Приложения

Этот раздел содержит информацию, которая дополняет основной текст справки.

Приложение 1. Оптимизация потребления ресурсов

При проверке объектов приложение Kaspersky Embedded Systems Security использует ресурсы процессора, ввод-вывод дисковой подсистемы и оперативную память.

Чтобы посмотреть потребление ресурсов приложением, выполните следующую команду:

top -bn1|grep kess

Выполнять команду требуется в момент нагрузки на систему.

Вывод команды показывает количество потребляемой памяти и занимаемого процессорного времени:

651 root 20 0 3014172 2.302g 154360 S 120.0 30.0 0:32.80 kess

В столбце 6 отображается количество резидентной памяти – 2.302g.

В столбце 9 отображается процент использования ядер процессора – 120.0, где каждое ядро принимается за 100 процентов. Таким образом, 120% означает, что одно ядро занято полностью, а второе – на 20%.

Если работа приложения Kaspersky Embedded Systems Security при проверке объектов критически замедляет работу системы, требуется провести настройку приложения для оптимизации потребления ресурсов системы.

Определение задачи, которая занимает ресурсы

Для того чтобы определить, какая задача или задачи приложения занимают ресурсы системы, требуется разделить потребление ресурсов задачей Защита от файловых угроз (тип OAS) и задачами проверки по требованию (типы ODS и ContainerScan).

Если приложение находится под управлением политики Kaspersky Security Center, требуется на время проведения исследования разрешить управление локальными задачами.

Анализ работы задачи Защита от файловых угроз

Чтобы проанализировать работу задачи Защита от файловых угроз:

1. Остановите все задачи проверки и мониторинга.
2. Убедитесь, что задачи проверки по требованию не будут запущены во время проверки или не имеют расписания. Вы можете сделать это через Kaspersky Security Center или локально, выполнив следующие действия:
   1. Получите список всех задач приложения, выполнив следующую команду:

      kess-control --get-task-list

   2. Получите параметры расписания задачи поиска вредоносного ПО, выполнив следующую команду:

      kess-control --get-schedule <ID задачи>

      Если команда выводит RuleType=Manual, то задача запускается только вручную.

   3. Получите параметры расписания всех ваших задач поиска вредоносного ПО и выборочной проверки, если такие были созданы, и укажите им запуск вручную, выполнив следующую команду:

      kess-control --set-schedule <ID задачи> RuleType=Manual

3. Включите создание файлов трассировки приложения с высоким уровнем детализации, выполнив следующую команду:

   kess-control --set-app-settings TraceLevel=Detailed

4. Запустите задачу Защита от файловых угроз, если она не была запущена, выполнив следующую команду:

   kess-control --start-task 1

5. Создайте нагрузку на систему в том же режиме, который вызвал проблемы с производительностью, достаточно нескольких часов.

   Под нагрузкой приложение записывает много информации в файлы трассировки, при этом по умолчанию хранится 5 файлов по 500 МБ, поэтому старая информация будет перезаписываться. Если проблемы с производительностью и потреблением ресурсов перестали проявляться, значит, скорее всего, проблемы вызывают задачи проверки по требованию и можно перейти к анализу работы задач проверки c типами ContainerScan и ODS.

6. Выключите создание файлов трассировки приложения, выполнив следующую команду:

   kess-control --set-app-settings TraceLevel=None

7. Определите список объектов, которые были проверены наибольшее количество раз, выполнив следующую команду:

   fgrep 'AVP ENTER' /var/log/kaspersky/kess/kess.* | awk '{print $8}' | sort | uniq -c | sort -k1 -n -r|less

   Результат загружается в приложение просмотра текста less, где в самом начале отображаются те объекты, которые были проверены наибольшее количество раз.

8. Определите, являются ли опасными объекты, которые были проверены наибольшее количество раз. В случае затруднения обратитесь в Службу технической поддержки.

   Например, неопасными можно признать директории и файлы журналов, если запись в них ведет доверенный процесс, файлы баз данных.

