Вы можете получить списки файлов, процессов и точек автозапуска с выбранных хостов с компонентом Endpoint Agent. Для этого нужно создать задачу сбора форензики.
Чтобы создать задачу сбора форензики:
В окне веб-интерфейса приложения выберите раздел Задачи.
Откроется таблица задач.
Нажмите на кнопку Добавить и в раскрывающемся списке Собрать данные выберите Форензика.
Откроется окно создания задачи.
Задайте значения следующих параметров:
Тип информации – тип собираемых данных. Установите флажок напротив одного, нескольких или всех параметров:
Список процессов, если хотите получить список процессов, запущенных на хосте в момент выполнения задачи.
Список точек автозапуска, если хотите получить список точек автозапуска.
В список точек автозапуска включаются данные о приложениях, добавленных в папку автозагрузки или зарегистрированных в разделах реестра Run, а также о приложениях, которые запускаются автоматически при загрузке хоста с компонентом Endpoint Agent и при входе пользователя в систему на указанных хостах.
Kaspersky Endpoint Agent поддерживает сбор следующих точек автозапуска:
Logon.
Run.
Explorer.
Shell.
Office.
Internet Explorer®.
Tasks.
Services.
Drivers.
Telephony.
Cryptography.
Debuggers.
COM.
Session Manager.
Network.
LSA.
Applications.
Codecs.
Shellex.
WMI.
Unspecified.
Kaspersky Endpoint Security поддерживает сбор перечисленных выше точек автозапуска и указанных далее:
BootLog.
Browsers.
DriverLog.
EfiLoader.
GroupPolicy.
Logon.
OsLoader.
OsUpdate.
Printer.
Process.
Scheduler.
Список файлов, если хотите получить список файлов, хранящихся в выбранной папке или во всех папках хоста в момент выполнения задачи.
Если вы установили флажок Список файлов, в блоке параметров Тип источника выберите один из вариантов:
Все локальные диски, если вы хотите, чтобы в список файлов были включены файлы, хранящиеся во всех папках локальных дисков на момент выполнения задачи.
Директория, если вы хотите, чтобы в список файлов были включены файлы, хранящиеся в указанной папке и следующих по пути папках диска на момент выполнения задачи.
Если вы выбрали Директория, в поле Начальная директория укажите путь к папке, с которой начнется поиск файлов.
Вы можете использовать следующие префиксы:
Системные переменные окружения.
Пользовательские переменные окружения.
При использовании пользовательских переменных окружения в список файлов будет включена информация о файлах в папках всех пользователей, определивших указанные переменные окружения. Если пользовательские переменные окружения переопределяет системные, в список файлов будет включена информация о файлах в папках по значению системных переменных окружения.
Хосты – IP-адрес или имя хоста, на который хотите назначить задачу.
Вы можете указать несколько хостов.
Если в роли компонента Endpoint Agent используется Kaspersky Endpoint Agent, задача получения сбора форензики может быть назначена только на хосты с приложением Kaspersky Endpoint Agent для Windows версии 3.10 и выше. Получение списка точек автозапуска доступно только на хостах с Kaspersky Endpoint Agent для Windows версии 3.12 и выше.
При необходимости вы можете указать следующие параметры поиска файлов в папках:
Маска – маска файлов, которые должны быть включены в список файлов.
Альтернативные потоки данных – флажок, включающий запись информации об альтернативных потоках данных в список файлов.
Если запрашиваемый файл связан с дополнительными потоками данных NTFS, в результате выполнения задачи вы получите все файлы потоков данных NTFS, с которыми связан запрашиваемый файл.
По умолчанию флажок установлен.
Максимальный уровень вложенности – максимальный уровень вложенности папок, в которых приложение будет искать файлы.
Исключения – путь к папкам, в которых вы хотите запретить поиск информации о файлах.
Описание – описание задачи.
Нажмите на кнопку Добавить.
Задача сбора форензики будет создана. Задача запускается автоматически после создания.
В результате выполнения задачи приложение помещает в Хранилище ZIP-архив, который содержит файл с выбранными данными. Если задача завершилась успешно, вы можете скачать архив на ваш локальный компьютер.
Для пользователей с ролью Аудитор функция создания задачи сбора форензики недоступна.
У пользователей с ролью Сотрудник службы безопасности нет доступа к задачам.