IOCSCAN。掃描查找洩露指示器 (IOC)

執行掃描查找洩露指示器 (IOC) 工作。洩露指示器 (IOC)是一個物件或者活動的資料集合，表明對電腦的未經授權存取（資料洩露）。例如，許多登入系統的不成功嘗試可以構成一個洩露指示器。“IOC 掃描”工作可發現電腦上的洩露指示器並採取威脅回應措施。

指令語法

IOC 檔案

<IOC 檔案路徑>

您想要用於掃描的 IOC 檔案的完整路徑。您可以指定多個 IOC 檔案，之間由空格分開。輸入 IOC 檔案的完整路徑時不得有 /path 引數。

例如，C:\Users\Admin\Desktop\IOC\file1.ioc

/path=<包含 IOC 檔案的資料夾路徑>

您想要用於掃描的包含 IOC 檔案的資料夾路徑。IOC 檔案是包含應用程式試圖匹配以計數偵測的指示器集合的檔案。IOC 檔案必須符合 OpenIOC 標準。

例如，C:\Users\Admin\Desktop\IOC

用於 IOC 掃描的資料類型
`/process=on\|off`	執行 IOC 掃描時分析處理程序資料（ProcessItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 執行掃描時不分析在電腦上執行的處理程序。如果 IOC 檔案包含 ProcessItem IOC 文件的 IOC 字詞，他們會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ProcessItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析處理程序資料。
`/hint=<處理程序的可執行檔完整路徑\|檔案完整路徑>`	執行 IOC 掃描時分析檔案資料（ProcessItem 和 FileItem 字詞）。您可以採用以下方式之一選擇檔案： `<處理程序的可執行檔完整路徑>` – ProcessItem； `<檔案完整路徑>` – FileItem。
`/registry=on\|off`	執行 IOC 掃描時分析 Windows 登錄檔資料（RegistryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 Windows 登錄檔。如果 IOC 檔案包含 RegistryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 RegistryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 登錄檔資料。對於 RegistryItem 資料類型，Kaspersky Endpoint Security 會掃描一個登錄機碼集合。
`/dnsentry=on\|off`	執行 IOC 掃描時分析本機 DNS 快取中的記錄相關資料（DnsEntryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描本機 DNS 快取。如果 IOC 檔案包含 DnsEntryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 DnsEntryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析本機 DNS 快取。
`/arpentry=on\|off`	執行 IOC 掃描時分析本機 ARP 表格中的記錄相關資料（ArpEntryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 ARP 表格。如果 IOC 檔案包含 ArpEntryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ArpEntryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 ARP 表格。
`/ports=on\|off`	執行 IOC 掃描時分析開啟用來監聽的連接埠相關資料（PortItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描裝置上的活動連線表格。如果 IOC 檔案包含 PortItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 PortItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析活動連線表格。
`/services=on\|off`	執行 IOC 掃描時分析安裝在裝置上的服務相關資料（ServiceItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描安裝在裝置上的服務相關資料。如果 IOC 檔案包含 ServiceItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ServiceItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析服務資料。
`/system=on\|off`	執行 IOC 掃描時分析環境資料（SystemInfoItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析環境資料。如果 IOC 檔案包含 SystemInfoItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 SystemInfoItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析環境資料。
`/users=on\|off`	執行 IOC 掃描時分析使用者相關資料（UserItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析在系統中建立的使用者相關資料。如果 IOC 檔案包含 UserItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 UserItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析在系統中建立的使用者相關資料。
`/volumes=on\|off`	執行 IOC 掃描時分析磁碟區相關資料（VolumeItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描裝置上的磁碟區相關資料。如果 IOC 檔案包含 VolumeItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 VolumeItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析磁碟區資料。
`/eventlog=on\|off`	執行 IOC 掃描時分析 Windows 事件日誌中的記錄相關資料（EventLogItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 Windows 事件日誌中的記錄。如果 IOC 檔案包含 EventLogItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 EventLogItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 事件日誌。
`/datetime=<事件發佈日期>`	當確定相應 IOC 文件的 IOC 掃描範圍時，請考慮事件在 Windows 事件日誌中發佈的日期。當執行 IOC 掃描時，Kaspersky Endpoint Security 會掃描從指定時間和日期到執行工作時這段期間內發佈的 Windows 事件日誌。 Kaspersky Endpoint Security 允許將事件發佈日期指定為引數值。僅對指定日期後和執行掃描前在 Windows 事件日誌中發佈的事件進行掃描。如果未指定引數，Kaspersky Endpoint Security 會掃描具有任何發佈日期的事件。TaskSettings::BaseSettings::EventLogItem::datetime 設定不可編輯。設定只有當 EventLogItem IOC 文件在供掃描的 IOC 檔案中得到說明時才使用。
`/channel=<通道清單>`	您想要為其進行 IOC 掃描的通道清單 (log) 名稱。如果指定了引數，Kaspersky Endpoint Security 會掃描發佈在指定日誌中的記錄。IOC 文件必須說明 EventLogItem 字詞。日誌名稱被根據日誌內容（完整名稱參數）或者事件內容（事件的 xml 架構中的 <Channel></Channel> 參數）中指定的日誌名稱（通道）指定為字串。您可以指定多個通道，之間由空格分開。如果未指定引數，則 Kaspersky Endpoint Security 會掃描通道 `Application`、`System`、`Security` 的記錄。
`/files=on\|off`	執行 IOC 掃描時分析檔案資料（FileItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析檔案資料。如果 IOC 檔案包含 FileItem IOC 文件字詞，則他們會被忽略（偵測為不匹配）。如果未指定引數，則僅當 FileItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析檔案資料。
`/drives=<all\|system\|critical\|custom>`	設定分析 FileItem IOC 文件的資料時的 IOC 掃描範圍。您可以為掃描範圍設定以下值： `<all>`，對於所有可用的檔案範圍。 `<system>`，對於安裝了作業系統的資料夾中的檔案。 `<critical>`，對於使用者和系統資料夾中的臨時檔案。 `<custom>`，對於使用者定義的範圍中的檔案（`/scope=<要掃描的資料夾清單>`）。如果未指定引數，則為關鍵領域進行掃描。
`/excludes=<排除項目清單>`	設定分析 FileItem IOC 文件的資料時的排除範圍。您可以指定多個路徑，之間由空格分開。
`/scope=<要掃描的資料夾清單>`	分析 FileItem IOC 文件的資料時的使用者定義 IOC 掃描範圍 (`/drives=custom`)。您可以指定多個路徑，之間由空格分開。

