Kaspersky Endpoint Security 12 для Linux
База знаний Онлайн-справка
FAQ Скачать Купить Продлить Форум Запрос в поддержку Утилиты для лечения
Поиск индикаторов компрометации
Скопировано

16 октября 2026

ID 292968

Скачать PDF
Свернуть все Развернуть все

Поиск индикаторов компрометации

Вы можете выполнять поиск индикаторов компрометации с помощью задачи поиска IOC в командной строке только при интеграции с Kaspersky Endpoint Detection and Response Optimum. При интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises) или с Kaspersky Endpoint Detection and Response (KATA) поиск IOC выполняется на стороне соответствующего решения Detection and Response.

Чтобы создать, настроить и запустить задачу Поиск IOC в командной строке, выполните следующую команду:

kesl-control [-T] --scan-ioc --path <path to the directory or file> [--process on|off] [--hint <regular expression>] [--arpentry on|off] [--ports on|off] [--system on|off] [--files on|off] [--drives all|system|critical|custom] [--excludes <list of exclusions>] [--scope <list of directories>] [--action Skip|QuarantineFile|IsolateHost|ScanCriticalAreas]

где:

  • --path <path to the directory or file> – путь к IOC-файлу или директории с IOC-файлами с расширением .IOC или .XML, с помощью которых требуется выполнить проверку.

    Вы можете указать несколько путей, разделяя их пробелами. Вы также можете указать оба типа путей (к файлу и к директории).

  • --process – включение анализа процессов, запущенных на устройстве.

    Возможные аргументы:

    • on – включить анализ процессов, запущенных на устройстве (значение по умолчанию).
    • off – выключить анализ процессов, запущенных на устройстве.

    Если вы не укажете ключ --process, приложение выполнит анализ процессов, только если в используемом IOC-файле указаны данные этих процессов (ProcessItem).

  • --hint <regular expression> – регулярное выражение, которому соответствует полный путь к файлу (FileItem) или исполняемому файлу процесса (ProcessItem), который требуется проанализировать.

    Вы можете использовать следующие элементы регулярных выражений:

    • метасимволы: . ^ $ |
    • классы символов: digit, alpha, lower, upper, cntrl
    • квантификаторы: * + ? {n} {n,} {n, m}
    • отрицание: [^a-c]
    • экранируемые символы: \a \e \f, \n \r \t \v \b
  • --arpentry – включение анализа записей в ARP-таблице (ArpEntryItem).

    Возможные аргументы:

    • on – включить анализ записей в ARP-таблице (значение по умолчанию).
    • off – выключить анализ записей в ARP-таблице.

    Если вы не укажете ключ --arpentry, приложение выполнит анализ таблицы ARP, только если в используемом IOC-файле указаны данные этой таблицы (ArpEntryItem).

    --ports – включение анализа портов, открытых для соединения.

    Возможные аргументы:

    • on – включить анализ портов, открытых для соединения и проверять активные соединения на устройстве (значение по умолчанию).
    • off – выключить анализ портов, открытых для соединения и не проверять активные соединения на устройстве.

    Если вы не укажете ключ --ports, приложение выполнит анализ портов, только если в используемом IOC-файле указаны данные этих портов (PortItem).

  • --system – включение анализа окружения системы.

    Возможные аргументы:

    • on – включить анализ окружения системы (значение по умолчанию).
    • off – выключить анализ окружения системы.

    Если вы не укажете ключ --system, приложение выполнит анализ окружения системы, только если в используемом IOC-файле указаны данные об окружении системы (SystemInfoItem).

  • --files – включение анализа файлов.

    Возможные аргументы:

    • on – включить анализ файлов (значение по умолчанию).
    • off – выключить анализ файлов.

    Если вы не укажете ключ --files, приложение выполнит анализ файлов, только если в используемом IOC-файле указаны данные этих файлов (FileItem).

  • --drives – области, подлежащие проверке.

    Возможные аргументы:

    • all – проверять все доступные файловые области.
    • system – проверять все файлы в пределах корневой файловой системы.
    • critical – проверять файлы в пользовательских и системных директориях (значение по умолчанию).
    • custom – проверять только файлы в указанных вами областях.

    Если вы не укажете ключ --drives, приложение выполнит анализ файлов в пользовательских и системных директориях.

  • --excludes <list of exclusions> – список путей, исключаемых из проверки.

    Исключения, заданные этим ключом, являются глобальными и действуют независимо от типа области или списка директорий. Такие исключения имеют приоритет над другими ключами, включая --hint и --scope.

    Исключения задаются в виде путей, но не могут содержать рекурсивные элементы или символы маски (например, *).

    Если вы не укажете ключ --excludes, проверка выполняется без исключений.

    Вы можете указать несколько исключений, разделяя их пробелом.

  • --scope <list of directories> – список дополнительных директорий, подлежащих проверке.

    Этот ключ является обязательным, если для ключа --drives вы указали аргумент custom.

  • --action – действие, выполняемое при обнаружении индикаторов компрометации.

    Возможные аргументы:

    • Skip – приложение не будет выполнять никаких действий с обнаруженным объектом, но информация о нем сохранится в результатах выполнения задачи (значение по умолчанию).
    • QuarantineFile – приложение поместит обнаруженный объект на карантин.
    • IsolateHost – приложение изолирует от сети устройство, на котором обнаружен объект.
    • ScanCriticalAreas – приложение выполнит проверку важных областей.

      Важные области, которые проверяет Kaspersky Endpoint Security

    Вы можете указать несколько действий, разделяя их запятыми.

    Если вы указали аргумент Skip, остальные аргументы добавлять не нужно. Аргумент Skip может использоваться только самостоятельно.

Назад Работа с файлами карантина в командной строке
Управление запретом запуска объектов Вперед
Вам помогла эта статья?
Что нам нужно улучшить?
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!
Спасибо за ваш отзыв, вы помогаете нам становиться лучше!