9. Запишите пути к неопасным, по вашему мнению, объектам, они потребуются в дальнейшем для настройки исключений из проверки.
10. Если в системе осуществляется частая запись файлов различными сервисами, такие файлы будут повторно проверяться в отложенной очереди. Определите список путей, которые были проверены в отложенной очереди наибольшее количество раз, выполнив следующую команду:

    fgrep 'SYSCALL' /var/log/kaspersky/kess/kess.* | fgrep 'KLIF_ACTION_CLOSE_MODIFY' | awk '{print $9}' | sort | uniq -c | sort -k1 -n -r

    Файлы, проверенные наибольшее количество раз, будут отображаться в начале списка.

11. Если счетчик по одному файлу превышает несколько тысяч за несколько часов, определите, можно ли доверять этому файлу, чтобы исключить его из проверки.

    Логика определения такая же, как и для предыдущего исследования (см. п. 8): файлы журналов можно признать неопасными, так как они не могут быть запущены.

12. Даже если некоторые файлы исключены из проверки постоянной защитой, они все равно могут перехватываться приложением. Если исключение определенных файлов из постоянной защиты не приносит существенного прироста производительности, вы можете полностью исключить из перехвата приложением точку монтирования, где расположены эти файлы. Для этого выполните следующие действия:
    1. Получите список файлов, перехваченных приложением, выполнив следующую команду:

       grep 'FACACHE.*needs' /var/log/kaspersky/kess/kess.* | awk '{print $9}' | sort | uniq -c | sort -k1 -n -r

    2. С помощью полученного списка определите пути, по которым происходит большое количество перехватов файловых операций, и настройте исключения из перехвата.

Анализ работы задач проверки по требованию

Также большое потребление ресурсов может быть вызвано использованием задач с типами ODS и ContainerScan. Следуйте следующим рекомендациям по использованию задач с типом ODS:

• Убедитесь, что не выполняется запуск нескольких задач проверки по требованию одновременно. Приложение позволяет работать в таком режиме, но потребление ресурсов может сильно увеличиться. Проверьте расписание всех задач с типами ODS и ContainerScan локально (как описано для задачи Защита от файловых угроз) или через Kaspersky Security Center.
• Запускайте проверку во время наименьшей нагрузки на сервер.
• Убедитесь, что по указанному пути проверки нет примонтированных удаленных ресурсов (SMB / NFS). Если задача состоит в проверке удаленного ресурса и нет возможности выполнять ее непосредственно на сервере, предоставляющем ресурс, не выполняйте проверку на серверах c критическими сервисами, так как такая задача может выполняться достаточно долго (в зависимости от скорости соединения и количества файлов).
• Выполните оптимизацию параметров задачи проверки по требованию перед запуском.

Настройка задачи Защита от файловых угроз

Если после выполнения анализа работы задачи Защита от файловых угроз вы сформировали список директорий и файлов, которые можно исключить из проверки задачи, вам нужно добавить их в исключения.

Исключения из проверки

Чтобы исключить директорию /tmp/logs и все поддиректории и файлы рекурсивно, выполните следующую команду:

kess-control --set-settings 1 --add-exclusion /tmp/logs

Чтобы исключить конкретный файл или файлы по маске в директории /tmp/logs, выполните следующую команду:

kess-control --set-settings 1 --add-exclusion /tmp/logs/*.log

Чтобы исключить по рекурсивной маске все файлы с расширением .log в директории /tmp/ и поддиректориях, выполните следующую команду:

kess-control --set-settings 1 --add-exclusion /tmp/**/*.log

Исключения из перехвата

Если вы хотите исключить файлы определенной директории не только из проверки, но и из перехвата, вы можете исключить точку монтирования целиком.

