墨池－McAfee880P1－卧龙规则 + 文字版（1楼 更新规则为正式版）

墨池

        本想发布咖啡豆规则第三版，但在搞规则过程中，越做越强，二者都已经各自独立达到了高安全以及易用、流畅的目的，不再需要相互弥补与配合。所以，本次只独立发布咖啡规则，毛豆规则准备视情况发到毛豆区。
    个人知识能力有限，不足与不当之处，敬请批评指正！
                                                                        墨池顿首

一、规则思路：
（一）默认规则：
1、部分规则进行改造，以便达到更好的防护效果；
2、精心排除，官方默认未排除的系统进程不排除。

（二）自定义规则
1、假设本机有病毒；
2、封锁系统、软件以外的所有区域可执行文件没有任何行为；
3、严格管制信任区系统与应用软件进程的所有行为，未排除的什么也干不了；
4、严格保护信任区系统与应用软件目录，未排除的什么也修改不了；
5、封锁所有危险目录中的exe、com、cpl文件，咖啡防不了病毒木马的封死了；
6、严格限制绿色软件，将它们的权限降到最低，对系统和应用软件没有任何伤害，但能够正常使用；
7、封锁所有可执行文件的入口，包括网络与USB设备，保证本机不会感染新的病毒。

二、规则亮点
1、带毒不爆发；
2、所有都能防；
3、入口已封死；
4、测试得高分。

三、几点说明：

（一）搭配建议
1、McAfee8.80P1＋COMODO纯墙＋金山网盾＋IE浏览器（COMODO墙与D+默认规则也行，曾经Win7下使用）
2、McAfee8.80P1＋系统墙＋金山卫士＋Google Chrome浏览器＋sandboxie沙盘（个人上网本的组合）
3、McAfee8.80P1＋咖啡HIP8.0＋金山网盾＋IE浏览器（个人Windows 2008 R2下使用）
    说明：个人为何总是给咖啡搭配金山，主要是为了利用金山的云，进行下载保护，弥补咖啡查杀率低的不足，也是入口防御的一部分。
    以上组合规则已经做好排除，完美支持，触红可以不用排除。

（二）排除
1、排除原则：
（1）默认规则官方默认没有排除的不轻易排除；
（2）几个列表一定要整理精确：信任区列表、系统进程列表、软件进程列表。其它列表不用动了；
（3）为了安全保障，只排除影响使用的已知的安全的进程，其它的不排除或谨慎排除，切忌见红就排；
（4）端口规则外，其它规则尽量采用绝对路径（如C:\Program Files\Internet Explorer\iexplore.exe）或相对路径（如*\Program Files*\Internet Explorer\iexplore.exe）排除。
（5）文字版中排除栏为“无”的，一定不要排除，影响使用时可以临时关闭规则。
（6）有的软件不排除不影响使用，不排除，老触红，把“报告”关闭即可。整体排除好了，所有报告都可以关了。
2、排除技巧：
    自定义规则较多，按规则类型做了排序，默认自定义规则排序是乱的，排除时是可以调整顺序的：
  原始是乱的：

  点击一次为顺序：


  再点击一次为倒序：


这样就很方便快速找到相应规则打开排除了。

3、标有“某某列表”的，同类排除内容相同，需要排除的需要到相应规则中都排除，一次复制，多次粘贴，而且我把它们编排到了相邻位置，很是方便。

（三）测试
1、使用本规则，CLT工具只能放在“工具”文件夹中才能运行，其它任何位置不能运行（除非你不怕麻烦去很多规则中排除），所以病毒也是无法运行的；
2、本规则CLT工具放在“工具”文件夹中测试得分230分，这已经很高了。经过个人测试，在CLT工具已经启动的情况下，开启咖啡最严厉的规则（不先启动，开启稍微严厉的规则，工具都无法运行，没有意义），可以得250分，得不了340分，因为咖啡软件本身没提供内存注入、物理内存、物理磁盘、COM接口等防护，是不完整的HIPS。个人姑且认为，咖啡的CLT测试满分为250分。
3、工具测试只代表规则具备一定的防护能力，高分不代表防毒能力强，低分不代表防毒能力弱。所以有的软件测试默认规则得分很高，还是有中毒现象，而咖啡默认得分很低，中毒几率却很低。咖啡是HIPS的鼻祖，我们完全可以相信它的简洁、实用与成熟。
4、本人不玩儿样本测试，也不建议使用本规则的朋友搞样本测试。如果你实在经不住好奇，要玩的话，建议在虚拟机中玩儿，可以分别放在非信任区和“工具”文件夹中进行测试。非信任区测试样本符合实机应用，“工具”文件夹中测试样本只是娱乐。

（四）兼容
1、本规则在XP下设置、导出，加入了Win7、2008R2系统32、64位进程排除，但没有导入其它机器和系统测试，根据经验，应该没有问题，实机少量排除一下即可；
2、本规则包含本人日常使用的软件，实机需要一些调整。具体软件详见规则文字版；3、本规则在McAfee8.8 P1设置，不适合直接导入旧版。

（五）更新与安装
1、系统更新：支持检测，不完全支持下载，不支持安装；
2、软件更新：不支持，需要请手动下载，临时关闭规则手动安装。
3、软件卸载与安装：不支持。需要请临时关闭规则，并自行注意安装文件的安全性。

（六）流畅
    本规则在上网本下非常流畅，相信老爷机上可以使用，其它配置的电脑自不用说：健步如飞！

四、免责声明：
        本规则为McAfee爱好者个人作品，分享只是为了交流学习。任何单位和个人直接导入本注册表规则或参照规则文字版设置规则，在使用过程中出现任何问题与一切损失，本人概不负责。

五、产权声明：
        本规则思想为本人所有，具体规则一部分学习并借鉴了“卡饭论坛”McAfee区规则、HIPS区规则的部分成果，不一一列出，在这里一并表示感谢！但本规则大多数为本人原创，任何形式的转载、引用本规则，请注明作者与出处！
                                                                 墨池
                                                           2012年4月13日

六、规则分享

32位：
        
64位：
        


2012.5.18 更新规则为正式版
32位：
        
64位：
        
正式版规则文字版：
        
------------------------------------------------------------
    说明：规则微调，由于时间紧张，不能详细说明更新内容，见谅！请下载文字版详细阅读以后再决定是否更新。
    非常重要：测试硬盘炸弹和cpl样本，请把样本放到“病毒样本”文件夹中进行，其它无所谓。不建议实机及没有经验者测试病毒。
    提示：如果你的系统与软件目录与本规则不同，切记不要直接导入规则。   
    其它：网友要求的纯净版、精简版这次没时间做了，留待下次，先谢谢理解！

七、规则文字版（新手请认真看懂）：见2楼、3楼

墨池

墨池-McAfee880P1卧龙规则-文字版

>>>>>>>================默认规则------------------>

《防间谍程序标准保护》

规则名称：保护Internet Explorer收藏夹和设置（不用添加新的排除）
要包含的进程：*
要排除的进程：*\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\Common Files\McAfee\SystemCore\csscan.exe, *\Program Files*\Common Files\McAfee\SystemCore\dainstall.exe, *\Program Files*\Common Files\McAfee\SystemCore\mcshield.exe, *\Program Files*\COMODO\COMODO Internet Security\cmdagent.exe, *\Program Files*\Google\Chrome\Application\chrome.exe, *\Program Files*\Google\Update\GoogleUpdate.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\program files*\ksafe\KSafeSvc.exe, *\program files*\ksafe\KSafeTray.exe, *\Program Files*\McAfee\Common Framework\McTray.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcadmin.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcconsol.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcupdate.exe, *\Program Files*\McAfee\VirusScan Enterprise\restartVSE.exe, *\Program Files*\McAfee\VirusScan Enterprise\scan32.exe, *\Program Files*\McAfee\VirusScan Enterprise\scncfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shcfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shstat.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\x64\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\vstskmgr.exe, *\Program Files*\McAfee\VirusScan Enterprise\x64\scan64.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\explorer.exe, C:\Windows\system32\rundll32.exe, C:\Windows\SysWOW64\rundll32.exe

