16 октября 2026
ID 320952
Выбор механизма перехвата системных событий
Для полноценной работы приложение должно использовать перехват системных событий об операциях с файлами и запуске процессов. Перехват системных событий необходим во всех режимах использования приложения (стандартный режим, режим Легкого агента и режим EDR-агента). Если приложение не использует перехват системных событий, проверка файлов в режиме реального времени не выполняется, что снижает защиту устройства.
Механизм перехвата системных событий
Приложение может использовать следующие механизмы перехвата системных событий:
- Системный механизм перехвата на основе технологии fanotify. Fanotify – это подсистема ядра Linux, которая отслеживает события в файловой системе (например, открытие, чтение, запись или закрытие файлов) и позволяет приложениям перехватывать их в режиме реального времени.
- Механизм перехвата на основе обновляемого модуля ядра. Обновляемый модуль ядра работает совместно с системным механизмом перехвата на основе технологии fanotify. Это позволяет оптимизировать перехват файловых операций и перехват запуска процессов приложением Kaspersky Endpoint Security за счет обработки системных событий в пространстве ядра (англ. kernel space), а не в пользовательском пространстве (англ. user space). Обновляемый модуль ядра перехватывает файловые операции при открытии, переименовании и изменении файлов. Производительность приложения увеличивается за счет использования кеша результатов проверки файлов и процессов.
Обновляемый модуль ядра также используется для следующих задач и компонентов:
- Защита от файловых угроз
- Защита от шифрования
- Защита от эксплойтов
- Анализ поведения
- Контроль приложений
- Запрет запуска объектов (при интеграции с Kaspersky Endpoint Detection and Response Expert (on-premises) и Kaspersky Endpoint Detection and Response Optimum)
При использовании обновляемого модуля ядра вы можете более точно настраивать глобальные исключения. Механизм перехвата на основе технологии fanotify позволяет исключать из перехвата файловых операций указанные точки монтирования целиком. Использование обновляемого модуля ядра позволяет исключать конкретные локальные или удаленные директории, смонтированные на устройстве.
Обновляемый модуль ядра входит в комплект поставки приложения.
- Модуль ядра для защиты от файловых угроз на ОС без fanotify. Если операционная система на устройстве не поддерживает технологию fanotify (CentOS 5.2, CentOS 5.4, CentOS 6.4, CentOS 6.6), приложение скомпилирует и будет использовать для перехвата системных событий специальный модуль. Этот модуль автоматически компилируется при запуске Защиты от файловых угроз при наличии необходимых пакетов и утилит компиляции.
Как выбрать механизм перехвата системных событий
Если операционная система поддерживает технологию fanotify, в процессе развертывания приложения вы можете выбрать механизм перехвата системных событий: только механизм перехвата на основе технологии fanotify или обновляемый модуль ядра совместно с механизмом перехвата на основе технологии fanotify. По умолчанию используется механизм перехвата на основе технологии fanotify. После установки вы можете изменить механизм перехвата системных событий в настройках приложения.
Для операционных систем, не поддерживающих технологию fanotify, выбор механизма перехвата недоступен.
Приложение может использовать механизм перехвата на основе обновляемого модуля ядра, если операционная система соответствует требованиям для установки обновляемого модуля ядра.
Программные требования для установки обновляемого модуля ядра
Проверка возможности установки обновляемого модуля ядра
Версия обновляемого модуля ядра не зависит от версии Kaspersky Endpoint Security. Функциональность обновляемого модуля ядра регулярно расширяется вместе с обновлением баз и модулей приложения Kaspersky Endpoint Security. Поэтому приведенный выше список поддерживаемых операционных систем может быть неполным. Чтобы проверить соответствие вашего устройства требованиям для установки обновляемого модуля ядра, используйте утилиту Kaspersky ULKM tool.
Как проверить удаленно с помощью Web Console или Консоли администрирования
Как проверить локально на устройстве
Проверка статуса работы обновляемого модуля ядра
В Kaspersky Security Center Web Console или в Консоли администрирования можно проверить статус работы обновляемого модуля ядра на устройствах с Kaspersky Endpoint Security. Для этого вы можете посмотреть назначенные устройствам теги:
- UpdatableKernelModule=Use – на устройстве установлен и работает обновляемый модуль ядра.
- UpdatableKernelModule=Error – на устройстве установлен обновляемый модуль ядра, но при запуске модуля произошла ошибка, модуль не работает.
Подробнее о просмотре тегов, назначенных устройствам, см. в справке Kaspersky Security Center.
Поддержка технологии Secure Boot
Обновляемый модуль ядра поддерживает технологию Secure Boot. Для использования механизма перехвата на основе обновляемого модуля ядра на операционных системах с включенной технологией Secure Boot вам нужно добавить в операционную систему публичный сертификат Kaspersky Endpoint Security для подписи модуля и перезапустить ее.
Пример добавления сертификата для ОС Ubuntu
После выбора механизма перехвата системных событий вы можете вернуться в сценарий развертывания и продолжить с этапа Подготовка дистрибутивов.
