Работа с карантином

Карантин – это специальное хранилище на устройстве, в которое помещаются файлы, возможно зараженные вирусами или неизлечимые на момент обнаружения. Карантин позволяет изолировать файл для дальнейшей проверки. Файлы на карантине хранятся в зашифрованном виде и не угрожают безопасности устройства. В отличие от карантина резервное хранилище предназначено для хранения резервных копий файлов, в которых был обнаружен вредоносный код и которые были удалены или изменены в процессе лечения.

Приложение использует карантин только при интеграции с решением Kaspersky Managed Detection and Response для выполнения рекомендуемых действий по реагированию на угрозы. Вы также можете вручную помещать на карантин файлы, которые считаете опасными для вашего устройства.

По умолчанию для хранения файлов, помещенных на карантин, используется директория /var/opt/kaspersky/kess/common/objects-backup/. В этой директории также хранятся объекты резервного хранилища. Вы можете изменять директорию для хранения объектов резервного хранилища и карантина с помощью командной строки.

Файлы на карантине могут содержать персональные данные. Для доступа к файлам, помещенным на карантин, требуются root-права.

Вы можете настраивать параметры карантина на устройстве с помощью политики в Web Console или в Консоли администрирования или с помощью командной строки. Вы можете настраивать следующие параметры карантина:

• Процент заполнения карантина, при котором формируется событие о заполнении карантина. По умолчанию событие формируется при заполнении карантина на 90%.
• Максимальный размер карантина в мегабайтах. При достижении максимального размера карантина приложение автоматически удаляет из карантина самые старые файлы. По умолчанию максимальный размер карантина 200 МБ.
• Путь к директории, в которой хранятся объекты резервного хранилища и карантина (этот параметр настраивается только с помощью командной строки).

Помещение файлов на карантин

Некоторые файлы могут быть критически важными для работы операционной системы и приложения. Помещение таких файлов на карантин может нарушить работу системы.

Помещение на карантин критически важных системных объектов (англ. System Critical Object, SCO) невозможно. К SCO относятся файлы, необходимые для работы операционной системы и приложения Kaspersky Embedded Systems Security.

Помещение файла на карантин возможно, только если включена интеграция приложения Kaspersky Embedded Systems Security с Kaspersky Managed Detection and Response и активирован компонент MDR.

Директория для хранения объектов карантина должна быть доступна для записи.

Файлы помещаются на карантин одним из следующих способов:

• В результате выполнения задачи, которая настраивается на стороне Kaspersky Managed Detection and Response.
• В результате выполнения команды управления карантином на устройстве.

Подробнее о работе с карантином при интеграции с Kaspersky Managed Detection and Response см. в справке Kaspersky Managed Detection and Response.

Работа с файлами на карантине

Вы можете работать с файлами, помещенными на карантин:

• В Kaspersky Security Center в общем списке файлов, помещенных на карантин приложениями "Лаборатории Касперского".

  Для выполнения действий с файлами на карантине в Kaspersky Security Center вам нужно включить передачу данных на Сервер администрирования о файлах на карантине.

• Локально на устройстве с помощью командной строки.

Вы можете просматривать информацию о файлах на карантине, удалять и восстанавливать файлы из карантина.

Восстановление и удаление из карантина доступно вне зависимости от того, включена ли интеграция с Kaspersky Managed Detection and Response, а также вне зависимости от того, распространяется ли на устройство действие политики.

Общий список файлов, помещенных на карантин приложениями "Лаборатории Касперского" на клиентских устройствах, формируется в Kaspersky Security Center и доступен в Консоли администрирования (Дополнительно → Хранилища → Карантин) и в Web Console (Операции → Хранилища → Карантин). Kaspersky Security Center не копирует файлы из хранилищ карантина на Сервер администрирования, все файлы размещаются в хранилищах карантина на клиентских устройствах. Подробнее о работе с файлами карантина в Kaspersky Security Center см. в справке Kaspersky Security Center.

Файл, помещенный на карантин, восстанавливается в исходное местоположение согласно заданным параметрам. Мандатная метка (только на устройствах под управлением операционных систем Astra Linux) и атрибуты (в том числе immutable и append-only) исходного файла сохраняются при восстановлении. Файл с атрибутами immutable и append-only может быть восстановлен только в заданное местоположение, в котором исходный файл отсутствует, или в исходное местоположение, но с другим именем. Для восстановления файла из карантина в другую директорию или в исходное местоположение с другим именем требуются root-права.

После завершения восстановления приложение удаляет копию восстановленного файла из карантина.

Восстановление файла из карантина завершается с ошибкой в следующих случаях:

• Восстанавливаемый файл не найден в хранилище карантина.
• Имя восстанавливаемого файла указано с ошибкой или в неверном регистре.
• Идентификатор файла указан с ошибкой.
• Директория назначения удалена, перемещена, переименована или у вас нет прав доступа к ней.

  В этом случае приложение перемещает файл в директорию /var/opt/kaspersky/kess/common/restored/. Вы можете вручную переместить файл из этой директории в нужную директорию.

• По указанному пути уже существует одноименный файл.
• Недостаточно места на устройстве.
• Только на устройствах под управлением операционных системы Astra Linux: мандатная метка файла выше мандатной метки директории, в которую восстанавливается файл.
• Только на устройствах под управлением операционных системы Astra Linux: мандатная метка файла ниже мандатной метки директории, в которую восстанавливается файл, и для директории не установлен флаг ccnr.

Удаление файла из карантина завершается с ошибкой в следующих случаях:

• Удаляемый файл не найден в хранилище карантина.
• Имя удаляемого файла указано с ошибкой или в неверном регистре.
• Идентификатор файла указан с ошибкой.