《防间谍程序最大保护》

规则名称：禁止安装新的 CLSID、APPID 和 TYPELIB
要包含的进程：*
要排除的进程：*\Program Files*\HYDCGB.V20\HYDCV20.EXE, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\Program Files*\Kingsoft\webshield\kwsupd.exe, *\program files*\ksafe\KSafeSvc.exe

规则名称：禁止所有程序从 Temp 文件夹运行文件（不用添加新的排除）
要包含的进程：*
要排除的进程：*\Program Files*\COMODO\COMODO Internet Security\cfp.exe, *\Program Files*\McAfee\Common Framework\McScanCheck.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe, C:\Windows\Microsoft.NET\Framework64\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\mscorsvw.exe

规则名称：禁止从 Temp 文件夹执行脚本
要包含的进程：?script.exe
要排除的进程：无

《防病毒标准保护》

规则名称：禁止禁用注册表编辑器和任务管理器（不用添加新的排除）
要包含的进程：*
要排除的进程：C:\Windows\system32\mmc.exe

规则名称：禁止更改用户权限策略（不用添加新的排除）
要包含的进程：*
要排除的进程：C:\Windows\system32\mmc.exe, C:\Windows\system32\services.exe, McAfeeHIP_Clie*

规则名称：禁止远程创建/修改可执行文件和配置文件（改造成了入口防御规则）
要包含的进程：C+WClient.exe, chrome.exe, firefox.exe, iexplore.exe, opera.exe, QQ.exe, safari.exe, system:remote, theworld.exe
要排除的进程：无

规则名称：禁止远程创建自动运行文件
要包含的进程：*
要排除的进程：无

规则名称：禁止拦截 .EXE 和其他可执行文件扩展名（不用添加新的排除）
要包含的进程：*
要排除的进程：*\program files*\ksafe\cp1\KSafeSvc.exe, McAfeeHIP_Clie*

规则名称：禁止伪装 Windows 进程（不用添加新的排除）
要包含的进程：*
要排除的进程：*\program files*\ksafe\KSafeSvc.exe

规则名称：禁止群发邮件蠕虫发送邮件
要包含的进程：*
要排除的进程：无

规则名称：禁止 IRC 通信
要包含的进程：*
要排除的进程：无

规则名称：禁止使用 tftp.exe
要包含的进程：*
要排除的进程：无

《防病毒最大保护》

规则名称：禁止 Svchost 执行非 Windows 可执行文件（用则不报告，否则不用）
要包含的进程：svchost.exe
要排除的进程：无

规则名称：保护电话簿文件免受密码和电子邮件地址窃贼的攻击（谨慎添加新的排除）
要包含的进程：*
要排除的进程：*\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\Chinatelecom C+W\C+WClient.exe, *\Program Files*\COMODO\COMODO Internet Security\cfp.exe, *\Program Files*\COMODO\COMODO Internet Security\cfpupdat.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\program files*\ksafe\KSafe.exe, *\program files*\ksafe\KSafeSvc.exe, *\Program Files*\McAfee\Common Frameworkframeworkservice.exe, *\Program Files\CCleaner\CCleaner.exe, *\Program Files\CCleaner\CCleaner64.exe, C:\Windows\explorer.exe, C:\Windows\system32\logonui.exe, C:\Windows\system32\rasphone.exe, C:\Windows\system32\svchost.exe

规则名称：禁止更改所有文件扩展名的注册（一般不用添加新的排除）
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\program files*\ksafe\cp1\KSafeSvc.exe, *\program files*\ksafe\cp2\KSafeSvc.exe, *\program files*\ksafe\KSafeSvc.exe, C:\Windows\explorer.exe

规则名称：保护缓存文件免受密码和电子邮件地址窃贼的攻击（谨慎添加新的排除）
要包含的进程：*
要排除的进程：*\4KBrowser\4kText.exe, *\AloneSbck\SBCKSVR\SBCKALONE.EXE, *\KangXiDict\eKangXi.exe, *\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\Baofeng\StormPlayer\StormPlayer.exe, *\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\COMODO\COMODO Internet Security\cfp.exe, *\Program Files*\COMODO\COMODO Internet Security\cfplogvw.exe, *\Program Files*\COMODO\COMODO Internet Security\cfpupdat.exe, *\Program Files*\Google\Chrome\Application\chrome.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\Program Files*\Kingsoft\webshield\kwsmain.exe, *\program files*\ksafe\KSafe.exe, *\program files*\ksafe\KSafeSvc.exe, *\program files*\ksafe\KSafeTray.exe, *\program files*\ksafe\ksafevulfix.exe, /system32/taskhost.exe, /syswow64/taskhost.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\explorer.exe, C:\Windows\system32\rundll32.exe, C:\Windows\system32\SearchProtocolHost.exe, C:\Windows\SysWOW64\rundll32.exe, cleanup.exe, cmdagent.exe, framepkg.exe, framepkg_upd.exe, frameworks*, frminst.exe, mcscancheck.exe, mcscript*, mctray.exe, mue_inuse.exe, naimserv.exe, naprdmgr.exe, naprdmgr64.exe, narepl32.exe, setlicense.exe, sidebar.exe, udaterui.exe, updaterui.exe

《防病毒爆发控制》

规则名称：将所有共享项设为只读（改造成了全局修改修改保护规则）
要包含的进程：*
要排除的进程：*\C:\Windows\system32\csrss.exe, *\C:\Windows\system32\WBEM\WMIADAP.EXE, *\C:\Windows\system32\winlogon.exe, C:\Windows\**, System, C:\Program Files (x86)\**, C:\Program Files\**, D:\Program Files (x86)\**, D:\Program Files\**, E:\Program Files (x86)\**, E:\Program Files\**, D:\4KBrowser\4KServer\4KServer.exe, D:\4KBrowser\4kText.exe, D:\AloneSbck\SbckServer\SbckServer.exe, D:\AloneSbck\SBCKSVR\SBCKALONE.EXE, D:\KangXiDict\eKangXi.exe, *\*光盘\**, *\工具\**（列表1：信任区。去除本机没有的）

规则名称：阻止对所有共享资源的读写访问
要包含的进程：system:remote
要排除的进程：无

《通用标准保护》

规则名称：禁止修改 McAfee 文件和设置（去除了很多默认排除）
要包含的进程：*
要排除的进程：*\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McTray.exe, *\Program Files*\McAfee\Host Intrusion Prevention\FireSvc.exe, *\Program Files*\McAfee\Host Intrusion Prevention\McAfeeFire.exe, *\Program Files*\McAfee\VirusScan Enterprise\mfeann.exe, *\Program Files*\McAfee\VirusScan Enterprise\VsTskMgr.exe, C:\Windows\system32\services.exe

规则名称：禁止修改 McAfee Common Management Agent 文件和设置（去除了很多默认排除）
要包含的进程：*
要排除的进程：*\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe, *\Program Files*\McAfee\Common Framework\McTray.exe, C:\Windows\system32\services.exe