Чтобы исключить точку монтирования целиком:

1. Если директория не является точкой монтирования, нужно создать из нее точку монтирования. Например, чтобы создать точку монтирования из директории /tmp, выполнив следующую команду:

   mount --bind /tmp/ /tmp

2. Чтобы точка монтирования сохранилась после перезагрузки сервера, добавьте в файл /etc/fstab следующую строку:

   /tmp /tmp none defaults,bind 0 0

3. Добавьте директорию /tmp в глобальные исключения, выполнив следующую команду:

   kess-control --set-app-settings ExcludedMountPoint.item_0000=/tmp

4. Если требуется добавить несколько директорий, увеличивайте счетчик item_0000 на единицу (item_0001, item_0002 и так далее).

Исключать точки монтирования также рекомендуется, если это примонтированный удаленный ресурс с нестабильным или медленным соединением.

Изменение типа проверки

По умолчанию задача Защита от файловых угроз может проверять файлы при открытии и закрытии. Если в ходе анализа работы задачи Защита от файловых угроз было выявлено слишком много записываемых файлов, вы можете перевести задачу в режим работы только при открытии файлов, выполнив следующую команду:

kess-control --set-set 1 ScanByAccessType=Open

При таком режиме работы изменения, внесенные в файл после открытия, не будут проверяться до следующего обращения к файлу.

Настройка задачи проверки по требованию

Настройка задач проверки по требованию с типами ODS и ContainerScan выполняется аналогично настройке исключений из проверки для задачи Защита от файловых угроз, но для задач проверки по требованию с типами ODS и ContainerScan неприменима настройка исключения точек монтирования.

Параметры исключений из проверки для одной задачи проверки не действуют на другие задачи проверки. Для каждой задачи проверки требуется настроить свои исключения.

Настройка приоритета

Для задач проверки по требованию предусмотрен параметр ScanPriority, с помощью которого можно указать, как приложение распределяет ресурсы системы для запущенных задач.

Доступные значения:

• Idle – не более 10% загрузки одного процессора (вне зависимости от того, занят он или нет).
• Normal – 50% загрузки всех доступных процессоров.
• High – без ограничений.

Ограничение по загрузке процессоров также снижает потребление ресурсов ввода-вывода дисковой подсистемы.

Чтобы установить для задачи приоритет выполнения Idle, выполните следующую команду:

kess-control --set-settings <ID задачи> ScanPriority=Idle

Ограничение использования памяти для распаковки архивов

Задача проверки по требованию при рекурсивной проверке во время проверки архивов будет распаковывать их, используя оперативную память. По умолчанию приложение имеет ограничение в 40% от всей доступной оперативной памяти, но не менее 2 ГБ. Поэтому если система имеет более 5 ГБ оперативной памяти, можно установить ограничение на использование памяти вручную. Это особенно актуально для серверов, имеющих сотни гигабайт оперативной памяти.

Чтобы указать ограничение на использование памяти при проверке:

1. Остановите Kaspersky Embedded Systems Security.
2. Откройте файл /var/opt/kaspersky/kess/common/kess.ini на редактирование.
3. Добавьте параметр ScanMemoryLimit с нужным значением (например, 8192) в секцию [General]:

   ScanMemoryLimit=8192

4. Запустите Kaspersky Embedded Systems Security.

Параметр ScanMemoryLimit ограничивает не общее количество памяти, которое использует приложение, а количество памяти, которое используется при проверке файлов, то есть общее количество памяти может быть больше значения, заданного этим параметром.

Приложение 2. Конфигурационные файлы приложения

В приложении предусмотрены конфигурационные файлы, содержащие параметры приложения, заданные при установке приложения, а также конфигурационные файлы, содержащие параметры по умолчанию для задач приложения.

Вы можете редактировать значения параметров конфигурационных файлов приложения из командной строки.

Конфигурационные файлы параметров приложения

После первоначальной настройки в приложении создаются следующие конфигурационные файлы:

• /var/opt/kaspersky/kess/common/agreements.ini

  Конфигурационный файл agreements.ini содержит параметры, связанные с Лицензионным соглашением, Политикой конфиденциальности и Положением о Kaspersky Security Network.

• /var/opt/kaspersky/kess/common/kess.ini

  Конфигурационный файл kess.ini содержит параметры, приведенные в таблице ниже.

