建立工作以使用 YARA 規則掃描主機

您可以使用 YARA 規則掃描具有 Endpoint Agent 元件的主機。為此，您必須建立一個啟動 YARA 掃描工作。您可以建立工作：

在工作部分。
在這種情況下，在建立工作時，您必須選擇要用於掃描主機的 YARA 規則。
在自訂規則部分，YARA子部分。
在這種情況下，將建立一個工作來使用選定的 YARA 規則掃描主機。

若要使用 YARA 規則建立掃描具有 Kaspersky Endpoint Agent 元件的主機的工作，請在工作部分：

在應用程式 Web 介面視窗中，選擇“工作”區域。
這將開啟工作表。
點擊新增並選擇啟動 YARA 掃描。
這將開啟工作建立視窗。
配置以下設定：
1. 選擇規則是規則的名稱。您可以輸入規則名稱或規則名稱中的字元序列，然後在清單中選擇規則。
  您可以新增多個規則。
2. 掃描是掃描範圍。選擇以下選項之一：
  - 記憶體，如果您想要掃描工作執行時正在執行的處理程序。
    應用程式不會掃描低優先順序的處理程序。
  - 自動執行點，如果您想掃描從進行取證工作獲取的自動執行點。
    若要掃描自動執行點，您必須指定先前為其執行過進行取證的主機。
  - 指定目錄，如果您想要掃描在工作執行時位於指定資料夾及其所有嵌套資料夾中的檔案。
  - 所有本機磁碟，如果您希望掃描工作執行時儲存在本機磁碟上所有資料夾中的檔案。
    掃描所有本機磁碟可能會導致主機負載過高。
3. 如果您選擇了記憶體，必要時請執行以下操作：
  - 在處理程序欄位中，輸入要掃描的處理程序的短名稱或檔案遮罩。
    應用程式掃描主機上執行的所有具有相同名稱的處理程序。
    如果處理程序欄位留空，應用程式將掃描工作執行時正在運行的所有處理程序，除了 PID 小於 10 的處理程序和排除項目欄位中所列的處理程序。
  - 在排除項目欄位中，輸入要從掃描中排除的處理程序的短名稱或檔案遮罩。
    如果主機上正在執行多個具有相同名稱的處理程序，應用程式將從掃描中排除所有此類處理程序。
4. 如果您選擇了自動執行點，在掃描類型欄位中，選擇掃描類型：
  - 快速。
    在這種情況下，將掃描除 COM 物件之外的所有自動執行點。
  - 完整。
    在這種情況下，將掃描所有自動執行點以及與其相關的檔案。
  如果您使用 Kaspersky Endpoint Security for Windows 作為 Endpoint Agent 元件，則無論選擇的設定為何，都會執行完整掃描。
5. 如果您選擇了指定目錄:
  - 在指定目錄欄位中，以 C:\\* 格式指定目錄路徑。
  - 在排除項目欄位中，以 C:\\* 格式指定目錄路徑。
6. 最大掃描持續時間是最大掃描持續時間。
  當該時間過去後，即使未套用某些規則來掃描主機，掃描也會停止。工作報告包含掃描停止時的最新結果。
7. 敘述是工作描述。該欄位是可選的。
8. 工作所有者— 工作範圍：
  - 如果您想運行所有伺服器上的工作，請選擇所有主機選項。
  - 如果要在選定的伺服器上執行工作，請選擇指定伺服器選項並在伺服器參數名稱的右側選擇要在其上執行工作的伺服器名稱旁的核取方塊。
    僅當啟用分佈式解決方案和多租戶模式時，此選項才可用。
    Kaspersky Anti Targeted Attack Platform 被用來同時防護多個組織或同一組織分支機構的基礎架構的運作模式。
    
    安裝有 Central Node 元件的伺服器的兩層架構。此架構分配主控制伺服器（主 Central Node (PCN)）和從屬伺服器（從屬 Central Node (SCN)）。
  - 如果您想要執行選定主機上的工作，請選擇指定主機選項並在主機欄位中列出這些主機。