规则名称：禁止修改 McAfee 扫描引擎文件和设置（去除了很多默认排除）
要包含的进程：*
要排除的进程：*\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe, *\Program Files*\McAfee\Common Framework\McTray.exe

规则名称：保护 Mozilla 及 FireFox 文件和设置（使用此类浏览器的重新排除）
要包含的进程：*
要排除的进程：*\Program Files (x86)\**, *\Program Files\**

规则名称：保护 Internet Explorer 设置（一般不用添加新的排除）
要包含的进程：*
要排除的进程：*\Program Files*\Common Files\McAfee\SystemCore\csscan.exe, *\Program Files*\Common Files\McAfee\SystemCore\dainstall.exe, *\Program Files*\Common Files\McAfee\SystemCore\mcshield.exe, *\Program Files*\Internet Explorer\iexplore.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcadmin.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcconsol.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcupdate.exe, *\Program Files*\McAfee\VirusScan Enterprise\restartVSE.exe, *\Program Files*\McAfee\VirusScan Enterprise\scan32.exe, *\Program Files*\McAfee\VirusScan Enterprise\scncfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shcfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shstat.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\x64\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\vstskmgr.exe, *\Program Files*\McAfee\VirusScan Enterprise\x64\scan64.exe, C:\Program Files (x86)\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\explorer.exe

规则名称：禁止安装 Browser Helper Objects 和 Shell Extensions（一般不用添加新的排除）  
要包含的进程：*
要排除的进程：*\Program Files*\Common Files\McAfee\SystemCore\csscan.exe, *\Program Files*\Common Files\McAfee\SystemCore\dainstall.exe, *\Program Files*\Common Files\McAfee\SystemCore\mcshield.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcadmin.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcconsol.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcupdate.exe, *\Program Files*\McAfee\VirusScan Enterprise\restartVSE.exe, *\Program Files*\McAfee\VirusScan Enterprise\scan32.exe, *\Program Files*\McAfee\VirusScan Enterprise\scncfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shcfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shstat.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\x64\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\vstskmgr.exe, *\Program Files*\McAfee\VirusScan Enterprise\x64\scan64.exe, *\program files*\ksafe\KSafe.exe

规则名称：保护网络设置（一般不用添加新的排除）  
要包含的进程：*
要排除的进程：*\Program Files*\Common Files\McAfee\SystemCore\csscan.exe, *\Program Files*\Common Files\McAfee\SystemCore\dainstall.exe, *\Program Files*\Common Files\McAfee\SystemCore\mcshield.exe, *\Program Files*\Internet Explorer\iexplore.exe, *\program files*\ksafe\cp1\KSafeSvc.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcadmin.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcconsol.exe, *\Program Files*\McAfee\VirusScan Enterprise\mcupdate.exe, *\Program Files*\McAfee\VirusScan Enterprise\restartVSE.exe, *\Program Files*\McAfee\VirusScan Enterprise\scan32.exe, *\Program Files*\McAfee\VirusScan Enterprise\scncfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shcfg32.exe, *\Program Files*\McAfee\VirusScan Enterprise\shstat.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\VSCore\x64\dainstall.exe, *\Program Files*\McAfee\VirusScan Enterprise\vstskmgr.exe, *\Program Files*\McAfee\VirusScan Enterprise\x64\scan64.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\explorer.exe, C:\Windows\system32\svchost.exe

规则名称：禁止公用程序从 Temp 文件夹运行文件（加入一些联网进程）
要包含的进程：C+WClient.exe, chrome.exe, eudora.exe, explorer.exe, firefox.exe, iexplore.exe, MAPISP32.exe, mozilla.exe, msimn.exe, msn6.exe, msnmsgr.exe, neo20.exe, netscp.exe, nlnotes.exe, opera.exe, outlook.exe, Owstimer.exe, packager.exe, pine.exe, poco.exe, QQ.exe, RESRCMON.EXE, safari.exe, SPSNotific*, thebat.exe, theworld.exe, thunde*.exe, VMIMB.EXE, WinMail.exe, winpm-32.exe, winrar.exe, winzip32.exe
要排除的进程：无

规则名称：在 Internet Explorer 中禁用 HCP URL（改造成了入口防御规则）
要包含的进程：C+WClient.exe, chrome.exe, firefox.exe, iexplore.exe, opera.exe, QQ.exe, safari.exe, theworld.exe, wmplayer.exe
要排除的进程：无

规则名称：Prevent hooking of McAfee processes
要包含的进程：*
要排除的进程：无

规则名称：防止终止 McAfee 进程（去除官方默认所有排除）
要包含的进程：*
要排除的进程：无

《通用最大保护》

规则名称：禁止将程序注册为自动运行（只排除安全类软件）
要包含的进程：*
要排除的进程：*\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\COMODO\**\*.exe, *\Program Files*\Kingsoft\webshield\*.exe, *\program files*\ksafe\cp3\KSafeSvc.exe, *\program files*\ksafe\KSafeSvc.exe, *\Program Files*\McAfee\**\*.exe, *\Program Files*\Sandboxie\SbieCtrl.exe

规则名称：禁止将程序注册为服务（只排除安全类软件）
要包含的进程：*
要排除的进程：*\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\COMODO\**\*.exe, *\Program Files*\McAfee\**\*.exe, C:\Windows\SoftwareDistribution\Download\**\update.exe, C:\Windows\system32\mmc.exe

规则名称：禁止在 Windows 文件夹中创建新的可执行文件（不再添加任何排除）
要包含的进程：*
要排除的进程：*\Program Files*\McAfee\Common Framework\McScript_InUse.exe, C:\Windows\Microsoft.NET\Framework64\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\mscorsvw.exe, C:\Windows\SoftwareDistribution\Download\**\update.exe

规则名称：禁止在 Program Files 文件夹中创建新的可执行文件（不再添加任何排除）
要包含的进程：*
要排除的进程：*\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe

