Aufgabe zum Schutz vor bedrohlichen Dateien konfigurieren
12. Dezember 2023
ID 248490
Wenn Sie nach der Analyse der Ausführung der Aufgabe zum Schutz vor bedrohlichen Dateien eine Liste von Verzeichnissen und Dateien erstellt haben, die von der Überprüfung der Aufgabe ausgeschlossen werden können, müssen Sie sie zu den Ausschlüsse hinzufügen.
Ausschlüsse von der Untersuchung
Um das Verzeichnis /tmp/logs und alle Unterverzeichnisse und Dateien rekursiv auszuschließen, führen Sie den folgenden Befehl aus:
kesl-control --set-settings 1 --add-exclusion /tmp/logs
Um eine bestimmte Datei oder Dateien nach Maske im Verzeichnis /tmp/logs auszuschließen, führen Sie den folgenden Befehl aus:
kesl-control --set-settings 1 --add-exclusion /tmp/logs/*.log
Um alle Dateien mit der Erweiterung .log im Verzeichnis /tmp/ und in den Unterverzeichnissen rekursiv anhand einer Maske auszuschließen, führen Sie den folgenden Befehl aus:
kesl-control --set-settings 1 --add-exclusion /tmp/**/*.log
Ausschlüsse vom Abfangen
Wenn Sie Dateien eines bestimmten Verzeichnisses nicht nur von der Untersuchung, sondern auch vom Abfangen ausschließen möchten, können Sie den gesamten Mountpunkt ausschließen.
So schließen Sie den gesamten Mountpunkt aus:
- Wenn das Verzeichnis kein Mountpunkt ist, müssen Sie einen Mountpunkt daraus erstellen. Um beispielsweise einen Mountpunkt aus dem Verzeichnis /tmp zu erstellen, führen Sie den folgenden Befehl aus:
mount --bind /tmp/ /tmp - Tragen Sie in die Datei /etc/fstab die folgende Zeile ein, damit der Mountpunkt nach dem Neustart des Servers erhalten bleibt:
/tmp /tmp none defaults,bind 0 0 - Fügen Sie das Verzeichnis /tmp zu den globalen Ausschlüsse hinzu, indem Sie den folgenden Befehl ausführen:
kesl-control --set-app-settings ExcludedMountPoint.item_0000=/tmp - Wenn Sie mehrere Verzeichnisse hinzufügen möchten, erhöhen Sie den Zähler item_0000 jeweils um eine Einheit (item_0001, item_0002 usw.).
Es wird empfohlen, einen Mountpunkt auch dann auszuschließen, wenn es sich dabei um eine gemountete Remote-Ressource mit einer instabilen oder langsamen Verbindung handelt.
Untersuchungstyp ändern
Standardmäßig kann die Aufgabe zum Schutz vor bedrohlichen Dateien die Dateien beim Öffnen und Schließen untersuchen. Wenn bei der Analyse der Ausführung der Aufgabe zum Schutz vor bedrohlichen Dateien zu viele geschriebene Dateien ermittelt wurden, können Sie den Modus von Datei-Interceptor so ändern, dass er nur beim Öffnen der Dateien aktiviert wird. Führen Sie dazu den folgenden Befehl aus:
kesl-control --set-set 1 ScanByAccessType=Open
In diesem Modus werden Änderungen, die nach dem Öffnen an der Datei vorgenommen wurden, erst nach dem nächsten Zugriff auf die Datei untersucht.