Поиск вредоносного ПО

Проверка на наличие вредоносного ПО является важным фактором для обеспечения безопасности компьютера. Требуется регулярно выполнять поиск вредоносного ПО, чтобы исключить возможность распространения вредоносных приложений, которые не были обнаружены компонентами защиты, например, из-за установленного низкого уровня защиты или по другим причинам.

В Kaspersky Endpoint Security предустановлена стандартная задача Поиск вредоносного ПО. Вы можете использовать эту задачу для выполнения полной проверки устройства. При полной проверке приложение проверяет все объекты, расположенные на локальных дисках устройства, а также все смонтированные и общие объекты, доступ к которым предоставляется по протоколам Samba и NFS, с рекомендуемыми параметрами безопасности.

Мастер первоначальной настройки Сервера администрирования автоматически создает задачу Поиск вредоносного ПО. Для создания задачи Поиск вредоносного ПО во время работы мастера установите плагин управления Kaspersky Endpoint Security для Linux. При необходимости вы можете создавать пользовательские задачи Поиск вредоносного ПО.

Настройка задачи Поиск вредоносного ПО

1. Настройте расписание запуска задачи

   Во время выполнения проверки Kaspersky Endpoint Security может потреблять больше ресурсов компьютера, чем обычно. Рекомендуется настроить расписание выполнения задач проверки в то время, когда компьютер наименее нагружен.

2. Оптимизируйте нагрузку на систему во время выполнения проверки

   Вы можете ограничить потребление ресурсов процессора при выполнении задачи Поиск вредоносного ПО. При этом время проверки компьютера может увеличиться.

   При работе ноутбука от аккумулятора приложение Kaspersky Endpoint Security позволяет отменить запуск задач, запланированных по расписанию.

3. Настройте параметры задачи Поиск вредоносного ПО

   По умолчанию задача Поиск вредоносного ПО использует параметры, рекомендованные специалистами "Лаборатории Касперского". Параметры по умолчанию обеспечивают рекомендуемый уровень защиты и оптимальное потребление ресурсов компьютера. Если у вас есть особые требования к безопасности инфраструктуры, вы можете изменить эти параметры.

   По умолчанию приложение проверяет архивы. Для этого приложение распаковывает архивы в директорию /tmp. Убедитесь, что на компьютере достаточно свободного места для распаковки архивов.

4. Настройте область проверки

   По умолчанию приложение проверяет все файлы на защищаемом устройстве. Если вам нужно проверять только отдельную директорию (например, директорию, в которую автоматически загружаются файлы из внешнего источника), вы можете указать только эту директорию в качестве области проверки. В остальных случаях рекомендуем оставить область проверки по умолчанию и оптимизировать ее с помощью исключений.

   Для проверки серверов рекомендуется разделить область проверки на несколько подобластей и создать для каждой из них отдельную задачу Поиск вредоносного ПО. Чтобы распределить нагрузку, задайте в расписании разное время запуска для каждой задачи.

5. Добавьте исключения из проверки

   Сформируйте область исключений:

   • Исключения из проверки. Исключения позволяют поддерживать баланс между защищенностью и производительностью системы. Для стабильной работы стороннего ПО добавьте в исключения файлы и директории, которые указаны в документации к соответствующему программному обеспечению.

     Если вы уже сформировали область исключений для компонента Защита от файловых угроз, вы можете включить применение этих исключений и для задачи Поиск вредоносного ПО.

   • Глобальные исключения. Исключение точек монтирования (глобальные исключения) позволяет не перехватывать файловые операции в определенных директориях. Исключите из области проверки общие сетевые ресурсы. Для защиты общих сетевых ресурсов используйте приложение Kaspersky Endpoint Security на том устройстве, где эти ресурсы хранятся физически.
6. Запустите задачу Поиск вредоносного ПО

   Как запустить задачу Поиск вредоносного ПО в Web Console

   1. В главном окне Web Console выберите Задачи.

      Откроется список задач.

   2. Нажмите на задачу Kaspersky Endpoint Security Поиск вредоносного ПО.

      Откроется окно свойств задачи.

      Задача Поиск вредоносного ПО создается автоматически мастером первоначальной настройки Сервера администрирования. Для создания задачи Поиск вредоносного ПО во время работы мастера установите плагин управления Kaspersky Endpoint Security для Linux.