规则名称：禁止从 Downloaded Program Files 文件夹启动文件
要包含的进程：*
要排除的进程：无

规则名称：禁止 FTP 通信
要包含的进程：*
要排除的进程：Thunder.exe, ThunderMini.exe

规则名称：禁止 HTTP 通信（默认状态，未开启）
要包含的进程：*
要排除的进程：???setup.exe, ??setup.exe, ?setup.exe, acrobat.exe, acrord32.exe, agentnt.exe, ahnun000.tmp, alg.exe, amgrsrvc.exe, apache.exe, autoup.exe, avtask.exe, backweb-*, boxinfo.exe, ccmexec.exe, cfgeng.exe, cleanup.exe, cmdagent.exe, console.exe, devenv.exe, dstest.exe, dwwin.exe, earthagent.exe, eudora.exe, explorer.exe, f-secu*, f-secure automa*, firefox.exe, fnrb32.exe, framepkg.exe, framepkg_upd.exe, frameworks*, frminst.exe, fspex.exe, getdbhtp.exe, giantantispywa*, google*, idsinst.exe, iexplore.exe, ii_nt86.exe, ikernel.exe, ilaunchr.exe, inetinfo.exe, inodist.exe, InsFireTdi.exe, iv_nt86.exe, javaw.exe, jucheck.exe, lsetup.exe, lucoms*, luupdate.exe, MAPISP32.exe, McAfeeHIP_Clie*, McSACore.exe, mcscancheck.exe, mcscript*, mctray.exe, mmc.exe, mobsync.exe, mozilla.exe, msexcimc.exe, mshta.exe, msi*.tmp, msiexec.exe, msimn.exe, msn6.exe, msnmsgr.exe, mue_inuse.exe, naimserv.exe, naprdmgr.exe, naprdmgr64.exe, narepl32.exe, neo20.exe, netscp.exe, nlnotes.exe, ntaskldr.exe, nv11esd.exe, ofcservice.exe, opera.exe, outlook.exe, Owstimer.exe, paddsupd.exe, pasys*, pavagent.exe, pavsrv50.exe, pine.exe, poco.exe, pskmssvc.exe, quicktimeplaye*, realplay.exe, RESRCMON.EXE, runscheduled.exe, SAEDisable.exe, SAEuninstall.exe, setlicense.exe, setup*.exe, setup.exe, Setup_SAE.exe, sevinst.exe, SiteAdv.exe, SPSNotific*, sucer.exe, supdate.exe, svchost.exe, thebat.exe, thunde*.exe, tmlisten.exe, tomcat.exe, tomcat5.exe, tomcat5w.exe, tsc.exe, udaterui.exe, uninstall.exe, update.exe, updaterui.exe, v3cfgu.exe, VMIMB.EXE, vmnat.exe, waol.exe, webproxy.exe, wfica32.exe, winamp.exe, windbg.exe, WinMail.exe, winpm-32.exe, wmplayer.exe, wuauclt.exe, _ins*._mp

墨池

>>>>>>>================用户定义的规则------------------>

《用户定义的规则》

-----------------0系列：中毒急救或规则测试时启用------------------------

规则名称：001 急救测试_文件
要包含的进程：*
要排除的进程：*\Program Files*\**\McAfee\**exe
要阻止的文件或文件夹名：**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：002 急救测试_R项
要包含的进程：*
要排除的进程：*\Program Files*\**\McAfee\**exe
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：003 急救测试_R值
要包含的进程：*
要排除的进程：*\Program Files*\**\McAfee\**exe
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

规则名称：004 急救测试_端口入
要包含的进程：*.*
要排除的进程：无
要阻止的端口：0 -  65535
方向：出站

规则名称：005 规则测试_端口出
要包含的进程：*.*
要排除的进程：无
要阻止的端口：0 -  65535
方向：入站

-----------------1系列：全局封锁远程、非信任区、端口------------------------

规则名称：101 封锁远程_R项
要包含的进程：system:remote
要排除的进程：无
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：102 封锁远程_R值
要包含的进程：system:remote
要排除的进程：无
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

规则名称：103 封锁非信任区_文件
要包含的进程：*
要排除的进程：*\C:\Windows\system32\csrss.exe, *\C:\Windows\system32\WBEM\WMIADAP.EXE, *\C:\Windows\system32\winlogon.exe, C:\Windows\**, System, C:\Program Files (x86)\**, C:\Program Files\**, D:\Program Files (x86)\**, D:\Program Files\**, E:\Program Files (x86)\**, E:\Program Files\**, D:\4KBrowser\4KServer\4KServer.exe, D:\4KBrowser\4kText.exe, D:\AloneSbck\SbckServer\SbckServer.exe, D:\AloneSbck\SBCKSVR\SBCKALONE.EXE, D:\KangXiDict\eKangXi.exe, *\*光盘\**, *\工具\**（列表1：信任区。去除本机没有的）
要阻止的文件或文件夹名：**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：104 封锁非信任区_R项
要包含的进程：*
要排除的进程：列表1：信任区
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：105 封锁非信任区_R值
要包含的进程：*
要排除的进程：列表1：信任区  
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

规则名称：106 封锁端口_出站
要包含的进程：*.*
要排除的进程：cfp.exe, cfpupdat.exe, chrome.exe, cmdagent.exe, dwwin.exe, explorer.exe, FireSvc.exe, FrameworkService.exe, GoogleUpdate.exe, iexplore.exe, iTudou.exe, KSafe.exe, KSafeSvc.exe, KSafeTray.exe, ksafevulfix.exe, KSWebShield.exe, kwsmain.exe, kwstray.exe, kwsupd.exe, McScript_InUse.exe, mcshield.exe, mDNSResponder.exe, NPE.exe, QQ.exe, sppsvc.exe, svchost.exe, Thunder.exe, ThunderMini.exe, Virtual PC.exe
要阻止的端口：0 -  65535
方向：出站

规则名称：107 封锁端口_入站
要包含的进程：*.*
要排除的进程：cfp.exe, cfpupdat.exe, chrome.exe, cmdagent.exe, FireSvc.exe, FrameworkService.exe, iexplore.exe, KSafe.exe, KSafeSvc.exe, KSafeTray.exe, ksafevulfix.exe, KSWebShield.exe, kwsmain.exe, kwstray.exe, kwsupd.exe, McScript_InUse.exe, mcshield.exe, mDNSResponder.exe, QQ.exe, svchost.exe, Thunder.exe, ThunderMini.exe
要阻止的端口：0 -  65535
方向：入站

