Особенности проверки символических и жестких ссылок

Kaspersky Endpoint Security позволяет проверять символические и жесткие ссылки на файлы.

Символическая ссылка (англ. Soft link) – это файл, который указывает путь к другому файлу или директории. Символическая ссылка и файл, на который она указывает, могут находиться в разных файловых системах. Также такая ссылка может указывать на несуществующий файл. При удалении целевого файла ссылка не удаляется, но перестает работать.

Жесткая ссылка (англ. Hard link) – это альтернативное имя файла. Жесткая ссылка ссылается на индексный дескриптор (inode) файла, в котором содержится метаинформация о файле. Пока на файл есть хотя бы хотя бы одна жесткая ссылка, он продолжает существовать в файловой системе.

Проверка символических ссылок

Приложение проверяет символические ссылки только если файл, на который указывает символическая ссылка, входит в область защиты Защиты от файловых угроз.

Если файл находится вне области защиты, приложение не проверяет содержимое файла по символической ссылке. Если такой файл содержит вредоносный код, безопасность устройства окажется под угрозой.

Проверка жестких ссылок

При обнаружении вредоносного кода в файле, у которого больше одной жесткой ссылки, приложение лечит исходный файл. Если лечение невозможно, приложение удаляет обработанную жесткую ссылку и создает копию исходного файла с именем удаленной ссылки в резервном хранилище. Приложение удаляет только обрабатываемую жесткую ссылку, остальные жесткие ссылки остаются нетронутыми.

Когда вы восстанавливаете жесткую ссылку из резервного хранилища, приложение создает копию исходного файла с именем жесткой ссылки в исходном месте расположения. Связи с другими жесткими ссылками на исходный файл не восстановятся.

Резолвинг символических ссылок в исключениях по процессам

Если путь в параметре ProgramPath раздела ExcludedForProgram – символическая ссылка на бинарный исполняемый файл, то приложение применяет исключение к пути целевого файла. Правило действует для всех ссылок на этот файл, а не только для той, что указана явно. В этом параметре используется путь к образу программы, поэтому для ссылок на скрипты (например, .sh) резолвинг не выполняется.

Целевой файл определяется при запуске задачи и применении настроек. Если ссылка ведет на несуществующий файл, в исключения попадает путь к самой ссылке. При замене ссылки обычным исполняемым файлом с тем же именем исключение будет применяться к этому файлу.

Пример исключения по символической ссылке

[ExcludedForProgram.item_0000]

ProgramPath=/usr/bin/md5sum

UseExcludedForProgram=Yes

Path=/root/s1

Ссылка /usr/bin/md5sum на момент запуска задачи ведет на /bin/coreutils, поэтому в исключения попадет /bin/coreutils. Если позже перенаправить ссылку на /bin/false, до перезапуска задачи исключение останется на /bin/coreutils, а к /bin/false исключение применяться не будет. После перезапуска исключение перейдет с /bin/coreutils на /bin/false.