Работа с файлами карантина в командной строке

При интеграции с решениями Detection and Response вы можете выполнять следующие действия с помощью команд управления карантином:

• Помещать файлы на карантин.
• Просматривать информацию о файлах на карантине.
• Удалять из карантина все или только указанные файлы.
• Восстанавливать файлы из карантина.

Восстановление зараженных файлов может привести к заражению устройства.

Помещение файла на карантин

Чтобы поместить файл на карантин, выполните следующую команду:

kess-control [-Q] --put <путь к файлу> [--md5] [--sha256] [--save-original-file]

где:

• <путь к файлу> – путь к файлу, который вы хотите поместить на карантин;
• --md5 – хеш-сумма MD5 файла, который вы хотите поместить на карантин;
• --sha256 – хеш-сумма SHA256 файла, который вы хотите поместить на карантин;
• --save-original-file – не удалять исходный файл. Если вы не укажете этот ключ, исходный файл будет удален.

  Исходный файл удаляется, только если учетная запись пользователя имеет права на удаление объектов. Если прав недостаточно, отображается сообщение об ошибке удаления файла.

Просмотр информации о файлах на карантине

Чтобы просмотреть информацию о файлах карантина, выполните следующую команду:

kess-control -Q --query ["<условия фильтра>"] [-n <количество>] [--json]

где:

• <условия фильтра> – одно или несколько логических выражений в формате <поле> <операция сравнения> '<значение>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса. Если вы не укажете условия фильтра, приложение выведет информацию обо всех файлах на карантине.
• <количество> – количество последних файлов на карантине, которые нужно вывести. Если вы не укажете ключ -n, будут выведены последние 30 файлов. Чтобы показать все файлы, укажите значение 0.
• --json – выводить данные в формате JSON.

В строке ObjectId отобразится числовой идентификатор, который приложение присвоило файлу при помещении на карантин. Этот идентификатор используется для выполнения действий над файлом, таких как восстановление или удаление файла из карантина.

Восстановление файлов из карантина

Чтобы восстановить файл из карантина с исходным именем в исходное местоположение, выполните следующую команду:

kess-control -Q --restore <идентификатор объекта>

где <идентификатор объекта> – числовой идентификатор, который приложение присвоило файлу при помещении на карантин.

Чтобы восстановить файл с новым именем из карантина в указанную директорию, выполните следующую команду:

kess-control -Q --restore <идентификатор объекта> --file <путь к файлу>

где --file <путь к файлу> – новое имя файла и путь к директории, в которой вы хотите сохранить файл.

Вы можете восстановить файл из карантина в другую директорию, только если ваша учетная запись имеет root-права. Если прав недостаточно, файл можно восстановить только в исходное местоположение.

На устройствах с операционной системой Astra Linux в режиме замкнутой программной среды можно восстановить файл только под той учетной записью, под которой он был помещен в резервное хранилище.

Удаление файлов из карантина

Чтобы удалить выбранные файлы из карантина, выполните следующую команду:

kess-control -Q --mass-remove --query "<условия фильтра>"

где <условия фильтра> – одно или несколько логических выражений в формате <поле> <операция сравнения> '<значение>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса.

Чтобы удалить все файлы из карантина, выполните следующую команду:

kess-control -Q --mass-remove