-------------------2系列：精确控制系统进程的所有行为--------------------------------

规则名称：201 保护系统_读写
要包含的进程：*
要排除的进程：列表2：系统进程 + System + *\AloneSbck\SbckServer\SbckServer.exe, *\AloneSbck\SBCKSVR\SBCKALONE.EXE, *\KangXiDict\eKangXi.exe, *\Program Files\**\*.exe, *\工具\**\*.exe（所有软件进程）
要阻止的文件或文件夹名：**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：202 管制系统_文件
要包含的进程：*
要排除的进程：*\C:\Windows\system32\csrss.exe, *\C:\Windows\system32\WBEM\WMIADAP.EXE, *\C:\Windows\system32\winlogon.exe, C:\Windows\ehome\ehPrivJob.exe, C:\Windows\explorer.exe, C:\Windows\helppane.exe, C:\Windows\IME\imjp8_1\IMJPMIG.EXE, C:\Windows\Microsoft.NET\**\mscorsvw.exe, C:\Windows\Microsoft.NET\**\ngen.exe, C:\Windows\notepad.exe, C:\Windows\PCHealth\HelpCtr\Binaries\HelpSvc.exe, C:\Windows\regedit.exe, C:\Windows\RTHDCPL.EXE, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\SoftwareDistribution\Download\**\update.exe, C:\Windows\SoftwareDistribution\Download\Install\*.exe, C:\Windows\splwow64.exe, C:\Windows\system32\aitagent.EXE, C:\Windows\system32\Ati2evxx.exe, C:\Windows\system32\atieclxx.exe, C:\Windows\system32\atiesrxx.exe, C:\Windows\system32\AUDIODG.EXE, C:\Windows\system32\ceipdata.exe, C:\Windows\system32\cleanmgr.exe, C:\Windows\System32\cmd.exe, C:\Windows\system32\conhost.exe, C:\Windows\system32\conime.exe, C:\Windows\system32\consent.exe, C:\Windows\system32\csrss.exe, C:\Windows\system32\ctfmon.exe, C:\Windows\system32\defrag.exe, C:\Windows\system32\DeviceDisplayObjectProvider.exe, C:\Windows\system32\DfrgNtfs.exe, C:\Windows\system32\dfrgui.exe, C:\Windows\system32\DllHost.exe, C:\Windows\system32\DrvInst.exe, C:\Windows\system32\drwtsn32.exe, C:\Windows\system32\dumprep.exe, C:\Windows\system32\Dwm.exe, C:\Windows\system32\dwwin.exe, C:\Windows\system32\hkcmd.exe, C:\Windows\system32\igfxpers.exe, C:\Windows\system32\igfxsrvc.exe, C:\Windows\system32\igfxtray.exe, C:\Windows\system32\imapi.exe, C:\Windows\system32\IME\TINTLGNT\TINTSETP.EXE, C:\Windows\system32\lodctr.exe, C:\Windows\system32\logon.scr, C:\Windows\system32\LogonUI.exe, C:\Windows\system32\lpremove.exe, C:\Windows\system32\lsass.exe, C:\Windows\system32\lsm.exe, C:\Windows\system32\Macromed\Flash\*.exe, C:\Windows\system32\makecab.exe, C:\Windows\System32\mblctr.exe, C:\Windows\system32\mcbuilder.exe, C:\Windows\system32\mmc.exe, C:\Windows\system32\mobsync.exe, C:\Windows\system32\MRT.exe, C:\Windows\system32\msconfig.exe, C:\Windows\system32\msdtc.exe, C:\Windows\system32\mspaint.exe, C:\Windows\system32\NOTEPAD.EXE, C:\Windows\system32\poqexec.exe, C:\Windows\system32\powercfg.exe, C:\Windows\system32\rundll32.exe, C:\Windows\system32\runonce.exe, C:\Windows\system32\sc.exe, C:\Windows\system32\schtasks.exe, C:\Windows\system32\sdclt.exe, C:\Windows\system32\SearchFilterHost.exe, C:\Windows\system32\SearchIndexer.exe, C:\Windows\system32\SearchProtocolHost.exe, C:\Windows\system32\ServerManagerLauncher.exe, C:\Windows\system32\services.exe, C:\Windows\system32\smss.exe, C:\Windows\system32\SndVol.exe, C:\Windows\system32\SNDVOL32.EXE, C:\Windows\system32\SnippingTool.exe, C:\Windows\system32\SoundRecorder.exe, C:\Windows\system32\spoolsv.exe, C:\Windows\system32\sppsvc.exe, C:\Windows\system32\svchost.exe, C:\Windows\system32\systempropertiesadvanced.exe, C:\Windows\system32\taskhost.exe, C:\Windows\system32\tasklist.exe, C:\Windows\system32\taskmgr.exe, C:\Windows\system32\userinit.exe, C:\Windows\system32\usmt\migwiz.exe, C:\Windows\system32\vds.exe, C:\Windows\system32\vdsldr.exe, C:\Windows\system32\verclsid.exe, C:\Windows\system32\vssvc.exe, C:\Windows\system32\WatchData\Watchdata CCB CSP v3.2\WDKeyMonitorCCB.exe, C:\Windows\system32\wbem\WMIADAP.EXE, C:\Windows\system32\wbem\wmiprvse.exe, C:\Windows\system32\wbengine.exe, C:\Windows\system32\WerFault.exe, C:\Windows\system32\wermgr.exe, C:\Windows\system32\wininit.exe, C:\Windows\system32\winlogon.exe, C:\Windows\system32\winsat.exe, C:\Windows\SYSTEM32\WISPTIS.EXE, C:\Windows\system32\wlrmdr.exe, C:\Windows\system32\wsqmcons.exe, C:\Windows\system32\wuapp.exe, C:\Windows\system32\wuauclt.exe, C:\Windows\SysWOW64\ctfmon.exe, C:\Windows\SysWOW64\DllHost.exe, C:\Windows\SysWOW64\Macromed\Flash\*.exe, C:\Windows\SysWOW64\NOTEPAD.EXE, C:\Windows\SysWOW64\rundll32.exe, C:\Windows\SysWOW64\runonce.exe, C:\Windows\SysWOW64\tasklist.exe, C:\Windows\SysWOW64\WerFault.exe（列表2：系统进程 。32、64位XP、Win7、2008R2三大系统通用 ）
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：203 管制系统_R项
要包含的进程：C:\Windows\**
要排除的进程：列表2：系统进程要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：204 管制系统_R值
要包含的进程：C:\Windows\**
要排除的进程：列表2：系统进程
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

