651 root 20 0 3014172 2.302g 154360 S 120.0 30.0 0:32.80 kesl

В столбце 6 отображается количество резидентной памяти – 2.302g.

В столбце 9 отображается процент использования ядер процессора – 120.0, где каждое ядро принимается за 100 процентов. Таким образом, 120% означает, что одно ядро занято полностью, а второе – на 20%.

Для получения информации о производительности приложения вы также можете настроить сбор метрик о ресурсах операционной системы, используемых приложением.

Если работа приложения Kaspersky Endpoint Security критически замедляет работу системы, вам нужно определить, какие компоненты и задачи приложения занимают ресурсы системы.

Для этого выполните следующие исследования на устройстве:

1. Проанализируйте потребление ресурсов задачей Защита от файловых угроз (задача типа OAS)

   В результате вы сможете установить, связаны ли проблемы производительности с задачей Защита от файловых угроз или с задачами проверки (задачи типов ODS и ContainerScan), и выполнить рекомендации для соответствующих задач.

   Как проанализировать потребление ресурсов задачей Защита от файловых угроз

   1. Остановите все задачи проверки и мониторинга.
   2. Убедитесь, что задачи проверки по требованию (задачи типов ODS и ContainerScan) не будут запущены по расписанию во время исследования:
      1. Получите список всех задач приложения:

         kesl-control --get-task-list

      2. Получите параметры расписания всех задач типов ODS и ContainerScan:

         kesl-control --get-schedule <task ID |name>

         Если команда выводит RuleType=Manual, то задача запускается только вручную.

      3. Для всех задач, у которых значение параметра RuleType отличается от Manual, измените расписание запуска:

         kesl-control --set-schedule <task ID |name> RuleType=Manual

   3. Включите создание файлов трассировки приложения с высоким уровнем детализации:

      kesl-control --set-app-settings TraceLevel=Detailed

   4. Запустите задачу Защита от файловых угроз, если она не запущена:

      kesl-control --start-task 1

   5. Создайте нагрузку на систему в том же режиме, который вызвал проблемы с производительностью. Достаточно нескольких часов.
   6. Проанализируйте полученные файлы трассировки. По умолчанию файлы трассировки сохраняются в директории /var/log/kaspersky/kesl.

      Под нагрузкой приложение записывает много информации в файлы трассировки, при этом по умолчанию хранится 10 файлов по 500 МБ, поэтому старая информация будет перезаписываться.

      Если проблемы с производительностью и потреблением ресурсов продолжаются, значит требуется оптимизировать работу Защиты от файловых угроз.

      Если проблемы с производительностью и потреблением ресурсов перестали проявляться, значит, скорее всего, проблемы вызывают задачи проверки по требованию (задачи типов ODS и ContainerScan) или задача Анализ поведения. Требуется оптимизировать работу задач проверки или проанализировать работу задачи Анализ поведения.

   7. Выключите создание файлов трассировки приложения:

      kesl-control --set-app-settings TraceLevel=None

2. Проанализируйте потребление ресурсов задачей Анализ поведения (задача типа Behavior_Detection)

   В результате вы сможете установить, связаны ли проблемы производительности с задачей Анализ поведения или с задачами проверки (задачи типов ODS и ContainerScan), и выполнить рекомендации для соответствующих задач.

   Как проанализировать потребление ресурсов задачей Анализ поведения

   1. Остановите все задачи проверки и мониторинга.
   2. Убедитесь, что задачи проверки по требованию (задачи типов ODS и ContainerScan) не будут запущены по расписанию во время исследования:
      1. Получите список всех задач приложения:

         kesl-control --get-task-list

      2. Получите параметры расписания всех задач типов ODS и ContainerScan:

         kesl-control --get-schedule <task ID|name>

         Если команда выводит RuleType=Manual, то задача запускается только вручную.

      3. Для всех задач, у которых значение параметра RuleType отличается от Manual, измените расписание запуска:

         kesl-control --set-schedule <task ID|name> RuleType=Manual

   3. Включите создание файлов трассировки приложения с высоким уровнем детализации:

      kesl-control --set-app-settings TraceLevel=Detailed

   4. Запустите задачу Анализ поведения, если она не запущена:

      kesl-control --start-task 20

   5. Создайте нагрузку на систему в том же режиме, который вызвал проблемы с производительностью. Достаточно нескольких часов.
   6. Проанализируйте полученные файлы трассировки. По умолчанию файлы трассировки сохраняются в директории /var/log/kaspersky/kesl.

      Под нагрузкой приложение записывает много информации в файлы трассировки, при этом по умолчанию хранится 10 файлов по 500 МБ, поэтому старая информация будет перезаписываться.

      Если проблемы с производительностью и потреблением ресурсов продолжаются, значит требуется оптимизировать работу Анализа поведения.

      Если проблемы с производительностью и потреблением ресурсов перестали проявляться, значит, скорее всего, проблемы вызывают задачи проверки по требованию (задачи типов ODS и ContainerScan). Требуется оптимизировать работу этих задач.

