Анализ работы задачи Защита от файловых угроз

Чтобы проанализировать работу задачи Защита от файловых угроз, выполните следующие действия:

1. Остановите все задачи проверки и мониторинга.
2. Убедитесь, что задачи проверки по требованию не будут запущены во время проверки или не имеют расписания. Вы можете это сделать через Kaspersky Security Center или локально, выполнив следующие действия:
   1. Получите список всех задач программы, выполнив следующую команду:

      kics-control --get-task-list

   2. Получите параметры расписания задачи антивирусной проверки, выполнив следующую команду:

      kics-control --get-schedule <идентификатор задачи>

      Если команда выводит RuleType=Manual, то задача запускается только вручную.

   3. Получите параметры расписания всех ваших задач антивирусной проверки, если такие были созданы, и укажите им запуск вручную, выполнив следующую команду:

      kics-control --set-schedule <идентификатор задачи> RuleType=Manual

3. Включите создание файлов трассировки программы с высоким уровнем детализации, выполнив команду:

   kics-control --set-app-settings TraceLevel=Detailed

4. Запустите задачу Защита от файловых угроз, если она не была запущена, выполнив следующую команду:

   kics-control --start-task 1

5. Создайте нагрузку на систему в том же режиме, который вызвал проблемы с производительностью, достаточно нескольких часов.

   Под нагрузкой программа записывает много информации в файлы трассировки, при этом по умолчанию хранится 5 файлов по 500 МБ, поэтому старая информация будет перезаписываться. Если проблемы с производительностью и потреблением ресурсов перестали проявляться, значит, скорее всего, проблемы вызывают задачи проверки по требованию и можно перейти к анализу работы задач проверки c типами ContainerScan и ODS.

6. Выключите создание файлов трассировки программы, выполнив команду:

   kics-control --set-app-settings TraceLevel=None

7. Определите список объектов, которые были проверены наибольшее количество раз, выполнив команду:

   fgrep 'AVP ENTER' /var/log/kaspersky/kics/kics.* | awk '{print $8}' | sort | uniq -c | sort -k1 -n -r|less

   Результат загрузится в программу просмотра текста less, где в самом начале будут отображаться те объекты, которые были проверены наибольшее количество раз.

8. Теперь вам нужно самостоятельно определить, являются ли наиболее часто проверенные объекты опасными. В случае затруднения обратитесь в Службу технической поддержки.

   Например, неопасными можно признать директории и файлы журналов, если запись в них ведет доверенный процесс, файлы баз данных.

9. Запишите пути к неопасным, по вашему мнению, объектам, они потребуются в дальнейшем для настройки исключений из проверки.
10. Если в системе осуществляется частая запись файлов различными сервисами, такие файлы будут повторно проверяться в отложенной очереди. Определите список путей, которые были проверены в отложенной очереди наибольшее количество раз, выполнив команду:

    fgrep 'SYSCALL' /var/log/kaspersky/kics/kics.* | fgrep 'KLIF_ACTION_CLOSE_MODIFY' | awk '{print $9}' | sort | uniq -c | sort -k1 -n -r

    Файлы, проверенные наибольшее количество раз, будут отображаться в начале списка.

11. Если счетчик по одному файлу превышает несколько тысяч за несколько часов, вам нужно определить, можно ли доверять этому файлу, чтобы исключить его из проверки.

    Логика определения такая же, как и для предыдущего исследования (см. п. 8): файлы журналов можно признать неопасными, так как они не могут быть запущены.