------------------3系列：精确控制软件进程的所有行为---------------------------

规则名称：301 保护软件_读写
要包含的进程：*
要排除的进程：列表3：软件进程 + C:\Windows\**, System（所有系统进程）
要阻止的文件或文件夹名：**\Program Files*\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：302 管制软件_文件
要包含的进程：**\Program Files*\**
要排除的进程：*\Program Files*\ACD Systems\ACDSee\10.0\ACDSee10.exe, *\Program Files*\ACD Systems\ACDSee\10.0\ACDSeeQV10.exe, *\Program Files*\Adobe\Adobe Photoshop CS*\Photoshop.exe, *\Program Files*\Adobe\Reader 9.0\Reader\AcroRd32.exe, *\Program Files*\Adobe\Reader 9.0\Reader\AcroRd32Info.exe, *\Program Files*\Adobe\Reader 9.0\Reader\reader_sl.exe, *\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\ATI Technologies\ATI.ACE\Core-Static\ccc.exe, *\Program Files*\ATI Technologies\ATI.ACE\Core-Static\cli.exe, *\Program Files*\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe, *\Program Files*\ATI Technologies\ATI.ACE\Core-Static\MOM.exe, *\Program Files*\Baofeng\StormPlayer\*.exe, *\Program Files*\CCBComponents\Detector\CCBDetector.exe, *\Program Files*\CCleaner\CCleaner*.exe, *\Program Files*\Chinatelecom C+W\C+WClient.exe, *\Program Files*\Chinatelecom C+W\CWCleanTools.exe, *\Program Files*\Chinatelecom C+W\LoginAccount.exe, *\Program Files*\Common Files\Adobe\ARM\1.0\AdobeARM.exe, *\Program Files*\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe, *\Program Files*\Common Files\McAfee\SystemCore\EntVUtil.EXE, *\Program Files*\Common Files\McAfee\SystemCore\mfefire.exe, *\Program Files*\Common Files\Microsoft Shared\IME14WR\SHARED\IMECMNT.EXE, *\Program Files*\Common Files\Microsoft Shared\IME14WR\SHARED\IMEDICTUPDATE.EXE, *\Program Files*\Common Files\Microsoft Shared\IME14WR\SHARED\imedictupdateui.exe, *\Program Files*\Common Files\Microsoft Shared\IME14WR\SHARED\IMEKLMG.EXE, *\Program Files*\Common Files\Microsoft Shared\IME14\SHARED\IMECMNT.EXE, *\Program Files*\Common Files\Microsoft Shared\IME14\SHARED\IMEDICTUPDATE.EXE, *\Program Files*\Common Files\Microsoft Shared\IME14\SHARED\imedictupdateui.exe, *\Program Files*\Common Files\Microsoft Shared\IME14\SHARED\IMEKLMG.EXE, *\Program Files*\Common Files\Microsoft Shared\IME\IMSC40A\IMSCMIG.EXE, *\Program Files*\Common Files\Microsoft Shared\Office*\MSOXMLED.EXE, *\Program Files*\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE, *\Program Files*\Common Files\Microsoft Shared\Source Engine\OSE.EXE, *\Program Files*\COMODO\**\*.exe, *\Program Files*\CyberLink\YouCam\YouCam.exe, *\Program Files*\DBank\ClickUp\DBank_ClickUp.exe, *\Program Files*\Elantech\ETDCtrl.exe, *\Program Files*\Google\Chrome\Application\chrome.exe, *\Program Files*\Google\Update\*\GoogleCrashHandler.exe, *\Program Files*\Google\Update\GoogleUpdate.exe, *\Program Files*\HA_GoldWave557_HZ\GoldWave.exe, *\Program Files*\HWPDFOCR80\HWPDFOCR80.exe, *\Program Files*\HYDCGB.V20\HYDCV20.EXE, *\Program Files*\Intel\Intel(R) Management Engine Components\LMS\LMS.exe, *\Program Files*\Intel\Intel(R) Management Engine Components\UNS\UNS.exe, *\Program Files*\Kingsoft\webshield\kisaddin.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\Program Files*\Kingsoft\webshield\KWSMain.exe, *\Program Files*\Kingsoft\webshield\kwstray.exe, *\Program Files*\Kingsoft\webshield\kwsupd.exe, *\Program Files*\Kingsoft\webshield\KWSUpreport.exe, *\program files*\ksafe\cp1\KSafeSvc.exe, *\program files*\ksafe\cp2\KSafeSvc.exe, *\program files*\ksafe\cp3\KSafeSvc.exe, *\program files*\ksafe\KSafe.exe, *\program files*\ksafe\KSafeSvc.exe, *\program files*\ksafe\KSafeTray.exe, *\program files*\ksafe\ksafevulfix.exe, *\Program Files*\McAfee\**\*.exe, *\Program Files*\Microsoft Office\Office*\bcssync.exe, *\Program Files*\Microsoft Office\Office*\EXCEL.EXE, *\Program Files*\Microsoft Office\Office*\POWERPNT.EXE, *\Program Files*\Microsoft Office\Office*\WINWORD.EXE, *\Program Files*\Microsoft Virtual PC\Virtual PC.exe, *\Program Files*\Realtek\Audio\HDA\RtkNGUI64.exe, *\Program Files*\Realtek\RtVOsd\RtVOsd.exe, *\Program Files*\Realtek\RtVOsd\RtVOsdService.exe, *\Program Files*\ScanDrv6\5000\ScanDrv.exe, *\Program Files*\SRS Labs\SRS Premium Sound\SRSPremiumSound_XP.exe, *\Program Files*\Synaptics\SynTP\SynTPEnh.exe, *\Program Files*\Synaptics\SynTP\SynTPHelper.exe, *\Program Files*\Tencent\QQ\Bin\QQ.exe, *\Program Files*\Tencent\QQ\Bin\QQExternal.exe, *\Program Files*\Tencent\QQ\Bin\TXPlatform.exe, *\Program Files*\Tencent\QQ\Bin\txupd.exe, *\Program Files*\Thunder Network\MiniThunder\Bin\ThunderMini.exe, *\Program Files*\Thunder Network\Thunder\Program\Thunder.exe, *\Program Files*\Tracker Software\**\*.exe, *\Program Files*\TTKN\CAJViewer 7.0\CAJViewer.exe, *\Program Files*\Tudou\iTudou\iTudou.exe, *\Program Files*\UltraISO\UltraISO.exe, *\Program Files*\Windows Media Player\wmplayer.exe, *\Program Files*\Windows NT\Accessories\WORDPAD.EXE, *\Program Files*\WinRAR\WinRAR.exe, *\Program Files*\YouKu\iku2\iku.exe, *\Program Files*\ZRM2000\ZRW32.EXE, *\Program Files*\植物大战僵尸绿色版\PlantsVsZombies.exe, *\Program Files\Sandboxie\**\*.exe, *\工具\**\*.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe（列表3：软件进程 。需要自己整理，准确为宜）
要阻止的文件或文件夹名：**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：303 管制系统_R项
要包含的进程：**\Program Files*\**
要排除的进程：列表3：软件进程
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：304 管制系统_R值
要包含的进程：**\Program Files*\**
要排除的进程：列表3：软件进程
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

------------------4系列：精确控制2、3列表的修改权---------------------------------------

规则名称：401 保护系统_只读
要包含的进程：*
要排除的进程：*\C:\Windows\system32\WBEM\WMIADAP.EXE, *\C:\Windows\system32\winlogon.exe, *\Program Files*\ACD Systems\ACDSee\*\ACDSeeQV10.exe, *\Program Files*\Adobe\Adobe Photoshop CS*\Photoshop.exe, *\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\CCleaner\CCleaner*.exe, *\Program Files*\COMODO\COMODO Internet Security\cfp.exe, *\Program Files*\COMODO\COMODO Internet Security\cmdagent.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\Program Files*\Kingsoft\webshield\kwsmain.exe, *\program files*\ksafe\cp1\KSafeSvc.exe, *\program files*\ksafe\KSafe.exe, *\program files*\ksafe\KSafeSvc.exe, *\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScanCheck.exe, *\Program Files*\McAfee\Common Framework\UdaterUI.exe, *\Program Files*\Microsoft Office\OFFICE1?\*.EXE, *\Program Files*\ZRM2000\ZRW32.EXE, C:\Program Files\McAfee\Host Intrusion Prevention\FireSvc.exe, C:\Program Files\Windows NT\Accessories\WORDPAD.EXE, C:\Windows\Explorer.EXE, C:\Windows\Microsoft.NET\Framework64\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\ngen.exe, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\SoftwareDistribution\Download\**\update.exe, C:\Windows\SoftwareDistribution\Download\Install\*.*, C:\Windows\System32\cleanmgr.exe, C:\Windows\system32\consent.exe, C:\Windows\System32\csrss.exe, C:\Windows\system32\DllHost.exe, C:\Windows\system32\DrvInst.exe, C:\Windows\system32\lodctr.exe, C:\Windows\system32\lsass.exe, C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe, C:\Windows\system32\makecab.exe, C:\Windows\system32\mcbuilder.exe, C:\Windows\system32\mmc.exe, C:\Windows\system32\MRT.exe, C:\Windows\System32\msdtc.exe, C:\Windows\system32\msiexec.exe, C:\Windows\system32\mspaint.exe, C:\Windows\System32\poqexec.exe, C:\Windows\System32\powercfg.exe, C:\Windows\System32\rundll32.exe, C:\Windows\system32\sdclt.exe, C:\Windows\system32\SearchProtocolHost.exe, C:\Windows\System32\services.exe, C:\Windows\System32\smss.exe, C:\Windows\System32\spoolsv.exe, C:\Windows\system32\sppsvc.exe, C:\Windows\System32\svchost.exe, C:\Windows\system32\systempropertiesadvanced.exe, C:\Windows\system32\taskhost.exe, C:\Windows\system32\wbem\WMIADAP.EXE, C:\Windows\system32\wbem\wmiprvse.exe, C:\Windows\system32\wbengine.exe, C:\Windows\system32\WerFault.exe, C:\Windows\system32\wermgr.exe, C:\Windows\system32\winsat.exe, C:\Windows\system32\wuauclt.exe, C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe, C:\Windows\SysWOW64\msiexec.exe, C:\Windows\SysWOW64\rundll32.exe, C:\Windows\SysWOW64\WerFault.exe, System（根据日志实时排除）
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：写入 创建 删除

