Работа с файлами карантина в командной строке

При интеграции с решениями Detection and Response вы можете выполнять следующие действия с помощью команд управления карантином:

• Помещать файлы на карантин (только при интеграции с Kaspersky Endpoint Detection and Response Optimum или с Kaspersky Managed Detection and Response).
• Просматривать информацию о файлах на карантине.
• Удалять из карантина все или только указанные файлы.
• Восстанавливать файлы из карантина.

Восстановление зараженных файлов может привести к заражению устройства.

Помещение файла на карантин

Чтобы поместить файл на карантин, выполните следующую команду:

kesl-control [-Q] --put <path to the file> [--md5] [--sha256] [--save-original-file]

где:

• <path to the file> – путь к файлу, который вы хотите поместить на карантин;
• --md5 – хеш-сумма MD5 файла, который вы хотите поместить на карантин;
• --sha256 – хеш-сумма SHA256 файла, который вы хотите поместить на карантин;
• --save-original-file – не удалять исходный файл. Если вы не укажете этот ключ, исходный файл будет удален.

  Исходный файл удаляется, только если учетная запись пользователя имеет права на удаление объектов. Если прав недостаточно, отображается сообщение об ошибке удаления файла.

Вы можете использовать эту команду только при интеграции с Kaspersky Endpoint Detection and Response Optimum или с Kaspersky Managed Detection and Response.

Просмотр информации о файлах на карантине

Чтобы просмотреть информацию о файлах карантина, выполните следующую команду:

kesl-control -Q --query ["<filter conditions>"] [-n <number of files>] [--json]

где:

• <filter conditions> – одно или несколько логических выражений в формате <поле> <операция сравнения> '<значение>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса. Если вы не укажете условия фильтра, приложение выведет информацию обо всех файлах на карантине.
• <number of files> – количество последних файлов на карантине, которые нужно вывести. Если вы не укажете ключ -n, будут выведены последние 30 файлов. Чтобы показать все файлы, укажите значение 0.
• --json – выводить данные в формате JSON.

В строке ObjectId отобразится числовой идентификатор, который приложение присвоило файлу при помещении на карантин. Этот идентификатор используется для выполнения действий над файлом, таких как восстановление или удаление файла из карантина.

Восстановление файлов из карантина

Чтобы восстановить файл из карантина с исходным именем в исходное местоположение, выполните следующую команду:

kesl-control -Q --restore <object identifier>

где <object identifier> – числовой идентификатор, который приложение присвоило файлу при помещении на карантин.

Чтобы восстановить файл с новым именем из карантина в указанную директорию, выполните следующую команду:

kesl-control -Q --restore <object identifier> --file <path to the file>

где --file <path to the file> – новое имя файла и путь к директории, в которой вы хотите сохранить файл.

Вы можете восстановить файл из карантина в другую директорию, только если ваша учетная запись имеет root-права. Если прав недостаточно, файл можно восстановить только в исходное местоположение.

На устройствах с операционной системой Astra Linux в режиме замкнутой программной среды можно восстановить файл только под той учетной записью, под которой он был помещен в резервное хранилище. При восстановлении файла приложение создает директорию с мандатной меткой 3 (флаг cnnr).

Удаление файлов из карантина

Чтобы удалить выбранные файлы из карантина, выполните следующую команду:

kesl-control -Q --mass-remove --query "<filter conditions>"

где <filter conditions> – одно или несколько логических выражений в формате <поле> <операция сравнения> '<значение>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса.

Пример удаления файлов, в названии которых или в пути к которым содержится "test"

kesl-control -Q --mass-remove --query "FileName like '%test%'"

Чтобы удалить все файлы из карантина, выполните следующую команду:

kesl-control -Q --mass-remove