      При необходимости вы можете создавать пользовательские задачи Поиск вредоносного ПО.

   3. На вкладке Параметры настройте параметры задачи.
   4. На вкладке Параметры приложения настройте параметры задачи (см. таблицу ниже).
   5. На вкладке Расписание настройте режим запуска задачи.

      По умолчанию Kaspersky Endpoint Security настроен на ручной режим запуска задачи.

   6. Сохраните внесенные изменения.
   7. Запустите задачу.

      Параметры задачи Поиск вредоносного ПО

      Параметр	Описание
      Область проверки	Таблица, содержащая области, проверяемые задачей. По умолчанию активна только одна область проверки, включающая все директории локальной файловой системы. Вы можете добавлять области проверки вручную.
      Действие при обнаружении угрозы	Лечить. Удалять, если лечение невозможно (значение по умолчанию). При выборе этого действия приложение пытается вылечить зараженный объект, сохранив копию объекта в резервном хранилище. Если лечение невозможно (например, тип объекта или тип угрозы в объекте не предполагает лечения), приложение удаляет зараженный объект. Лечить. Информировать, если лечение невозможно. При выборе этого действия приложение пытается вылечить зараженный объект, сохранив копию объекта в резервном хранилище. Если лечение невозможно (например, тип объекта или тип угрозы в объекте не предполагает лечения), то приложение сохраняет в журнал информацию об этом. Информировать. При выборе этого действия приложение сохраняет в журнале информацию о зараженном объекте.
      Проверять архивы	Если функция включена, приложение проверяет архивы. Приложение проверяет такие архивы, как: .zip; .7z*; .7-z; .rar; .iso; .cab; .jar; .bz; .bz2; .tbz; .tbz2; .gz; .tgz; .arj. Список поддерживаемых форматов архивов зависит от используемых баз приложения. Для проверки архива приложению требуется сначала распаковать его, что может замедлить проверку. Вы можете уменьшить продолжительность проверки архивов, настроив параметры Пропускать файл, если его проверка длится более (сек.) и Не проверять файлы размером более (МБ). По умолчанию функция включена.
      Проверять дистрибутивы и самораспаковывающиеся архивы	Если функция включена, приложение проверяет самораспаковывающиеся архивы. Самораспаковывающиеся архивы – это архивы, которые имеют в своем составе исполняемый модуль-распаковщик. По умолчанию функция включена.
      Проверять файлы почтовых форматов	Если функция включена, приложение проверяет сообщения электронной почты в текстовом формате. По умолчанию функция выключена.
      Проверять почтовые базы	Если функция включена, приложение проверяет почтовые базы приложений Microsoft Outlook, Outlook Express, The Bat! и других почтовых клиентов. По умолчанию функция выключена.
      Не проверять файлы размером более (МБ)	Вы можете указать максимальный размер проверяемого файла в мегабайтах. Доступные значения: 1–999999. По умолчанию ограничение выключено.
      Пропускать файл, если его проверка длится более (сек.)	Вы можете указать максимальное время проверки файла в секундах. После истечения указанного времени приложение прекращает проверку файла. Доступные значения: 1–9999. По умолчанию ограничение выключено.
      Не запускать несколько задач проверки одновременно	Отложенный запуск задач проверки, если проверка уже выполняется. Kaspersky Endpoint Security ставит новые задачи проверки в очередь, если текущая проверка еще продолжается. Это позволяет оптимизировать нагрузку на компьютер. Например, приложение запустило задачу полной проверки по расписанию. Если пользователь пытается запустить быструю проверку в интерфейсе приложения, Kaspersky Endpoint Security поставит задачу быстрой проверки в очередь и автоматически запустит ее после завершения полной проверки. По умолчанию функция выключена.
      Использовать технологию iChecker	Если функция включена, приложение проверяет только новые и измененные с момента последней проверки файлы. Если функция выключена, приложение проверяет файлы, не учитывая даты создания и изменения. По умолчанию функция включена.

   Как запустить задачу Поиск вредоносного ПО в командной строке

   1. В приложении по умолчанию есть задача Поиск вредоносного ПО (Scan_My_Computer). Если вы хотите создать новую задачу Поиск вредоносного ПО, выполните команду:

      kesl-control --create-task <task name> --type ODS

      где <task name> – имя, которое вы задаете для новой задачи.

