Защита от файловых угроз

Защита от файловых угроз обеспечивает минимальный уровень безопасности компьютера. Компонент запускается вместе с Kaspersky Endpoint Security и проверяет файлы в режиме реального времени.

Как работает Защита от файловых угроз

1. Приложение перехватывает события файловых операций и блокирует действия до завершения проверки

   Приложение использует механизм перехвата файловых операций и блокирует доступ при любом обращении к проверяемому файлу до завершения проверки.

2. Приложение проверяет файл

   Защита от файловых угроз проверяет файл с помощью следующих технологий:

   • Антивирусные базы
   • Облачные службы Kaspersky Security Network
   • Эвристический анализ – технология позволяет выявлять угрозы, которые еще не внесены в базы данных "Лаборатории Касперского".
3. Завершение проверки

   После проверки приложение или разрешает операцию, или запрещает ее и выполняет действие, предусмотренное при обнаружении угрозы.

Первоначальная настройка Защиты от файловых угроз

Первоначальная настройка включает шаги, необходимые для базовой защиты конечных устройств.

1. Выберите механизм перехвата системных событий

   Защита от файловых угроз перехватывает события файловых операций и блокирует действия до завершения проверки.

   При установке приложения вы выбрали механизм перехвата системных событий:

   • механизм перехвата на основе обновляемого модуля ядра
   • системный механизм перехвата на основе технологии fanotify
   • модуль ядра для защиты от файловых угроз на ОС без fanotify

   Выбор механизма перехвата системных событий зависит от конфигурации компьютера. Самой производительной технологией является механизм перехвата на основе обновляемого модуля ядра. Вы можете включить этот механизм в параметрах приложения.

2. Настройте Защиту от файловых угроз

   По умолчанию Защита от файловых угроз включена и использует параметры, рекомендованные специалистами "Лаборатории Касперского". Параметры по умолчанию обеспечивают рекомендуемый уровень защиты и оптимальное потребление ресурсов компьютера. Если у вас особые требования к безопасности инфраструктуры, вы можете изменить эти параметры.

3. Настройте область защиты

   По умолчанию приложение проверяет все файлы на защищаемом устройстве. Если вам нужно проверять только отдельную директорию (например, директорию, в которую автоматически загружаются файлы из внешнего источника), вы можете указать только эту директорию в качестве области защиты. В остальных случаях рекомендуем оставить область защиты по умолчанию и оптимизировать ее с помощью исключений.

4. Исключите из проверки точки монтирования

   Исключение из проверки точек монтирования позволяет не перехватывать файловые операции в определенной директории. Например, вы можете исключить из проверки общие сетевые ресурсы и для их защиты использовать Kaspersky Endpoint Security на том устройстве, где эти ресурсы хранятся физически. Также вы можете воспользоваться Рекомендациями для Защиты от файловых угроз и задач проверки.

5. Добавьте исключения

   Исключения позволяют поддерживать баланс между защищенностью и производительностью системы. Для стабильной работы стороннего ПО добавьте в исключения файлы и директории, которые указаны в документации к соответствующему программному обеспечению.

   Рекомендуем исключить следующие объекты:

   • Базы данных. Большие базы данных требуют большого количества ресурсов для проверки. Частое обращение к файлам базы данных приводит к частым проверкам.
   • Файлы, с которыми работают ресурсоемкие процессы. Проверка таких файлов замедляет работу компьютера.
   • Директории с файлами журналов. Операционная система записывает журнал постоянно. В результате Защита от файловых угроз проверяет журналы и тратит ресурсы компьютера.

   Если объект исключен из проверки компонентом Защита от файловых угроз, рекомендуем проверять эти объекты с помощью задачи Поиск вредоносного ПО.

Дополнительная настройка для высоконагруженных серверов

Дополнительная настройка включает шаги для тонкой настройки Защиты от файловых угроз. Если после первоначальной настройки возникают задержки в работе устройства или если вы настраиваете высоконагруженные серверы, выполните следующие действия:

1. Выключите блокировку доступа к файлам во время проверки

   По умолчанию Защита от файловых угроз при любом обращении к проверяемому файлу блокирует к нему доступ до завершения проверки. Если вы выключите блокирующий режим, Защита от файловых угроз будет работать в режиме информирования. Такой режим перехвата файловых операций оказывает меньшее влияние на производительность системы во время работы, но есть риск, что угроза в файле не будет вылечена или удалена.

   Если блокирующий режим выключен, Контроль устройств, действие Запрет запуска объектов и задача Проверка съемных дисков также работают в режиме информирования.

2. Соберите статистику проверки файлов

   Контролируйте основные метрики работы компьютера: нагрузку на ЦПУ, быстродействие стороннего ПО и другие показатели. Это поможет вам определить, как снизить нагрузку на систему.

   Вы можете получить статистику проверки файлов с помощью инструментов анализа работы приложения. Также вы можете использовать собственные инструменты мониторинга.

3. Оптимизируйте работу приложения

   После анализа полученной информации оптимизируйте работу приложения:

   • добавьте глобальные исключения
   • добавьте исключения
   • оптимизируйте параметры приложения
4. Включите блокировку доступа к файлам во время проверки

   Включите блокировку доступа к файлам во время проверки. При обнаружении зараженного объекта приложение будет выполнять выбранное действие.

Особенности и ограничения

• Если у пользователя с root-правами отсутствует доступ к файлу в удаленной директории, смонтированной на устройстве по протоколу NFS4, приложение блокирует доступ к файлу для всех пользователей.
• Если включены Защита от файловых угроз и Мониторинг контейнеров, приложение также проверяет все пространства имен и контейнеры.