指令返回值：

-1 意味著指令不受安裝在電腦上的應用程式版本支援。
0 意味著指令已成功執行。
1 意味著強制引數沒有傳遞給指令。
2 意味著發生了一般錯誤。
4 意味著有語法錯誤。

如果指令得到成功執行（返回值0）且順便偵測到了洩露指示器，Kaspersky Endpoint Security 會將以下工作結果資訊輸出到指令行：

`Uuid`	來自 IOC 檔案結構標頭的 IOC 檔案 ID（`<ioc id="">`標籤）
`名稱`	來自 IOC 檔案結構標頭的 IOC 檔案說明（`<description></description>`標籤）
`匹配的指示器字詞`	所有匹配指示器的 ID 清單。
`匹配的物件`	對其具有匹配的每個 IOC 文件的資料。

頁面頂部

用於 IOC 掃描的資料類型
`/process=on\|off`	執行 IOC 掃描時分析處理程序資料（ProcessItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 執行掃描時不分析在電腦上執行的處理程序。如果 IOC 檔案包含 ProcessItem IOC 文件的 IOC 字詞，他們會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ProcessItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析處理程序資料。
`/hint=<處理程序的可執行檔完整路徑\|檔案完整路徑>`	執行 IOC 掃描時分析檔案資料（ProcessItem 和 FileItem 字詞）。您可以採用以下方式之一選擇檔案： `<處理程序的可執行檔完整路徑>` – ProcessItem； `<檔案完整路徑>` – FileItem。
`/registry=on\|off`	執行 IOC 掃描時分析 Windows 登錄檔資料（RegistryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 Windows 登錄檔。如果 IOC 檔案包含 RegistryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 RegistryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 登錄檔資料。對於 RegistryItem 資料類型，Kaspersky Endpoint Security 會掃描一個登錄機碼集合。
`/dnsentry=on\|off`	執行 IOC 掃描時分析本機 DNS 快取中的記錄相關資料（DnsEntryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描本機 DNS 快取。如果 IOC 檔案包含 DnsEntryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 DnsEntryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析本機 DNS 快取。
`/arpentry=on\|off`	執行 IOC 掃描時分析本機 ARP 表格中的記錄相關資料（ArpEntryItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 ARP 表格。如果 IOC 檔案包含 ArpEntryItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ArpEntryItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 ARP 表格。
`/ports=on\|off`	執行 IOC 掃描時分析開啟用來監聽的連接埠相關資料（PortItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描裝置上的活動連線表格。如果 IOC 檔案包含 PortItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 PortItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析活動連線表格。
`/services=on\|off`	執行 IOC 掃描時分析安裝在裝置上的服務相關資料（ServiceItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描安裝在裝置上的服務相關資料。如果 IOC 檔案包含 ServiceItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 ServiceItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析服務資料。