      В результате выполнения команды приложение отобразит ID созданной задачи.

   2. При необходимости измените параметры задачи (см. таблицу ниже) с помощью команды:

      kesl-control --set-settings <task ID|name> <setting name>=<setting value> [<setting name>=<setting value>]

      Пример изменения параметров задачи

      kesl-control --set-settings 101 ScanFiles=No

      Также вы можете настроить параметры задачи с помощью конфигурационного файла.

   3. При необходимости настройте расписание запуска задачи. По умолчанию запуск задачи выполняется вручную.
   4. Для проверки текущих значений параметров задачи выполните следующую команду:

      kesl-control --get-settings <task ID|name>

   5. Для запуска задачи Поиск вредоносного ПО выполните следующую команду:

      kesl-control --start-task <task ID|name> [-W] [--progress]

      Пример команды

      kesl-control --start-task 2 -W

   6. Для остановки задачи Поиск вредоносного ПО выполните следующую команду:

      kesl-control --stop-task <task ID|name> [-W]

   Условные обозначения

   

   Текст без квадратных и фигурных скобок	Элементы, которые необходимо ввести, как показано в команде.
   <Текст>	Значение, которое необходимо ввести.
   [Текст]	Необязательный параметр.
   Вертикальная полоса |	Взаимоисключающие элементы. Вам нужно выбрать одно значение.
   Многоточие …	Элементы, которые могут повторяться и использоваться несколько раз.
   Символ решетки #	Номер секции добавляемой области. Например, 0000, 0001 и так далее.

