Рекомендации для Защиты от файловых угроз и задач проверки

Исключения из проверки позволяют поддерживать баланс между защищенностью и производительностью системы.

Рекомендуется исключить из проверки:

• Файлы данных и индексные файлы баз данных. По мнению вирусных экспертов "Лаборатории Касперского" опасность проникновения вирусов через такие файлы отсутствует.
• Неопасные объекты из списка наиболее часто проверяемых объектов.

Исключения можно настраивать по пути (в том числе можно задать тип монтирования), маске файла, типу угрозы и пути к процессу, совершающему файловые операции.

Приложение не проверяет объекты, исключенные из проверки, но минимальные задержки в файловых операциях присутствуют, так как приложение все равно выполняет перехват и блокировку файловых операций. Если даже минимальные задержки в работе системы критичны, рекомендуется настроить исключения из перехвата файловых операций.

Где настроить исключения:

• Для Защиты от файловых угроз – в политике с помощью Web Console или Консоли администрирования или локально на устройстве с помощью командной строки.
• Для задач проверки с типами ODS и ContainerScan – в параметрах задач в Kaspersky Security Center или локально на устройстве с помощью командной строки.

  Исключения для одной задачи проверки не распространяются на другие задачи проверки. Для каждой задачи проверки требуется настроить свои исключения.

Примеры настройки исключений для Защиты от файловых угроз с помощью командной строки

Исключить директорию /tmp/logs и все поддиректории и файлы рекурсивно

kesl-control --set-settings 1 --add-exclusion /tmp/logs

Исключить конкретный файл или файлы по маске в директории /tmp/logs

kesl-control --set-settings 1 --add-exclusion /tmp/logs/*.log

Исключить по рекурсивной маске все файлы с расширением .log в директории /tmp/ и поддиректориях

kesl-control --set-settings 1 --add-exclusion /tmp/**/*.log

Файлы, исключенные из проверки, все равно могут перехватываться приложением во время работы Защиты от файловых угроз и задач проверки. Приложение перехватывает события файловых операций и блокирует действия до окончания обработки событий. После проверки приложение может:

• снять блокировку и разрешить операцию;
• заблокировать операцию и выполнить действия, заданные в параметрах защиты или проверки.

Перехват событий требует времени на обработку, это влияет на производительность других приложений и операционной системы.

Если ваша ОС поддерживает технологию fanotify и соответствует требованиям, настройте использование обновляемого модуля ядра в работе приложения. Обновляемый модуль ядра входит в комплект поставки приложения. Использование обновляемого модуля ядра позволяет оптимизировать перехват системных событий.

Чтобы исключить файлы определенной директории не только из проверки, но и из перехвата, настройте исключение точек монтирования (глобальные исключения). Исключение точек монтирования позволяет исключать из перехвата файловых операций локальные или удаленные директории, смонтированные на устройстве.

Вы можете посмотреть список обнаруженных на устройстве точек монтирования с помощью Web Console, Консоли администрирования или командной строки. В списке отображается информация о том, добавлена ли точка монтирования в исключения из проверки.

Специалисты "Лаборатории Касперского" рекомендуют использовать глобальные исключения, если:

• соединение со смонтированным удаленным ресурсом, например NFS или SMB, работает медленно;
• критичны даже минимальные задержки в работе системы.

Вы можете указать тип точки монтирования (Local, AllRemoteMounted, Mounted:NFS, Mounted:SMB или Mounted:Custom) или конкретные точки монтирования. Приложение не отслеживает исключенные области.

Для защиты общих сетевых ресурсов используйте приложение Kaspersky Endpoint Security на том устройстве, где ресурсы хранятся физически.

Если для перехвата системных событий вы используете обновляемый модуль ядра, из перехвата можно исключать конкретные локальные или удаленные директории, смонтированные на устройстве, а не только точки монтирования целиком.

Если для перехвата системных событий вы используете механизм на основе технологии fanotify, для путей, которые не являются точками монтирования, глобальные исключения не действуют.

Вы можете настраивать глобальные исключения в политике с помощью Web Console или Консоли администрирования или локально на устройстве с помощью командной строки.

Пример настройки глобального исключения для директории /tmp с помощью командной строки

Чтобы исключить из перехвата все файлы в директории /tmp:

1. Если для перехвата системных событий вы используете механизм на основе технологии fanotify, проверьте, является ли директория /tmp точкой монтирования:

   mount

   Если директории нет в выводе команды mount:

   1. Создайте точку монтирования:

      mount --bind /tmp/ /tmp

   2. Добавьте следующую строку в файл /etc/fstab, чтобы созданная точка монтирования осталась в системе после перезагрузки:

      /tmp /tmp none defaults,bind 0 0

   Если для перехвата системных событий вы используете обновляемый модуль ядра, пропустите этот шаг.

