Настройка перехвата системных событий

Вы можете выбирать используемый механизм перехвата системных событий в Web Console, в командной строке, а также в Консоли администрирования.

Изменить параметры перехвата системных событий возможно только на устройствах, где операционная система поддерживает технологию fanotify.

Настройка перехвата системных событий недоступна для устройств с процессором Эльбрус.

Как настроить механизм перехвата системных событий в Web Console

Как настроить механизм перехвата системных событий в командной строке

1. Для выбора механизма перехвата системных событий выполните команду:

   kesl-control --set-app-settings InterceptorMode=<UseFanotify|UseUpdatableKernelModule>

2. Для выбора действия, которое приложение выполняет в случае ошибки запуска обновляемого модуля ядра, выполните команду:

   kesl-control --set-app-settings InterceptorFallbackStrategy=<FallbackToFanotify|FallbackToLimitedMode>

3. Для настройки перезапуска приложения при выборе обновляемого модуля ядра выполните команду:

   kesl-control --set-app-settings InterceptorApplyStrategy=<RestartServiceAutomatically|RestartServiceManually>

4. Для проверки текущих настроек приложения выполните команду:

   kesl-control --get-app-settings [--json]

Условные обозначения

Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
<Текст>	Значение, которое необходимо ввести.
[Текст]	Необязательный параметр.
Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

Параметры команды

Параметр	Описание
InterceptorMode	UseFanotify (значение по умолчанию) – использовать технологию fanotify для перехвата системных событий. UseUpdatableKernelModule – использовать обновляемый модуль ядра для перехвата системных событий.
InterceptorFallbackStrategy	FallbackToFanotify (значение по умолчанию) – перейти к использованию технологии fanotify для перехвата системных событий. FallbackToLimitedMode – не использовать перехват системных событий. Если приложение не использует перехват системных событий, проверка файлов в режиме реального времени не выполняется, уровень защиты устройства снижается.
InterceptorApplyStrategy	RestartServiceAutomatically – автоматически перезапускать приложение для запуска обновляемого модуля ядра. Рекомендуется использовать этот параметр. RestartServiceManually (значение по умолчанию) – запускать обновляемый модуль ядра после перезапуска приложения, выполненного пользователем вручную.

Приложение может использовать механизм перехвата на основе обновляемого модуля ядра, если операционная система соответствует требованиям для установки обновляемого модуля ядра.

Если вы выбрали механизм перехвата на основе обновляемого модуля ядра, вы можете настроить поведение приложения в случае, если при запуске обновляемого модуля ядра происходит ошибка, и модуль не запускается. В этом случае приложение может перейти к использованию технологии fanotify для перехвата системных событий или выключить перехват системных событий.

Если в ходе установки приложения не удалось установить обновляемый модуль ядра, вы можете установить его позже, когда появилась поддержка вашей операционной системы. Для этого:

1. Выполните обновление баз и модулей приложения. Обновляемый модуль ядра устанавливается в результате получения обновлений.
2. Выберите механизм перехвата на основе обновляемого модуля ядра.

Приложение может перейти к использованию обновляемого модуля ядра в следующих ситуациях:

• Если вы изменили механизм перехвата системных событий в параметрах приложения на обновляемый модуль ядра.
• Если на устройстве, где обновляемый модуль ядра не запускался, в ходе обновления баз и модулей получены обновления, обеспечивающие поддержку обновляемого модуля ядра.

Информация о состоянии обновляемого модуля ядра

Информация о состоянии и доступности обновляемого модуля ядра отображается в виде статусов:

• Запущен – модуль установлен и работает.
• Остановлен – модуль установлен, но не работает.
• Недоступен – модуль не поддерживается на устройстве.
• Ошибка в работе – произошла ошибка при запуске модуля, модуль не работает.

Вы можете просматривать статус обновляемого модуля ядра на устройстве в Web Console и в командной строке.

Как просматривать статус обновляемого модуля ядра в Web Console

Как просматривать статус обновляемого модуля ядра в командной строке

"Безопасный" режим при использовании обновляемого модуля ядра

Если при использовании обновляемого модуля ядра приложение работает нестабильно, после достижения заданного максимального количества нештатных остановок приложения автоматически включается "безопасный" режим работы (в конфигурационном файле kesl.ini устанавливается значение параметра SafeMode=yes). По умолчанию приложение переходит в "безопасный" режим работы после трех нештатных остановок. Максимальное количество нештатных остановок приложения задается параметром PanicThreshold в конфигурационном файле kesl.ini.

Если приложение работает в "безопасном" режиме, обновляемый модуль ядра не запускается, приложение переходит к использованию технологии fanotify для перехвата системных событий. Приложение передает в Kaspersky Security Center тег UpdatableKernelModule=Error.

Чтобы продолжить использование обновляемого модуля ядра после устранения проблем в работе приложения, вам нужно выключить "безопасный" режим работы.

Как выключить "безопасный" режим работы приложения в командной строке