Создание Portable Auditor

Чтобы создать Portable Auditor, выполните следующие действия:

1. Подключите поддерживаемый съемный диск к устройству с установленным Kaspersky Industrial CyberSecurity for Nodes с действующей лицензией.

   Чтобы на компьютере под управлением операционной системы Windows Server 2022 съемный диск Рутокен отображался в списке подключенных съемных дисков, необходимо драйвер UMDF2 для подключаемых по USB картридеров заменить на драйвер WUDF.

2. В области уведомлений в контекстном меню значка приложения выберите Диагностическое окно.
3. В открывшемся Диагностическом окне нажмите на ссылку Создать Portable Auditor.

Запустится мастер создания Portable Auditor. Следуйте его указаниям.

Для перехода к следующему шагу мастера нажимайте на кнопку Далее >.

Шаг 1. Импорт настроек

Если необходимо, импортируйте настройки Portable Auditor из ранее созданного XML-файла:

1. Нажмите на кнопку Импорт настроек.
2. В открывшемся окне выберите XML-файл с параметрами Portable Auditor.
3. Нажмите на кнопку Открыть.

Параметры, загруженные из XML-файла, отобразятся на следующих шагах мастера. При необходимости вы можете их изменить.

Шаг 2. Добавление файла ключа

Для создания Portable Auditor необходима действительная лицензия на Kaspersky Industrial CyberSecurity for Nodes Portable Auditor.

Добавьте файл ключа:

1. Нажмите на кнопку Выбрать лицензионный файл.
2. В открывшемся окне выберите файл ключа для Portable Auditor.
3. Нажмите на кнопку Открыть.

Информация о лицензии отобразится в текущем окне мастера.

Шаг 3. Выбор задач Portable Auditor

Выберите задачи, которые будет выполнять Portable Auditor после запуска на устройстве:

• Проверять выбранные области антивирусными базами. Если функция включена, Portable Auditor выполняет проверку выбранной области на наличие вирусов и других программ, представляющих угрозу. Portable Auditor применяет установленный по умолчанию уровень безопасности – Информировать. По умолчанию функция включена.
• Записать трафик со всех сетевых интерфейсов. Если функция включена, Portable Auditor записывает входящий и исходящий трафик проверяемого устройства в течение указанного времени. По умолчанию функция включена.
• Выполнять аудит безопасности. Если функция включена, Portable Auditor в зависимости от заданных параметров может выполнять поиск уязвимостей на устройстве, оценку безопасности устройства и соответствия стандартам операционной системы или собирать данные о конфигурации устройства с помощью правил, написанных на языках OVAL и XCCDF. По умолчанию функция включена.

При необходимости вы сможете настроить выбор задач, которые будут выполняться Portable Auditor, при запуске проверки.

Шаг 4. Настройка параметров задачи проверки

Этот шаг доступен, если на шаге 3 выбрано действие Проверять выбранные области антивирусными базами.

1. По умолчанию в область проверки добавлены следующие объекты: Локальные жесткие диски, Системная память и процессы и Объекты автозапуска.

   Вы можете исключить объект из области проверки, не удаляя его. Для этого снимите флажок слева от названия объекта. В дальнейшем вы сможете включить нужные объекты в область проверки в настройках задачи.

   Исключенные из области проверки объекты не добавляются в список исключений из проверки и могут попасть в область действия задачи Поиск вредоносного ПО. Например, если вы исключили папку на локальном жестком диске, но объект Локальные жесткие диски включен в область проверки, данная папка будет проверена задачей.

2. При необходимости вы можете добавить объекты в область проверки:
   1. Нажмите на кнопку Добавить.
   2. В открывшемся окне Область проверки выберите тип объектов, который вы хотите добавить:
      • Предопределенная область, если вы хотите включить в область проверки одну из предопределенных областей на защищаемом устройстве. Затем в раскрывающемся списке выберите требуемую область проверки.
      • Диск, папка или сетевой объект, если вы хотите включить в область проверки отдельный диск или папку. Затем в открывшемся окне по кнопке Обзор выберите нужную область.

        При добавлении в область проверки локального жесткого диска Portable Auditor не проверяет подключенные к нему папки общего доступа. Если вы хотите включить в область проверки папки общего доступа, вам необходимо добавить их отдельно.

      • Файл, если вы хотите включить в область проверки отдельный файл. Затем в открывшемся окне по кнопке Обзор выберите нужный файл.
   3. Нажмите на кнопку ОК.
   4. Повторите шаги a – c для каждого добавляемого объекта.

      Добавленные объекты по умолчанию включены в область проверки. Если необходимо, исключите объект из области проверки с помощью флажка слева от его названия.