   7. Выключите создание файлов трассировки приложения:

      kesl-control --set-app-settings TraceLevel=None

3. Определите наиболее часто проверяемые объекты

   Вы можете исключать из проверки неопасные часто проверяемые объекты и файлы для оптимизации работы Защиты от файловых угроз и задач проверки.

   Определите, являются ли опасными объекты и файлы, которые были проверены наибольшее количество раз. Например, неопасными можно признать файлы баз данных, директории и файлы журналов, если запись в них ведет доверенный процесс. В случае затруднения обратитесь в Службу технической поддержки.

   Как определить наиболее часто проверяемые объекты

   1. Получите список объектов, которые были проверены наибольшее количество раз:

      fgrep 'AVP ENTER' /var/log/kaspersky/kesl/kesl.* | awk '{print $8}' | sort | uniq -c | sort -k1 -n -r|less

      Результат загружается в приложение просмотра текста less, в самом начале отображаются те объекты, которые были проверены наибольшее количество раз.

      Если вам нужно агрегировать статистику по проверке объектов в директориях для определенной глубины вложенности директорий, начиная от корневой директории /, то вы можете добавить в команду cut -d/ -f 1-X, где X – заданная глубина вложенности. Например:

      fgrep 'AVP ENTER' /var/log/kaspersky/kesl/kesl.* | awk '{print $8}' | cut -d/ -f 1-4 | sort | uniq -c | sort -k1 -n -r|less

   2. Если в системе осуществляется частая запись файлов различными службами, такие файлы будут повторно проверяться в отложенной очереди. Получите список путей, которые были проверены в отложенной очереди наибольшее количество раз:

      fgrep 'SYSCALL' /var/log/kaspersky/kesl/kesl.* | fgrep 'KLIF_ACTION_CLOSE_MODIFY' | awk '{print $10}' | sort | uniq -c | sort -k1 -n -r

      Файлы, проверенные наибольшее количество раз, будут отображаться в начале списка.

      Если вам нужно агрегировать статистику по проверке объектов в директориях для определенной глубины вложенности директорий, начиная от корневой директории /, то вы можете добавить в команду cut -d/ -f 1-X, где X – заданная глубина вложенности. Например:

      fgrep 'SYSCALL' /var/log/kaspersky/kesl/kesl.* | fgrep 'KLIF_ACTION_CLOSE_MODIFY' | awk '{print $10}' | tr -d ',' | cut -d/ -f 1-3 | sort | uniq -c | sort -k1 -n -r

4. Определите процессы, запуск которых приложение Kaspersky Endpoint Security обнаруживает наиболее часто

   Вы можете исключать из проверки неопасные часто запускаемые процессы для оптимизации работы Анализа поведения.

   Как определить наиболее часто запускаемые процессы

   Выполните команду:

   kesl-control --get-statistic --processes

   Команда позволяет вывести список процессов, запуск которых приложение Kaspersky Endpoint Security обнаруживает наиболее часто, и количество этих запусков.

5. Определите пути, по которым происходит большое количество перехватов файловых операций

   Вы можете исключать директории из перехвата файловых операций для оптимизации работы Защиты от файловых угроз и задач проверки.

   Как получить информацию о перехватах файловых операций

   Вы можете получать информацию о перехватах файловых операций следующими способами:

   • Получить статистику по файлам, которые компонент Защита от файловых угроз проверяет наиболее часто:

     kesl-control --get-statistic --files

     Команда позволяет вывести статистические данные о файловых операциях, перехваченных за последние 24 часа.

   • Выполнить более точный анализ с помощью файлов трассировки приложения. Анализируя файлы трассировки, вы можете получить список файлов, перехваченных приложением, и определить пути, по которым происходит большое количество перехватов файловых операций.

     По умолчанию файлы трассировки не создаются.

     Включить создание файлов трассировки

     kesl-control --set-app-settings TraceLevel=Detailed

     Включение трассировки может оказать негативное влияние на общую производительность системы. Рекомендуется выключить создание файлов трассировки, когда необходимость записи трассировок пропадет.

     Выключить создание файлов трассировки

     kesl-control --set-app-settings TraceLevel=None

   • Получить список перехваченных файлов:

     grep 'FACACHE.*needs' /var/log/kaspersky/kesl/kesl.* | awk '{print $9}' | tr -d '}'|awk -F':' '{print $2}'|sort | uniq -c | sort -k1 -n -r

     Если вам нужно агрегировать статистику по перехвату файловых операций в директориях для определенной глубины вложенности директорий, начиная от корневой директории /, то вы можете добавить в команду cut -d/ -f 1-X, где X – заданная глубина вложенности. Например:

     grep 'FACACHE.*needs' /var/log/kaspersky/kesl/kesl.* | awk '{print $9}' | tr -d '}'|awk -F':' '{print $2}'| cut -d/ -f 1-3|sort | uniq -c | sort -k1 -n -r|less

Анализ работы приложения выполняется с помощью командной строки. Если устройство находится под управлением политики Kaspersky Security Center, на время проведения исследования разрешите управление локальными задачами.