   Параметры задачи Поиск вредоносного ПО

   Параметр	Описание	Значения
   ScanFiles	Включение проверки файлов.	Yes (значение по умолчанию) – проверять файлы. No – не проверять файлы.
   ScanBootSectors	Включение проверки загрузочных секторов.	Yes (значение по умолчанию) – проверять загрузочные секторы. No – не проверять загрузочные секторы.
   ScanComputerMemory	Включение проверки памяти процессов и памяти ядра.	Yes (значение по умолчанию) – проверять память процессов и память ядра. No – не проверять память процессов и память ядра.
   ScanStartupObjects	Включение проверки объектов автозапуска.	Yes (значение по умолчанию) – проверять объекты автозапуска. No – не проверять объекты автозапуска.
   ScanArchived	Включение проверки архивов (включая самораспаковывающиеся архивы SFX). Приложение проверяет такие архивы, как: .zip; .7z*; .7-z; .rar; .iso; .cab; .jar; .bz; .bz2; .tbz; .tbz2; .gz; .tgz; .arj. Список поддерживаемых форматов архивов зависит от используемых баз приложения.	Yes (значение по умолчанию) – проверять архивы. Если для параметра ActionOnThreat указано значение DisinfectDeleteIfNotPossible и лечение невозможно, то в зависимости от типа архива приложение удаляет либо зараженный объект, либо целиком весь архив, содержащий угрозу. No – не проверять архивы.
   ScanSfxArchived	Включение проверки только самораспаковывающихся архивов (архивов, имеющих в своем составе исполняемый модуль-распаковщик, self-extracting archives).	Yes (значение по умолчанию) – проверять самораспаковывающиеся архивы. No – не проверять самораспаковывающиеся архивы.
   ScanMailBases	Включение проверки почтовых баз приложений Microsoft Outlook, Outlook Express, The Bat и других.	Yes – проверять файлы почтовых баз. No (значение по умолчанию) – не проверять файлы почтовых баз.
   ScanPlainMail	Включение проверки сообщений электронной почты в текстовом формате (plain text).	Yes – проверять сообщения электронной почты в текстовом формате. No (значение по умолчанию) – не проверять сообщения электронной почты в текстовом формате.
   SizeLimit	Максимальный размер проверяемого объекта (в мегабайтах). Если размер проверяемого объекта превышает указанное значение, приложение пропускает объект при проверке.	0 – 999999 0 – приложение проверяет объекты любого размера. Значение по умолчанию: 0.
   TimeLimit	Максимальная продолжительность проверки объекта (в секундах). Приложение прекращает проверку объекта, если она выполняется дольше, чем указано значением этого параметра.	0 – 9999 0 – продолжительность проверки объектов не ограничена. Значение по умолчанию: 0.
   QueueScanTasks	Отложенный запуск задач проверки, запланированных по расписанию, если запущенная ранее проверка по расписанию еще выполняется. Kaspersky Endpoint Security ставит запланированные задачи проверки в очередь, если текущая проверка еще продолжается. Это позволяет оптимизировать нагрузку на компьютер. Например, запланировано запускать задачу проверки в 18:00 и в 20:00. Задача проверки, которая должна запуститься в 20:00, будет отложена, если задача проверки, запущенная в 18:00, еще выполняется. Задача запустится после завершения задачи, запущенной в 18:00.	Yes – ставить в очередь задачи проверки, запланированные по расписанию, если текущая проверка еще выполняется. No (значение по умолчанию) – запускать запланированные задачи проверки по расписанию, даже если текущая проверка еще не завершена.
   ActionOnThreat	Выбор действия, которое приложение будет выполнять над зараженными объектами.	DisinfectDeleteIfNotPossible (лечить; удалять, если лечение невозможно) – приложение пытается вылечить зараженный объект, сохранив копию объекта в резервном хранилище. Если лечение невозможно (например, тип объекта или тип угрозы в объекте не предполагает лечения), приложение удаляет зараженный объект. DisinfectInformIfNotPossible (лечить; информировать, если лечение невозможно) – приложение пытается вылечить зараженный объект, сохранив копию объекта в резервном хранилище. Если лечение невозможно (например, тип объекта или тип угрозы в объекте не предполагает лечения), приложение сохраняет в журнале информацию об этом. Inform (информировать) – приложение не пытается вылечить или удалить зараженный объект. Информация о зараженном объекте сохраняется в журнале. Значение по умолчанию: DisinfectDeleteIfNotPossible.
   UseExcludeMasks	Включение исключения из проверки объектов, указанных параметром ExcludeMasks.item_#.	Yes – исключать из проверки объекты, указанные параметром ExcludeMasks.item_#. No (значение по умолчанию) – не исключать из проверки объекты, указанные параметром ExcludeMasks.item_#.
   ExcludeMasks.item_#	Исключение из проверки объектов по именам или маскам. C помощью этого параметра вы можете исключать из указанной области проверки отдельный файл по имени или несколько файлов, используя маски в формате shell. Перед тем как указать значение этого параметра, убедитесь, что включен параметр UseExcludeMasks.	Значение по умолчанию не задано. Пример UseExcludeMasks=Yes ExcludeMasks.item_0000=eicar1.* ExcludeMasks.item_0001=eicar2.*
   UseExcludeThreats	Включение исключения из проверки объектов с угрозами, указанными параметром ExcludeThreats.item_#.	Yes – исключать из проверки объекты, которые содержат угрозы, указанные параметром ExcludeThreats.item_#. No (значение по умолчанию) – не исключать из проверки объекты, которые содержат угрозы, указанные параметром ExcludeThreats.item_#.
   ExcludeThreats.item_#	Исключение из проверки объектов по названиям обнаруженных в объектах угроз. Перед тем как указать значения этого параметра, убедитесь, что включен параметр UseExcludeThreats. Чтобы исключить объект из проверки, укажите полное название угрозы, обнаруженной в этом объекте: строку-заключение приложения о том, что объект является зараженным. Например, вы используете одну из утилит для получения информации о сети. Чтобы приложение не блокировало ее, добавьте полное название угрозы в ней в список угроз, исключаемых из проверки. Вы можете найти полное название угрозы, обнаруженной в объекте, в журнале приложения или на веб-сайте https://threats.kaspersky.com.	Значение параметра чувствительно к регистру. Значение по умолчанию не задано. Пример UseExcludeThreats=Yes ExcludeThreats.item_0000=EICAR-Test-* ExcludeThreats.item_0001=?rojan.Linux
   UseGlobalExclusions	Включение использования глобальных исключений при проверке.	Yes (значение по умолчанию) – использовать глобальные исключения. No – не использовать глобальные исключения.
   UseOASExclusions	Включение использования исключений Защиты от файловых угроз при проверке.	Yes (значение по умолчанию) – использовать исключения Защиты от файловых угроз. No – не использовать исключения Защиты от файловых угроз.