   5. Если необходимо, удалите объект из списка с помощью кнопки Удалить.
3. Настройте параметры выполнения задачи:
   1. Нажмите на кнопку Настройки проверки.
   2. На вкладке Общие в блоке Проверка объектов выберите объекты, которые требуется включить в область проверки:
      • Все объекты. Portable Auditor проверяет все объекты.
      • Объекты, проверяемые по формату. Portable Auditor проверяет только потенциально заражаемые файлы на основании формата файла. Список форматов составляется специалистами "Лаборатории Касперского" и входит в состав баз Kaspersky Industrial CyberSecurity for Nodes.
      • Объекты, проверяемые по списку расширений, указанному в антивирусных базах. Portable Auditor проверяет только потенциально заражаемые файлы на основании расширения файла. Список расширений составляется специалистами "Лаборатории Касперского" и входит в состав баз Kaspersky Industrial CyberSecurity for Nodes.
      • Объекты, проверяемые по указанному списку расширений. Portable Auditor проверяет только потенциально заражаемые файлы на основании расширения файла. Вы можете самостоятельно сформировать список расширений, нажав на кнопку Изменить.
      • Проверять загрузочные секторы дисков. Если флажок установлен, Portable Auditor проверяет загрузочные секторы и основные загрузочные записи на жестких и съемных дисках защищаемого устройства. По умолчанию флажок установлен.
      • Проверять альтернативные потоки NTFS. Проверка дополнительных потоков файлов и папок на дисках с файловой системой NTFS. Если флажок установлен, Portable Auditor выполняет проверку возможно зараженного объекта и всех потоков NTFS, связанных с этим объектом. Если флажок снят, приложение проверяет только обнаруженный объект, который считается возможно зараженным. По умолчанию флажок установлен.
   3. В блоке Проверка составных объектов укажите типы составных объектов, которые вы хотите включить в область проверки:
      • Архивы. Проверка архивов ZIP, CAB, RAR, ARJ и других форматов.
      • SFX-архивы. Проверка самораспаковывающихся архивов.
      • Упакованные объекты. Проверка исполняемых файлов, упакованных программами-упаковщиками двоичного кода, такими как UPX, ASPack и др.
      • Файлы почтовых форматов. Проверка файлов почтовых форматов, таких как сообщения Microsoft Outlook и Microsoft Outlook Express.
      • Почтовые базы. Проверка файлов почтовых баз Microsoft Outlook и Microsoft Outlook Express. Этот вариант доступен, если установлен флажок Файлы почтовых форматов.
      • Вложенные OLE-объекты. Проверка встроенных в файлы объектов (таких как макросы Microsoft Word или вложения в сообщения электронной почты).
   4. Перейдите на вкладку Дополнительно.
   5. В блоке Общие настройки.
      • Восстанавливать атрибуты файлов после проверки. Если при проверке выполняется открытие файла, обновляется время последнего доступа к файлу. В результате архиваторы и облачные хранилища пересчитывают данные файлов, чтобы передать их в облако или в резервную копию. Чтобы избежать пересчета, можно восстановить время последнего доступа к файлу после завершения проверки. По умолчанию этот параметр выключен.
      • Ограничить потребление ресурсов процессора для задач проверки. Этот параметр используется, чтобы избежать зависания компьютера во время проверки. Этот параметр может оказаться критичным для промышленных систем, основное программное обеспечение которых не должно зависать. По умолчанию этот параметр выключен.
      • Папка для временных файлов, создаваемых при проверке. По умолчанию временные файлы сохраняются в папке kavscan\Results\<Имя проверяемого устройства>\<дата_время>\Temp, расположенной на съемном диске с Portable Auditor. При необходимости вы можете изменить папку для сохранения временных файлов. Например, если в процессе выполнения проверки на съемном диске заканчивается место, или проверка выполняется слишком долго из-за низкой скорости чтения/записи, вы можете настроить сохранение временных файлов в папку на проверяемом устройстве.
   6. В блоке Действия над обнаруженными объектами выберите действие, которое Portable Auditor будет выполнять над зараженными и другими обнаруживаемыми объектами:
      • Лечить. Удалять, если лечение невозможно. Если выбран этот вариант действия, то приложение автоматически пытается вылечить все обнаруженные зараженные файлы. Если лечение невозможно, то приложение их удаляет.
      • Информировать (значение по умолчанию). Если выбран этот вариант действия, Portable Auditor не выполняет над зараженным или другим обнаруженным объектами никаких действий. Приложение только фиксирует соответствующее событие в отчете. Используйте этот вариант для быстрой проверки или, например, для систем, в которых нельзя допустить удаления промышленных программных модулей.
   7. Если выбран вариант Лечить. Удалять, если лечение невозможно, настройте функцию Полностью удалять составной файл при обнаружении вложенного объекта, если составной файл не может быть изменен приложением. Если функция включена, Portable Auditor принудительно удаляет весь родительский составной объект при обнаружении вредоносного или другого вложенного объекта. Принудительное удаление родительского объекта со всем его содержимым выполняется, если приложение не может удалить только вложенный обнаруженный объект (например, если родительский объект неизменяем). Если функция выключена, Portable Auditor не выполняет удаление родительского объекта. По умолчанию функция включена.
   8. Перейдите на вкладку Производительность.
   9. В блоке Исключения при необходимости добавьте исключения из области проверки:
      • Исключать файлы. Используйте эту функцию, чтобы исключить файлы из области проверки и избежать их удаления в случае обнаружения. Вы можете указать полный путь или использовать маску. По умолчанию функция выключена.
      • Не проверять объекты по типу. Используйте эту функцию, чтобы избежать обнаружения и дальнейшего удаления объектов определенного типа. Вы можете указать имя объекта или использовать маску. По умолчанию функция выключена.
   10. Вы можете сократить время проверки и увеличить скорость работы Portable Auditor с помощью параметров в блоке Дополнительные настройки:
       • Останавливать проверку, если она длится более (сек.). Если функция включена и проверка объекта выполняется дольше указанного времени, Portable Auditor прерывает проверку объекта и продолжает проверку области. Используйте эту функцию, например, если при проверке больших файлов или сетевого окружения время работы Portable Auditor сильно увеличивается. По умолчанию функция включена. Значение по умолчанию – 60 сек.
       • Не проверять составные объекты размером более (МБ). Если функция включена, Portable Auditor исключает из области проверки объекты, размер которых больше заданного. По умолчанию функция включена. Значение по умолчанию – 100 МБ.
       • Использовать технологию iChecker. Технология, позволяющая увеличить скорость проверки за счет исключения из нее некоторых файлов. Файлы исключаются из проверки по специальному алгоритму, учитывающему дату выпуска баз Portable Auditor, дату предыдущей проверки файла, а также изменение настроек проверки. Технология iChecker имеет ограничение: она не работает с файлами больших размеров, а кроме того, применима только к файлам с известной приложению структурой (например, к файлам формата EXE, DLL, LNK, TTF, INF, SYS, COM, CHM, ZIP, RAR).
4. Для создания исключений из проверки нажмите на кнопку Настройки исключений.