规则名称：402 保护软件_只读
要包含的进程：*
要排除的进程：*\Program Files*\Adobe\Adobe Photoshop CS*\Photoshop.exe, *\Program Files*\Agnitum\Outpost Firewall Pro\**\*.exe, *\Program Files*\Baofeng\StormPlayer\BaofengPlatform.exe, *\Program Files*\Chinatelecom C+W\C+WClient.exe, *\Program Files*\COMODO\COMODO Internet Security\cmdagent.exe, *\Program Files*\Google\Chrome\Application\chrome.exe, *\Program Files*\Google\Update\GoogleUpdate.exe, *\Program Files*\Internet Explorer\iexplore.exe, *\Program Files*\Kingsoft\webshield\kisaddin.exe, *\Program Files*\Kingsoft\webshield\KSWebShield.exe, *\Program Files*\Kingsoft\webshield\kwsmain.exe, *\Program Files*\Kingsoft\webshield\kwsupd.exe, *\program files*\ksafe\cp1\KSafeSvc.exe, *\program files*\ksafe\cp2\KSafeSvc.exe, *\program files*\ksafe\cp3\KSafeSvc.exe, *\program files*\ksafe\KSafe.exe, *\program files*\ksafe\KSafeSvc.exe, *\program files*\ksafe\KSafeTray.exe, *\program files*\ksafe\ksafevulfix.exe, *\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScanCheck.exe, *\Program Files*\McAfee\Common Framework\McTray.exe, *\Program Files*\McAfee\Common Framework\UdaterUI.exe, *\Program Files*\Microsoft Office\Office*\EXCEL.EXE, *\Program Files*\Microsoft Office\Office*\POWERPNT.EXE, *\Program Files*\Microsoft Office\Office*\WINWORD.EXE, *\Program Files*\Microsoft Virtual PC\Virtual PC.exe, *\Program Files*\Sandboxie\SbieSvc.exe, *\Program Files*\Sandboxie\Start.exe, *\Program Files*\Thunder Network\MiniThunder\Bin\ThunderMini.exe, *\Program Files*\Thunder Network\Thunder\Program\Thunder.exe, *\Program Files*\ZRM2000\ZRW32.EXE, C:\Windows\Explorer.EXE, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\system32\cleanmgr.exe, C:\Windows\System32\cmd.exe, C:\Windows\system32\msiexec.exe, C:\Windows\system32\NOTEPAD.EXE, C:\Windows\SysWOW64\msiexec.exe（根据日志实时排除）
要阻止的文件或文件夹名：**\Program Files*\**
要禁止的文件操作：写入 创建 删除

----------------5系列：与3、4系列配合，CLT测试可达230分---------------

规则名称：501 绿化工具_执行系统（绿化软件、测试工具、光盘目录放到501、502、503。不排除，不报告）
要包含的进程：*\*光盘\**, *\工具\**
要排除的进程：无
要阻止的文件或文件夹名：**\windows\**.exe
要禁止的文件操作：读取  执行

规则名称：502 绿化工具_R项
要包含的进程：*\*光盘\**, *\工具\**
要排除的进程：无
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：503 绿化工具_R值
要包含的进程：*\*光盘\**, *\工具\**
要排除的进程：无
要保护的注册表项或注册表值：HKALL /**
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

规则名称：504 保护根目录_只读
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.*
要禁止的文件操作：写入 创建 删除

规则名称：505 封锁自动播放
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*autorun*.*
要禁止的文件操作：写入 创建 删除  

----------------6、7、8系列，不能防的都封了。列表4：需要封锁可执行文件的目录-------------

规则名称：601 封锁exe_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.exe
要禁止的文件操作：读取

规则名称：602 封锁exe_RECYCLER
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*RECYCLER*\**.exe
要禁止的文件操作：读取

规则名称：603 封锁exe_System Volume Information
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\System Volume Information\**.exe
要禁止的文件操作：读取

规则名称：604 封锁exe_Documents and Settings
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Documents and Settings\**.exe
要禁止的文件操作：读取

规则名称：605 封锁exe_Users
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Users\**.exe
要禁止的文件操作：读取

规则名称：606 封锁exe_ProgramData
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\ProgramData\**.exe
要禁止的文件操作：读取

规则名称：607 封锁exe_Sandbox
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Sandbox\**.exe
要禁止的文件操作：读取

规则名称：608 封锁exe_Windows\**\Temp
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Windows\**\Temp\**.exe
要禁止的文件操作：读取

--------------------------------------------------------

规则名称：701 封锁com_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.com
要禁止的文件操作：读取

规则名称：702 封锁com_RECYCLER
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*RECYCLER*\**.com
要禁止的文件操作：读取

规则名称：703 封锁com_System Volume Information
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\System Volume Information\**.com
要禁止的文件操作：读取

规则名称：704 封锁com_Documents and Settings
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Documents and Settings\**.com
要禁止的文件操作：读取

规则名称：705 封锁com_Users
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Users\**.com
要禁止的文件操作：读取

规则名称：706 封锁com_ProgramData
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\ProgramData\**.com
要禁止的文件操作：读取

规则名称：707 封锁com_Sandbox
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Sandbox\**.com
要禁止的文件操作：读取

规则名称：708 封锁com_Windows\**\Temp
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Windows\**\Temp\**.com
要禁止的文件操作：读取

---------------------------------------------------------

规则名称：801 封锁cpl_所有
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.cpl
要禁止的文件操作：读取

----------------9系列：所有病毒入口封死了。列表5：所有可执行文件--------------------

规则名称：901 封锁入口_bat（需要用浏览器下载时临时关闭，不要轻易排除，下同）
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe, C:\Windows\Explorer.exe
要阻止的文件或文件夹名：**.bat
要禁止的文件操作：写入 创建 删除

规则名称：902 封锁入口_chm
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.chm
要禁止的文件操作：写入 创建 删除

规则名称：903 封锁入口_cmd
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.cmd
要禁止的文件操作：写入 创建 删除

规则名称：904 封锁入口_com
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\program files*\ksafe\KSafe.exe, *\Program Files*\WinRAR\WinRAR.exe, C:\Windows\Explorer.exe
要阻止的文件或文件夹名：**.com
要禁止的文件操作：写入 创建 删除
－－－－
规则名称：905 封锁入口_cpl
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.cpl
要禁止的文件操作：写入 创建 删除

规则名称：906 封锁入口_dll
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe, *\Program Files*\McAfee\VirusScan Enterprise\scan32.exe, *\Program Files*\WinRAR\WinRAR.exe, C:\Windows\Explorer.exe, C:\Windows\Microsoft.NET\Framework64\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\mscorsvw.exe
要阻止的文件或文件夹名：**.dll
要禁止的文件操作：写入 创建 删除

规则名称：907 封锁入口_drv
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.drv
要禁止的文件操作：写入 创建 删除

规则名称：908 封锁入口_exe
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\program files*\ksafe\KSafeSvc.exe, *\program files*\ksafe\KSafeTray.exe, *\Program Files*\McAfee\Common Framework\FrameworkService.exe, *\Program Files*\McAfee\Common Framework\McScript_InUse.exe, *\Program Files*\Thunder Network\MiniThunder\Bin\ThunderMini.exe, *\Program Files*\Thunder Network\Thunder\Program\Thunder.exe, *\Program Files*\WinRAR\WinRAR.exe, C:\Windows\Explorer.exe, C:\Windows\Microsoft.NET\Framework64\*\mscorsvw.exe, C:\Windows\Microsoft.NET\Framework\*\mscorsvw.exe
要阻止的文件或文件夹名：**.exe
要禁止的文件操作：写入 创建 删除

规则名称：909 封锁入口_hiv
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.hiv
要禁止的文件操作：写入 创建 删除

规则名称：910 封锁入口_hlp
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.hlp
要禁止的文件操作：写入 创建 删除

规则名称：911 封锁入口_hta
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.hta
要禁止的文件操作：写入 创建 删除

规则名称：912 封锁入口_htr
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.htr
要禁止的文件操作：写入 创建 删除