Если требуется, вы можете изменять значения параметров в этих файлах.

Изменять значения по умолчанию в этих файлах рекомендуется под руководством специалистов Службы технической поддержки по полученным от них инструкциям.

Параметры конфигурационного файла kess.ini

Правила редактирования конфигурационных файлов задач приложения

При редактировании конфигурационного файла соблюдайте следующие правила:

• В конфигурационном файле укажите все обязательные параметры. Отдельные параметры задачи можно указать без файла, с помощью командной строки.
• Если параметр принадлежит к какой-либо секции, укажите его только в этой секции. В пределах одной секции вы можете указывать параметры в любом порядке.
• Заключайте имена секций в квадратные скобки [ ].
• Вводите значения параметров в формате <имя параметра>=<значение параметра> (пробелы между именем параметра и его значением не обрабатываются).

  Пример: [ScanScope.item_0000] AreaDesc=Home AreaMask.item_0000=*doc Path=/home

  Символы "пробел" и "табуляция" игнорируются перед первой кавычкой и после последней кавычки строкового значения, а также в начале и в конце строкового значения, не заключенного в кавычки.

• Если вам нужно указать несколько значений параметра, повторите параметр столько раз, сколько значений вы хотите указать.

  Пример: AreaMask.item_0000=*xml AreaMask.item_0001=*doc

• Соблюдайте регистр при вводе значений параметров следующих типов:
  • имена (маски) проверяемых объектов и объектов исключения;
  • названия (маски) угроз.

  При вводе остальных значений параметров соблюдать регистр не требуется.

• Указывайте значения параметров булевского типа следующим образом: Yes / No.
• Заключайте в кавычки строковые значения, содержащие символ "пробел" (например, имена файлов и директорий, пути к ним; выражения, содержащие дату и время в формате "ГГГГ-MM-ДД ЧЧ:MM:CC").

  Остальные значения вы можете вводить как в кавычках, так и без них.

  Пример: AreaDesc="Проверка почтовых баз"

  Одиночная кавычка в начале или в конце строки считается ошибкой.

Конфигурационный файл задачи Защита от файловых угроз

ScanArchived=No

ScanSfxArchived=No

ScanMailBases=No

ScanPlainMail=No

SkipPlainTextFiles=No

TimeLimit=60

SizeLimit=0

FirstAction=Recommended

SecondAction=Block

UseExcludeMasks=No

UseExcludeThreats=No

ReportCleanObjects=No

ReportPackedObjects=No

ReportUnprocessedObjects=No

UseAnalyzer=Yes

HeuristicLevel=Recommended

UseIChecker=Yes

ScanByAccessType=SmartCheck

[ScanScope.item_0000]

AreaDesc=All objects

UseScanArea=Yes

Path=/

AreaMask.item_0000=*

Конфигурационный файл задачи Поиск вредоносного ПО

ScanFiles=Yes

ScanBootSectors=Yes

ScanComputerMemory=Yes

ScanStartupObjects=Yes

ScanArchived=Yes

ScanSfxArchived=Yes

ScanMailBases=No

ScanPlainMail=No

TimeLimit=0

SizeLimit=0

FirstAction=Recommended

SecondAction=Skip

UseExcludeMasks=No

UseExcludeThreats=No

ReportCleanObjects=No

ReportPackedObjects=No

ReportUnprocessedObjects=No

UseAnalyzer=Yes

HeuristicLevel=Recommended

UseIChecker=Yes

ScanPriority=Normal

DeviceNameMasks.item_0000=/**

[ScanScope.item_0000]

AreaDesc=All objects

UseScanArea=Yes

Path=/

AreaMask.item_0000=*

Конфигурационный файл задачи Выборочная проверка

ScanFiles=Yes

ScanBootSectors=No

ScanComputerMemory=No

ScanStartupObjects=No

ScanArchived=Yes

ScanSfxArchived=Yes

ScanMailBases=No

ScanPlainMail=No

TimeLimit=0

SizeLimit=0

FirstAction=Recommended

SecondAction=Skip

UseExcludeMasks=No

UseExcludeThreats=No

ReportCleanObjects=No

ReportPackedObjects=No

ReportUnprocessedObjects=No

UseAnalyzer=Yes

HeuristicLevel=Recommended

UseIChecker=Yes

ScanPriority=High

DeviceNameMasks.item_0000=/**

[ScanScope.item_0000]