   Откроется окно Исключения из проверки.

   Portable Auditor не проверяет папки и объекты из списка исключений, даже если они входят в область проверки. Например, если в список исключений добавлен жесткий диск, то Portable Auditor не будет проверять включенные в область проверки папки, расположенные на этом диске.

5. Создайте исключения из проверки:
   1. Нажмите на кнопку Добавить.
   2. В открывшемся окне Добавление исключения из проверки выберите тип объектов, который вы хотите добавить:
      • Предопределенная область, если вы хотите включить в список исключений одну из предопределенных областей на защищаемом устройстве. Затем в раскрывающемся списке выберите требуемую область проверки.
      • Диск, папка или сетевой объект, если вы хотите включить в список исключений отдельный диск или папку. Затем в открывшемся окне по кнопке Обзор выберите нужную область.

        При добавлении в список исключений локального жесткого диска Portable Auditor не исключает из области проверки подключенные к нему папки общего доступа. Если вы хотите включить в список исключений папки общего доступа, вам необходимо добавить их отдельно.

      • Файл, если вы хотите включить в область проверки отдельный файл. Затем в открывшемся окне по кнопке Обзор выберите нужный файл.
   3. Нажмите на кнопку ОК.
   4. Повторите шаги a–c для всех добавляемых исключений.
   5. Вы можете удалить добавленное исключение с помощью кнопки Удалить.

Шаг 5. Настройка параметров записи сетевого трафика

Этот шаг доступен, если на шаге 3 выбрано действие Записать трафик со всех сетевых интерфейсов.

Если необходимо, в поле Записывать входящий и исходящий трафик проверяемого устройства в течение указанного времени (сек.) измените период времени, в течение которого Portable Auditor будет записывать входящий и исходящий трафик проверяемого устройства. Значение по умолчанию – 30 сек.

Шаг 6. Настройка параметров аудита безопасности

Этот шаг доступен, если на шаге 3 выбрано действие Выполнять аудит безопасности.