   ReportCleanObjects	Включение записи в журнал информации о проверенных объектах, которые приложение признало незараженными. Вы можете включить этот параметр, например, чтобы убедиться в том, что какой-либо объект был проверен приложением.	Yes – записывать в журнал информацию о незараженных объектах. No (значение по умолчанию) – не записывать в журнал информацию о незараженных объектах.
   ReportPackedObjects	Включение записи в журнал информации о проверенных объектах, которые являются частью составных объектов. Вы можете включить этот параметр, например, чтобы убедиться в том, что какой-либо объект в составе архива был проверен приложением.	Yes – записывать в журнал информацию о проверке объектов в составе архивов. No (значение по умолчанию) – не записывать в журнал информацию о проверке объектов в составе архивов.
   ReportUnprocessedObjects	Включение записи в журнал информации об объектах, которые по какой-то причине не были обработаны.	Yes – записывать в журнал информацию о необработанных объектах. No (значение по умолчанию) – не записывать в журнал информацию о необработанных объектах.
   UseAnalyzer	Включение эвристического анализатора. Эвристический анализ позволяет приложению распознавать угрозы еще до того, как они станут известны вирусным аналитикам.	Yes (значение по умолчанию) – включить эвристический анализатор. No – выключить эвристический анализатор.
   HeuristicLevel	Уровень эвристического анализа. Вы можете задать уровень эвристического анализа. Уровень эвристического анализа обеспечивает баланс между тщательностью поиска угроз, степенью загрузки ресурсов операционной системы и длительностью проверки. Чем выше установленный уровень эвристического анализа, тем больше ресурсов потребует проверка и больше времени займет.	Light – наименее тщательная проверка, минимальная загрузка системы. Medium – средний уровень эвристического анализа, сбалансированная загрузка системы. Deep – наиболее тщательная проверка, максимальная загрузка системы. Recommended (значение по умолчанию) – рекомендуемое значение.
   UseIChecker	Включение использования технологии iChecker.	Yes (значение по умолчанию) – включить использование технологии iChecker. No – выключить использование технологии iChecker.
   DeviceNameMasks.item_#	Список имен устройств, загрузочные секторы которых будет проверять приложение. Значение этого параметра не должно быть пустым. Для выполнения задачи требуется указать хотя бы одну маску имени устройства.	AllObjects – проверять загрузочные секторы всех устройств. <device name mask> – проверять загрузочные секторы устройств, имена которых содержат указанную маску. Значение по умолчанию: /** – любой набор символов в имени устройства, включая символ /.
   Секция [ScanScope.item_#] содержит следующие параметры:
   AreaDesc	Описание области проверки, содержит дополнительную информацию об области проверки. Максимальная длина строки, задаваемой этим параметром: 4096 символов.	Значение по умолчанию: All objects. Пример AreaDesc="Mail bases scan"
   UseScanArea	Включение проверки указанной области. Для выполнения задачи требуется включить проверку хотя бы одной области.	Yes (значение по умолчанию) – проверять указанную область. No – не проверять указанную область.
   AreaMask.item_#	Ограничение области проверки. В области проверки приложение проверяет только файлы, указанные с помощью масок в формате shell. Если параметр не указан, приложение проверяет все объекты в области проверки. Вы можете указать несколько значений этого параметра.	Значение по умолчанию: * (проверять все объекты). Пример AreaMask.item_0000=*doc
   Path	Путь к директории с проверяемыми объектами.	<path to local directory> – проверять объекты в указанной директории. По умолчанию указан путь / – приложение проверяет все директории локальной файловой системы. Shared:NFS – проверять ресурсы файловой системы устройства, доступ к которым предоставляется по протоколу NFS. Shared:SMB – проверять ресурсы файловой системы устройства, доступ к которым предоставляется по протоколу Samba. Mounted:NFS – проверять удаленные директории, смонтированные на устройстве по протоколу NFS. Mounted:SMB – проверять удаленные директории, смонтированные на устройстве по протоколу Samba. AllRemoteMounted – проверять все удаленные директории, смонтированные на устройстве с помощью протоколов Samba и NFS. AllShared – проверять все ресурсы файловой системы устройства, доступ к которым предоставляется по протоколам Samba и NFS. <file system type> – проверять все ресурсы указанной файловой системы устройства.
   Секция [ExcludedFromScanScope.item_#] содержит следующие параметры.
   AreaDesc	Описание области исключения из проверки, содержит дополнительную информацию об области исключения.	Значение по умолчанию не задано.
   UseScanArea	Исключение указанной области из проверки.	Yes (значение по умолчанию) – исключать указанную область. No – не исключать указанную область.
   AreaMask.item_#	Ограничение области исключения из проверки. В области исключения приложение исключает только файлы, указанные с помощью масок в формате shell. Если параметр не указан, приложение исключает все объекты в области исключения. Вы можете указать несколько значений этого параметра.	Значение по умолчанию: * (исключать все объекты).
   Path	Путь к директории с исключаемыми объектами.	<path to local directory> – исключать из проверки объекты в указанной директории (включая вложенные директории). Для указания пути вы можете использовать маски. В системах с файловой системой btrfs и включенными активными снимками для оптимизации работы задач проверки рекомендуется добавить в исключения путь со снимками, смонтированными системой в режиме "только чтение". Например, в системах на базе SUSE/OpenSUSE вы можете добавить исключение вида /.snapshots/*/snapshot/. По умолчанию указан путь / – приложение исключает из проверки все директории локальной файловой системы. Mounted:NFS – исключать из проверки удаленные директории, смонтированные на устройстве по протоколу NFS. Mounted:SMB – исключать из проверки удаленные директории, смонтированные на устройстве по протоколу Samba. AllRemoteMounted – исключать из проверки все удаленные директории, смонтированные на устройстве с помощью протоколов Samba и NFS. <file system type> – исключать из проверки все ресурсы указанной файловой системы устройства. Удаленные директории исключаются из проверки приложением, только если они были смонтированы до запуска задачи. Удаленные директории, смонтированные после запуска задачи, из проверки не исключаются.