2. Добавьте директорию /tmp в глобальные исключения:

   kesl-control --set-app-settings ExcludedMountPoint.item_0000=/tmp

3. Перезапустите приложение, чтобы применить глобальные исключения:

   systemctl restart kesl

Вы можете ограничивать количество оперативной памяти, которое приложение Kaspersky Endpoint Security использует при проверке файлов компонентом Защита от файловых угроз и при выполнении задач проверки с типами ODS и ContainerScan.

Ограничение на использование памяти может быть полезным для систем с большим объемом оперативной памяти (более 5 ГБ).

По умолчанию ограничение на использование памяти приложением – 8192 МБ. Вы можете регулировать размер оперативной памяти, используемой приложением:

• В политике с помощью параметра Ограничение на использование памяти для задач проверки (МБ).
• Локально на устройстве с помощью параметра ScanMemoryLimit в конфигурационном файле kesl.ini.

Если указанное значение параметра меньше 2 МБ, приложение будет использовать минимальное значение (2 МБ). Если указанное значение параметра превышает размер оперативной памяти устройства, приложение будет использовать до 25% оперативной памяти. Это значение изменить невозможно.

Параметр ограничивает только количество памяти, которое используется при проверке файлов, то есть общий размер памяти, потребляемый приложением, может быть больше значения, заданного этим параметром.

Измените режим проверки файлов так, чтобы проверка выполнялась только при открытии файла. По умолчанию приложение проверяет файл при попытке открытия и повторно при попытке закрытия, если файл был изменен.

Вы можете изменить режим проверки файлов в параметрах Защиты от файловых угроз:

• В политике с помощью Web Console или Консоли администрирования: установите для параметра Режим Защиты от файловых угроз значение При открытии.
• Локально на устройстве:

  kesl-control --set-set 1 ScanByAccessType=Open

Изменения, внесенные в файл после открытия, не будут проверяться до следующего обращения к файлу.

Убедитесь, что проверка архивов выключена (значение по умолчанию). Проверка архивов снижает производительность из-за того, что доступ к файлу с архивом блокируется до того, как файл будет распакован во временную директорию /tmp и проверен. Под архивами имеются в виду как традиционные архивы, так и упакованные объекты, например типа .jar.

Вы можете включать и выключать проверку архивов с помощью Web Console или Консоли администрирования (параметр Проверять архивы) или локально на устройстве с помощью командной строки (параметр ScanArchived).

Настройте исключение из проверки файлов, копируемых из сетевых директорий. Файлы будут проверяться только после завершения копирования в локальную директорию.

Для исключения из проверки файлов в сетевых директориях вам нужно настроить исключение по процессам для утилиты, предназначенной для копирования из сетевых директорий (например, для утилиты cp).

Если вы управляете приложением с помощью Kaspersky Security Center, вы можете настроить исключение по процессам в Web Console или в Консоли администрирования. Если вы управляете приложением с помощью командной строки, вы можете настроить исключение по процессам, добавив в параметры задачи типа OAS секцию [ExcludedForProgram.item_#].

Настройте расписание запуска задач проверки так, чтобы задачи запускались в разное время. Приложение позволяет запускать задачи проверки одновременно, но потребление ресурсов может сильно увеличиться. Проверьте расписание всех задач типов ODS и ContainerScan локально на устройстве или через Kaspersky Security Center.

Запускайте проверку во время наименьшей нагрузки на сервер.

Убедитесь, что в область действия задач проверки не включены удаленные директории, смонтированные на устройстве по протоколам SMB и NFS.

Рекомендуется проверять эти директории непосредственно на устройстве, предоставляющем ресурс. Если такой возможности нет, не выполняйте проверку на серверах c критическими сервисами, так как такая задача может выполняться достаточно долго (в зависимости от скорости соединения и количества файлов).

Убедитесь, что в параметрах задачи Поиск вредоносного ПО включены параметры:

• Использовать глобальные исключения (UseGlobalExclusions) – исключать из проверки точки монтирования, указанные в глобальных исключениях.
• Использовать исключения Защиты от файловых угроз (UseOASExclusions) – использовать настроенные исключения Защиты от файловых угроз во время проверки.

По умолчанию оба параметра включены.