Выберите источники OVAL- и XCCDF-правил, с помощью которых Portable Auditor будет выполнять аудит безопасности устройства:

• База данных уязвимостей Kaspersky ICS CERT для АСУ ТП. Portable Auditor проверяет устройство на все уязвимости, описанные в OVAL-правилах базы данных уязвимостей Kaspersky ICS CERT для АСУ ТП. По умолчанию этот параметр выбран.
• Правила для сбора данных конфигурации хоста. Portable Auditor собирает данные о конфигурации устройства. По умолчанию этот параметр выбран.
• Конфигурации безопасности и соответствий стандартам для операционных систем. Portable Auditor проверяет параметры операционной системы устройства на соответствие стандартам безопасности. По умолчанию этот параметр выбран.

  Так как не во всех случаях заранее известно, какие операционные системы установлены на проверяемых устройства, по умолчанию выбраны конфигурации для всех поддерживаемых операционных систем. При необходимости вы можете исключить неиспользуемые конфигурации по кнопке Выбрать конфигурации.

  База данных уязвимостей Kaspersky ICS CERT для АСУ ТП, Правила для сбора данных конфигурации хоста и Конфигурации безопасности и соответствий стандартам для операционных систем поставляются вместе с базами Portable Auditor. Поэтому, прежде чем запускать Portable Auditor c хотя бы одним из перечисленных источников правил, убедитесь, что базы Portable Auditor актуальны.

• Пользовательская база правил. Portable Auditor проверяет устройство на уязвимости, описанные в пользовательских OVAL- и XCCDF-правилах. Если вы выбрали данный параметр, необходимо загрузить ZIP-архив с базой правил.

Шаг 7. Выбор съемного диска

Выберите съемный диск, на котором будет создан Portable Auditor:

• Съемный диск. Подключенный по USB съемный диск. В раскрывающемся списке выберите съемный диск.
• Безопасный съемный диск. Подключенный по USB съемный диск, защищенный от чтения, копирования и записи паролем администратора. Если вы выбрали этот вариант, выберите защищенный съемный диск на следующем шаге мастера.

  Вы не можете использовать один и тот же защищенный съемный диск одновременно для создания Portable Auditor и для безопасного копирования баз приложения.

По умолчанию Kaspersky Industrial CyberSecurity for Nodes проверяет данные созданного Portable Auditor. Если вы планируете записать Portable Auditor с одинаковыми параметрами на несколько съемных дисков, проверка данных для первого Portable Auditor и обнаружение расхождений на ранней стадии позволят сэкономить время. Если необходимо, отключите данную функцию с помощью флажка Проверить данные Portable Auditor после его создания.

Шаг 8. Настройка параметров безопасного съемного диска

Этот шаг доступен, если на шаге 7 выбран вариант Безопасный съемный диск.

Настройте параметры защищенного съемного диска:

1. Выберите подключенный защищенный съемный диск, на котором будет сформирован Portable Auditor.
2. В блоке Настройки безопасности в поле Введите текущий PIN-код администратора введите PIN-код, который был установлен на защищенном съемном диске для защиты его содержимого.

   Данный PIN-код будет запрашиваться в дальнейшем при выполнении всех операций с Portable Auditor.

3. Если необходимо, измените текущий PIN-код администратора:
   1. Установите флажок Сменить текущий PIN-код (допускаются только цифры и латинские символы).
   2. Введите новый PIN-код в одноименном поле.
   3. Повторите новый PIN-код.

Шаг 9. Запись Portable Auditor на съемный диск

На данном шаге вы можете просмотреть все настроенные параметры Portable Auditor перед началом его создания. Если необходимо, вы можете экспортировать данные параметры в XML-файл по кнопке Экспортировать.

Нажмите на кнопку Завершить, чтобы создать Portable Auditor с указанными параметрами.

Не рекомендуется подключать к одному устройству два съемных дисках Рутокен и одновременно запускать безопасное копирование баз приложения и создание Portable Auditor. В таком случае выполнение этих задач может завершаться с ошибкой.

Portable Auditor будет записан на выбранном съемном диске. На съемном диске появится папка kavscan, содержащая в себе файлы и папки, необходимые для работы Portable Auditor.

Если на съемном диске уже есть Portable Auditor, мастер перезаписывает все файлы существующего Portable Auditor в папке kavscan. Если вы решите прервать запись, мастер прекратит запись без отката изменений.

После завершения записи мастер предложит создать следующий Portable Auditor.

Чтобы избежать повреждения данных на съемном диске, используйте функцию безопасного извлечения устройств при работе с Portable Auditor.

Также вы можете создать Portable Auditor через интерфейс командной строки.