   Как запустить задачу Поиск вредоносного ПО в графическом интерфейсе

   1. Откройте главное окно графического интерфейса приложения.
   2. Нажмите на кнопку Проверка.

      Откроется окно Проверка.

   3. Если вы хотите запустить задачу проверки, нажмите на кнопку Запустить, расположенную под нужной задачей проверки.

      Отобразится ход выполнения задачи проверки.

   4. Если вы хотите остановить задачу проверки, нажмите на кнопку Остановить, расположенную под нужной задачей проверки.

      Задача проверки остановится, отобразится информация о проверенных объектах и обнаруженных угрозах.

   5. Если вы хотите просмотреть отчет по задаче проверки, нажмите на кнопку Показать отчет.

   При обнаружении зараженного объекта или при завершении задачи проверки отображается соответствующее уведомление.

   Также в окне Проверка отображается ход и результат выполнения временных задач проверки загрузочных секторов (Scan_Boot_Sectors_{идентификатор}) и временных задач выборочной проверки файлов (Scan_File_{идентификатор}).

7. Соберите статистику проверки компьютера

   Вы можете получить статистику проверки компьютера с помощью отчетов. Убедитесь, что продолжительность проверки находится в желаемых пределах. Проверьте обнаруженные объекты и, если объекты являются доверенными, добавьте эти объекты в исключения.

Особенности и ограничения

• Если у пользователя с root-правами отсутствует доступ к файлу на удаленной директории, смонтированной на устройстве по протоколу NFSv4, приложение пропустит этот файл во время проверки.
• Во время выполнения задач проверки Kaspersky Endpoint Security может лечить и удалять файлы, защищенные от изменения: файлы с атрибутами immutable и append-only и файлы в директориях с атрибутами immutable и append-only. В резервном хранилище сохраняются копии этих файлов, созданные до лечения или удаления. Вы можете восстанавливать файлы из резервных копий, если требуется. После выполнения задач проверки атрибуты immutable и append-only вылеченных файлов не сохраняются.
• Если во время поиска вредоносного ПО пользователь или служба watchdog перезапустили приложение, а также если во время поиска перезагрузился компьютер, поиск прерывается. При следующем запуске поиск вредоносного ПО начинается заново.

Полезные статьи

Что делать, если на устройстве заканчивается свободное дисковое пространство