AreaDesc=All objects

UseScanArea=Yes

Path=/

AreaMask.item_0000=*

Конфигурационный файл задачи Проверка важных областей

ScanFiles=No

ScanBootSectors=Yes

ScanComputerMemory=Yes

ScanStartupObjects=Yes

ScanArchived=Yes

ScanSfxArchived=Yes

ScanMailBases=No

ScanPlainMail=No

TimeLimit=0

SizeLimit=0

FirstAction=Recommended

SecondAction=Skip

UseExcludeMasks=No

UseExcludeThreats=No

ReportCleanObjects=No

ReportPackedObjects=No

ReportUnprocessedObjects=No

UseAnalyzer=Yes

HeuristicLevel=Recommended

UseIChecker=Yes

ScanPriority=Normal

DeviceNameMasks.item_0000=/**

[ScanScope.item_0000]

AreaDesc=All objects

UseScanArea=Yes

Path=/

AreaMask.item_0000=*

Конфигурационный файл задачи Обновление

SourceType="KLServers"

UseKLServersWhenUnavailable=Yes

ApplicationUpdateMode=DownloadOnly

ConnectionTimeout=10

Конфигурационный файл задачи Управление Хранилищем

DaysToLive=90

BackupSizeLimit=0

BackupFolder=/var/opt/kaspersky/kess/common/objects-backup/

Конфигурационный файл задачи Контроль целостности системы

UseExcludeMasks=No

[ScanScope.item_0000]

AreaDesc=Kaspersky internal objects

UseScanArea=Yes

Path=/opt/kaspersky/kess/

AreaMask.item_0000=*

Конфигурационный файл задачи Управление сетевым экраном

DefaultIncomingAction=Allow

DefaultIncomingPacketAction=Allow

OpenNagentPorts=Yes

[NetworkZonesTrusted]

[NetworkZonesLocal]

[NetworkZonesPublic]

Конфигурационный файл задачи Защита от шифрования

UseHostBlocker=Yes

BlockTime=30

UseExcludeMasks=No

[ScanScope.item_0000]

AreaDesc=All shared directories

UseScanArea=Yes

Path=AllShared

AreaMask.item_0000=*

Конфигурационный файл задачи Защита от веб-угроз

UseTrustedAddresses=Yes

ActionOnDetect=Block

CheckMalicious=Yes

CheckPhishing=Yes

UseHeuristicForPhishing=Yes

CheckAdware=No

CheckOther=No

Конфигурационный файл задачи Контроль устройств

RulesAction=ApplyRules

[DeviceClass]

HardDrive=DependsOnBus

RemovableDrive=DependsOnBus

Printer=DependsOnBus

FloppyDrive=DependsOnBus

OpticalDrive=DependsOnBus

Modem=DependsOnBus

TapeDrive=DependsOnBus

MultifuncDevice=DependsOnBus

SmartCardReader=DependsOnBus

PortableDevice=DependsOnBus

WiFiAdapter=DependsOnBus

NetworkAdapter=DependsOnBus

BluetoothDevice=DependsOnBus

ImagingDevice=DependsOnBus

SerialPortDevice=DependsOnBus

ParallelPortDevice=DependsOnBus

InputDevice=DependsOnBus

SoundAdapter=DependsOnBus

[DeviceBus]

USB=Allow

FireWire=Allow

[Schedules.item_0000]

ScheduleName=Default

DaysHours=All

[HardDrivePrincipals.item_0000]

Principal=\Everyone

[HardDrivePrincipals.item_0000.AccessRules.item_0000]

UseRule=Yes

ScheduleName=Default

Access=Allow

[RemovableDrivePrincipals.item_0000]