`/system=on\|off`	執行 IOC 掃描時分析環境資料（SystemInfoItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析環境資料。如果 IOC 檔案包含 SystemInfoItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 SystemInfoItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析環境資料。
`/users=on\|off`	執行 IOC 掃描時分析使用者相關資料（UserItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析在系統中建立的使用者相關資料。如果 IOC 檔案包含 UserItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 UserItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析在系統中建立的使用者相關資料。
`/volumes=on\|off`	執行 IOC 掃描時分析磁碟區相關資料（VolumeItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描裝置上的磁碟區相關資料。如果 IOC 檔案包含 VolumeItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 VolumeItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析磁碟區資料。
`/eventlog=on\|off`	執行 IOC 掃描時分析 Windows 事件日誌中的記錄相關資料（EventLogItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不掃描 Windows 事件日誌中的記錄。如果 IOC 檔案包含 EventLogItem IOC 文件字詞，字詞會被忽略（偵測為不匹配）。如果未指定引數，則僅當 EventLogItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析 Windows 事件日誌。
`/datetime=<事件發佈日期>`	當確定相應 IOC 文件的 IOC 掃描範圍時，請考慮事件在 Windows 事件日誌中發佈的日期。當執行 IOC 掃描時，Kaspersky Endpoint Security 會掃描從指定時間和日期到執行工作時這段期間內發佈的 Windows 事件日誌。 Kaspersky Endpoint Security 允許將事件發佈日期指定為引數值。僅對指定日期後和執行掃描前在 Windows 事件日誌中發佈的事件進行掃描。如果未指定引數，Kaspersky Endpoint Security 會掃描具有任何發佈日期的事件。TaskSettings::BaseSettings::EventLogItem::datetime 設定不可編輯。設定只有當 EventLogItem IOC 文件在供掃描的 IOC 檔案中得到說明時才使用。
`/channel=<通道清單>`	您想要為其進行 IOC 掃描的通道清單 (log) 名稱。如果指定了引數，Kaspersky Endpoint Security 會掃描發佈在指定日誌中的記錄。IOC 文件必須說明 EventLogItem 字詞。日誌名稱被根據日誌內容（完整名稱參數）或者事件內容（事件的 xml 架構中的 <Channel></Channel> 參數）中指定的日誌名稱（通道）指定為字串。您可以指定多個通道，之間由空格分開。如果未指定引數，則 Kaspersky Endpoint Security 會掃描通道 `Application`、`System`、`Security` 的記錄。
`/files=on\|off`	執行 IOC 掃描時分析檔案資料（FileItem 字詞）。如果引數值為 `off`，則 Kaspersky Endpoint Security 不分析檔案資料。如果 IOC 檔案包含 FileItem IOC 文件字詞，則他們會被忽略（偵測為不匹配）。如果未指定引數，則僅當 FileItem IOC 文件在供掃描的 IOC 檔案中得到說明時，Kaspersky Endpoint Security 才分析檔案資料。
`/drives=<all\|system\|critical\|custom>`	設定分析 FileItem IOC 文件的資料時的 IOC 掃描範圍。您可以為掃描範圍設定以下值： `<all>`，對於所有可用的檔案範圍。 `<system>`，對於安裝了作業系統的資料夾中的檔案。 `<critical>`，對於使用者和系統資料夾中的臨時檔案。 `<custom>`，對於使用者定義的範圍中的檔案（`/scope=<要掃描的資料夾清單>`）。如果未指定引數，則為關鍵領域進行掃描。
`/excludes=<排除項目清單>`	設定分析 FileItem IOC 文件的資料時的排除範圍。您可以指定多個路徑，之間由空格分開。
`/scope=<要掃描的資料夾清單>`	分析 FileItem IOC 文件的資料時的使用者定義 IOC 掃描範圍 (`/drives=custom`)。您可以指定多個路徑，之間由空格分開。