Работа с файлами карантина в командной строке

При интеграции с решением Kaspersky Industrial CyberSecurity Endpoint Detection and Response вы можете выполнять следующие действия с помощью команд управления карантином:

• Помещать файлы на карантин.
• Просматривать информацию о файлах на карантине.
• Удалять из карантина все или только указанные файлы.
• Восстанавливать файлы из карантина.

Восстановление зараженных файлов может привести к заражению устройства.

Помещение файла на карантин

kics-control [-Q] --put <file path> [--md5] [--sha256] [--save-original-file]

Где:

<file path> – путь к файлу, который вы хотите поместить на карантин.

--md5 – хеш-сумма MD5 файла, который вы хотите поместить на карантин.

--sha256 – хеш-сумма SHA256 файла, который вы хотите поместить на карантин.

--save-original-file – не удалять исходный файл. Если вы не укажете этот ключ, исходный файл будет удален.

Исходный файл удаляется, только если учетная запись пользователя имеет права на удаление объектов. Если прав недостаточно, отображается сообщение об ошибке удаления файла.

Просмотр информации о файлах на карантине

Вывести информацию обо всех файлах на карантине

kics-control -Q --query [-n <number>] [--json]

Вывести информацию о файлах на карантине, соответствующих условиям фильтра

kics-control -Q --query ["<filter conditions>"] [-n <number>]

Где:

<filter conditions> – одно или несколько логических выражений в формате <field> <comparison operator> '<value>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса. Если вы не укажете условия фильтра, приложение выведет информацию обо всех файлах на карантине.

<number> – количество последних файлов на карантине, которые нужно вывести. Если вы не укажете ключ -n, будут выведены последние 30 файлов. Для отображения всех файлов укажите значение 0.

--json – выводить данные в формате JSON.

В строке ObjectId отобразится числовой идентификатор, который приложение присвоило файлу при помещении на карантин. Этот идентификатор используется для выполнения действий над файлом, таких как восстановление или удаление файла из карантина.

Восстановление файлов из карантина

kics-control -Q --restore <file ID> [--file <file path>]

Где:

<file ID> – идентификатор файла на карантине.

--file <file path> – новое имя файла и путь к директории, в которой его требуется сохранить. Если вы не укажете ключ --file, файл будет восстановлен с исходным именем в исходное местоположение. Если директория удалена или у пользователя нет прав доступа к этой ней, приложение помещает файл в директорию /var/opt/kaspersky/kics/common/restored/. Вы можете вручную переместить файл из этой директории в нужную директорию.

Вы можете восстановить файл из карантина в другую директорию, только если ваша учетная запись имеет root-права. Если прав недостаточно, файл можно восстановить только в исходное местоположение.

Удаление файлов из карантина

Удалить все файлы

kics-control -Q --mass-remove

Удалить файлы, соответствующие условиям фильтра

kics-control -Q --mass-remove --query "<filter conditions>"

Где:

<filter conditions> – одно или несколько логических выражений в формате <field> <comparison operator> '<value>', скомбинированных с помощью логического оператора and, для ограничения результатов запроса.