YARA. Запуск YARA-проверки

06 октября 2026

ID 335126

Скачать PDF

Команда KAVSHELL YARA позволяет запустить YARA-проверку.

Синтаксис команды

KAVSHELL YARA <full path to a YARA file> | /PATH=<path to a folder with YARA files> [<additional arguments>]

Параметры команды

Обязательный параметр

Описание

<full path to a YARA file>

Полный путь к YARA-файлу, по которому требуется выполнить поиск. Вы можете указать пути к нескольким YARA-файлам через пробел.

Обязательный параметр, если не передан параметр /PATH.

Пример:

C:\Users\Admin\Desktop\YARA\file1.yar C:\Users\Admin\Desktop\YARA\file2.yar

/PATH=<path to a folder with YARA files>

Полный путь к папке с YARA-файлами, по которым требуется выполнить поиск.

Обязательный параметр, если не передан параметр <full path to a YARA file>.

Пример:

/PATH=C:\Users\Admin\Desktop\YARA

/FASTSCAN=<on|off>

Необязательный параметр.

Быстрая YARA-проверка. Для каждого объекта приложение фиксирует в журнале одно вхождение обнаруженного маркера. При этом приложение скрывает дубликаты обнаруженных маркеров в журнале. Быстрая YARA-проверка позволяет сократить время проверки больших файлов.

Если параметр не задан, приложение выполняет стандартную YARA-проверку. В этом режиме приложение отображает дубликаты обнаруженных маркеров в журнале.

/MAXRULES=<maximum number of scan rules>

Необязательный параметр.

Ограничение количества уникальных сработавших правил, при превышении которого приложение прекращает YARA-проверку.

Если значение параметра не задано или равно 0, приложение выполняет YARA-проверку без ограничений.

/TIMEOUT=<N seconds>

Необязательный параметр.

Ограничение длительности YARA-проверки в секундах. По истечении указанного времени приложение останавливает YARA-проверку.

Если значение параметра не задано или равно 0, приложение выполняет YARA-проверку без ограничений.

/RECURSIVE=<on|off>

Необязательный параметр.

Параметр запускает рекурсивную проверку вложенных папок в рамках выборочной проверки (/SCANFOLDERS).

/SCANFOLDERS=<path to folders for the YARA scan>

Необязательный параметр.

Параметр запускает YARA-проверку файлов по указанному списку папок. Вы можете указать несколько значений через пробел. Kaspersky Industrial CyberSecurity for Nodes поддерживает символы * и ? для ввода маски пути к папке.

Если значение параметра не задано, приложение выполняет YARA-проверку на всех локальных дисках, кроме сетевых, облачных и подключаемых дисков.

/SCANMEMORY=<on|off>

Необязательный параметр.

Проверка памяти всех запущенных процессов.

/SCANPROCESS=<full paths to executable files of processes>

Необязательный параметр.

Проверка памяти только для указанных процессов. Необходимо через пробел указать пути к исполняемым файлам процессов вместе с названиями файлов. Вы можете также использовать символы * и ? для ввода маски.

/MAXSIZE=<size in bytes>

Необязательный параметр.

Ограничение размера файлов для YARA-проверки. Приложение пропускает файлы большего размера.

/INCLUDES=<list of objects for the YARA scan>

Необязательный параметр.

Формирование области проверки. Вы можете указать несколько значений через пробел. Доступны следующие значения:

имя файла;
маска имени файла.

Область проверки необходимо задавать с параметром /SCANFOLDERS.

Пример:

/SCANFOLDERS C:\*.* /includes=*.exe *.dll – приложение проверит все файлы с расширением .EXE и .DLL на диске C.

/EXCLUDES=<paths to objects to be excluded from the YARA scan>

Необязательный параметр.

Исключение файлов из YARA-проверки. Вы можете указать несколько значений через пробел. Доступны следующие значения:

путь к файлу;
маска пути к файлу.

Исключения необходимо задавать с параметром /SCANFOLDERS.

Пример:

/SCANFOLDERS C:\*.* /excludes readme.txt C:\trusted\*.* *.xml – приложение пропускает файл readme.txt, все файлы из папки C:\trusted, а также все файлы с расширением .XML в корневой папке на диске C.

/SCANAUTORUNS=<on|off>

Необязательный параметр.

YARA-проверка объектов точек автозапуска.

/EXCLUDEAUTORUNS=<list of autorun point objects to exclude from the YARA scan>

Необязательный параметр.

Исключение объектов точек автозапуска из области проверки. Необходимо через пробел указать пути к исполняемым файлам процессов вместе с названиями файлов. Вы можете также использовать символы * и ? для ввода маски.

/LOGFOLDER=<path for saving scan results>

Необязательный параметр.

Если указан путь к папке, приложение сохраняет результаты сканирования по указанному пути в файле yara_<имя компьютера>_<время завершения сканирования>.txt.

Если указан путь к конкретному TXT-файлу, приложение сохраняет результаты сканирования в нем.

Например: /LOGFOLDER=C:\test или /LOGFOLDER=C:\test\abc.txt.

Результаты проверки будут выведены в командной строке независимо от того, указано ли значение параметра /LOGFOLDER.

/PWD:<password>

Необязательный параметр.

Пароль учетной записи KLAdmin или учетной записи пользователя с необходимыми разрешениями.

Если значение параметра не указано, приложение предложит ввести пароль в следующей строке.

/LOGIN:<user name>

Необязательный параметр.

Имя учетной записи пользователя с необходимыми разрешениями.

Если значение параметра не указано, приложение предложит ввести имя учетной записи в следующей строке.

Значение параметра не нужно указывать, если вы ввели пароль от учетной записи KLAdmin.

Пример

KAVSHELL YARA C:\rule.yara /SCANFOLDERS=c:\scanFolder\ /RECURSIVE=on

KAVSHELL YARA /PATH=c:\rules\ /SCANFOLDERS=c:\scanFolder\ /FASTSCAN=on

KAVSHELL YARA c:\rules\rule1.yara c:\rules\rule2.yara /SCANFOLDERS=c:\scanFolder\ /LOGFOLDER=c:\yara_logs\

KAVSHELL YARA /PATH=c:\rules\ /SCANFOLDERS=c:\scanFolder\ c:\scanFolder2\ /LOGFOLDER=c:\yara_logs\

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!