Principal=\Everyone

[RemovableDrivePrincipals.item_0000.AccessRules.item_0000]

UseRule=Yes

ScheduleName=Default

Access=Allow

[FloppyDrivePrincipals.item_0000]

Principal=\Everyone

[FloppyDrivePrincipals.item_0000.AccessRules.item_0000]

UseRule=Yes

ScheduleName=Default

Access=Allow

[OpticalDrivePrincipals.item_0000]

Principal=\Everyone

[OpticalDrivePrincipals.item_0000.AccessRules.item_0000]

UseRule=Yes

ScheduleName=Default

Access=Allow

Конфигурационный файл задачи Проверка съемных дисков

ScanRemovableDrives=NoScan

ScanOpticalDrives=NoScan

BlockDuringScan=No

Конфигурационный файл задачи Защита от сетевых угроз

ActionOnDetect=Block

BlockAttackingHosts=Yes

BlockDurationMinutes=60

UseExcludeIPs=No

Конфигурационный файл задачи Проверка контейнеров

ScanArchived=Yes

ScanSfxArchived=Yes

ScanMailBases=No

ScanPlainMail=No

TimeLimit=0

SizeLimit=0

FirstAction=Recommended

SecondAction=Skip

UseExcludeMasks=No

UseExcludeThreats=No

ReportCleanObjects=No

ReportPackedObjects=No

ReportUnprocessedObjects=No

UseAnalyzer=Yes

HeuristicLevel=Recommended

UseIChecker=Yes

ScanContainers=Yes

ContainerNameMask=*

ScanImages=Yes

ImageNameMask=*

DeepScan=No

ScanPriority=Normal

ContainerScanAction=StopContainerIfFailed

ImageAction=Skip

Вы можете использовать параметры этого конфигурационного файла также для задачи Выборочная проверка контейнеров, за исключением параметра ScanPriority=Normal. Для задачи Выборочная проверка значение параметра ScanPriority=High.

Конфигурационный файл задачи Анализ поведения

UseTrustedPrograms=No

TaskMode=Block

Конфигурационный файл задачи Контроль приложений

AppControlMode=DenyList

AppControlRulesAction=ApplyRules

Конфигурационный файл задачи Инвентаризация

ScanScripts=Yes

ScanBinaries=Yes

ScanAllExecutable=Yes

ScanPriority=Normal

CreateGoldenImage=No

[ScanScope.item_0000]

AreaDesc=All objects

UseScanArea=Yes

Path=/usr/bin

AreaMask.item_0000=*

Приложение 3. Коды возврата командной строки

В приложении Kaspersky Embedded Systems Security предусмотрены следующие коды возврата командной строки:

0 – команда / задача выполнена успешно;

1 – общая ошибка в аргументах команды;

2 – ошибка в переданных параметрах приложения;

64 – приложение Kaspersky Embedded Systems Security не запущено;

66 – базы приложения не загружены (используется только командой kess-control --app-info);

67 – активация 2.0 завершилась с ошибкой из-за сетевых проблем;

68 – выполнение команды невозможно, так как приложение работает под политикой;

69 – приложение находится в инфраструктуре Amazon Paid Ami;

70 – попытка запуска уже запущенной задачи, удаления запущенной задачи, изменения параметров запущенной задачи, остановки остановленной задачи, приостановки приостановленной задачи или возобновления выполняющейся задачи;

71 – не приняты условия Положения о Kaspersky Security Network;

72 – при выполнении задачи Выборочная проверка или Выборочная проверка контейнеров обнаружены угрозы;

73 – попытка задать параметры задачи Контроль приложений, влияющие на работу приложения, без их подтверждения с помощью флага --accept.

74 – требуется перезапуск приложения Kaspersky Embedded Systems Security после обновления;

75 – требуется перезагрузка устройства;

76 – соединение запрещено, так как только пользователи с правами root должны иметь права на запись по указанному пути;

77 – указанный лицензионный ключ уже используется на устройстве;

128 – неизвестная ошибка;

65 – все остальные ошибки.