规则名称：913 封锁入口_htt
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.htt
要禁止的文件操作：写入 创建 删除

规则名称：914 封锁入口_ime
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.ime
要禁止的文件操作：写入 创建 删除

规则名称：915 封锁入口_inf
要包含的进程：*
要排除的进程：*\Program Files*\Kingsoft\webshield\kwsupd.exe, *\program files*\ksafe\KSafe.exe, C:\Windows\System32\svchost.exe
要阻止的文件或文件夹名：**.inf
要禁止的文件操作：写入 创建 删除

规则名称：916 封锁入口_ins
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.ins
要禁止的文件操作：写入 创建 删除

规则名称：917 封锁入口_jar
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.jar
要禁止的文件操作：写入 创建 删除

规则名称：918 封锁入口_js
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\COMODO\COMODO Internet Security\cfp.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\Explorer.exe
要阻止的文件或文件夹名：**.js
要禁止的文件操作：写入 创建 删除

规则名称：919 封锁入口_jse
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.jse
要禁止的文件操作：写入 创建 删除

规则名称：920 封锁入口_lmz
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.lmz
要禁止的文件操作：写入 创建 删除

规则名称：921 封锁入口_manifest
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe
要阻止的文件或文件夹名：**.manifest
要禁止的文件操作：写入 创建 删除

规则名称：922 封锁入口_msc
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.msc
要禁止的文件操作：写入 创建 删除

规则名称：923 封锁入口_msi
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe, C:\Windows\Explorer.exe
要阻止的文件或文件夹名：**.msi
要禁止的文件操作：写入 创建 删除

规则名称：924 封锁入口_msp
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.msp
要禁止的文件操作：写入 创建 删除

规则名称：925 封锁入口_mui
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.mui
要禁止的文件操作：写入 创建 删除

规则名称：926 封锁入口_ocx
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.ocx
要禁止的文件操作：写入 创建 删除

规则名称：927 封锁入口_olb
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.olb
要禁止的文件操作：写入 创建 删除

规则名称：928 封锁入口_pif
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.pif
要禁止的文件操作：写入 创建 删除

规则名称：929 封锁入口_scr
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.scr
要禁止的文件操作：写入 创建 删除

规则名称：930 封锁入口_shs
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.shs
要禁止的文件操作：写入 创建 删除

规则名称：931 封锁入口_sys
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.sys
要禁止的文件操作：写入 创建 删除

规则名称：932 封锁入口_vbe
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.vbe
要禁止的文件操作：写入 创建 删除

规则名称：933 封锁入口_vbs
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.vbs
要禁止的文件操作：写入 创建 删除

规则名称：934 封锁入口_vxd
要包含的进程：*
要排除的进程：*\Program Files*\WinRAR\WinRAR.exe
要阻止的文件或文件夹名：**.vxd
要禁止的文件操作：写入 创建 删除

规则名称：935 封锁入口_wmf
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.wmf
要禁止的文件操作：写入 创建 删除

规则名称：936 封锁入口_wsf
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.wsf
要禁止的文件操作：写入 创建 删除

规则名称：937 封锁入口_wsh
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**.wsh
要禁止的文件操作：写入 创建 删除

墨池

公告1：

801 封锁cpl_根目录  这条规则太绝对，似乎系统墙似乎没有工作，一直没注意。现在预改为以下规则，测试一段时间再正式加到规则中：

规则名称：801 封锁cpl_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.cpl
要禁止的文件操作：读取

规则名称：802 封锁cpl_RECYCLER
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*RECYCLER*\**.cpl
要禁止的文件操作：读取

规则名称：803 封锁cpl_System Volume Information
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\System Volume Information\**.cpl
要禁止的文件操作：读取

规则名称：804 封锁cpl_Documents and Settings
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Documents and Settings\**.cpl
要禁止的文件操作：读取

规则名称：805 封锁cpl_Users
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Users\**.cpl
要禁止的文件操作：读取

规则名称：806 封锁cpl_ProgramData
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\ProgramData\**.cpl
要禁止的文件操作：读取

规则名称：807 封锁cpl_Sandbox
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Sandbox\**.cpl
要禁止的文件操作：读取

规则名称：808 封锁cpl_Windows\**\Temp
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Windows\**\Temp\**.cpl
要禁止的文件操作：读取

规则名称：809 封锁cpl_Windows
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Windows\*.cpl
要禁止的文件操作：读取

规则名称：810 封锁cpl_Program Files
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\Program Files*\**.cpl
要禁止的文件操作：读取
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

公告2：

封锁exe、com、cpl增加Download，规则如下，测试后再正式加入：

规则名称：609 封锁exe_Download
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*Download*\**.exe
要禁止的文件操作：读取

规则名称：709 封锁com_Download
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*Download*\**.com
要禁止的文件操作：读取

规则名称：811 封锁cpl_Download
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：**\*Download*\**.cpl
要禁止的文件操作：读取

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

公告3：

文字版中的504、505中的“要禁止的文件操作：读取  执行”应该为：
要禁止的文件操作：写入 创建 删除
已经调整，注册表没有问题。

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

公告4：

以下规则组成U盘病毒完整防御规则（红色为新加的）：

规则名称：505 封锁U盘病毒_文件
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*autorun*.*
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：506 封锁U盘病毒_R项
要包含的进程：*
要排除的进程：无
要保护的注册表项或注册表值：HKCU
\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
要保护的注册表项或注册表值：项
要阻止的注册表操作：写入 创建 删除

规则名称：507 封锁U盘病毒_R值
要包含的进程：*
要排除的进程：无
要保护的注册表项或注册表值：HKCU
\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
要保护的注册表项或注册表值：值
要阻止的注册表操作：写入 创建 删除

规则名称：601 封锁exe_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.exe
要禁止的文件操作：读取

规则名称：701 封锁com_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.com
要禁止的文件操作：读取

规则名称：801 封锁cpl_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.cpl
要禁止的文件操作：读取

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

公告5：

918规则文字版有错误，“要阻止的文件或文件夹名：**.bat”应该是“要阻止的文件或文件夹名：**.js”。谢谢叶知版主提醒：

规则名称：918 封锁入口_js
要包含的进程：*
要排除的进程：*\Program Files*\CCleaner\CCleaner.exe, *\Program Files*\CCleaner\CCleaner64.exe, *\Program Files*\COMODO\COMODO Internet Security\cfp.exe, C:\Program Files (x86)\Internet Explorer\iexplore.exe, C:\Program Files\Internet Explorer\iexplore.exe, C:\Windows\Explorer.exe
要阻止的文件或文件夹名：**.js
要禁止的文件操作：写入 创建 删除
-----------------------------------------------------------------------------------------------------------
公告6：

根据《读取和执行..... 》http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1273973&page=1#pid24286415的测试以及个人验证，要想彻底控制病毒在危险区域自动运行，开来只禁止读取不行，应该同时加上禁止执行。例如：

规则名称：601 封锁exe_根目录
要包含的进程：*
要排除的进程：无
要阻止的文件或文件夹名：\*.exe
要禁止的文件操作：读取 执行

6、7、8类规则各条都应该加上。个人已经加上，测试后再统一修改注册表及文字版规则。
--------------------------------------------------------------------------------------------------------------

sdtzsf

新规则，下载试用。

wayaya

还在裸奔的，先收藏

hagcse

文字版的太详细了，非常感谢。

墨池

sdtzsf 发表于 2012-4-13 14:15
新规则，下载试用。

哈哈，欢迎使用，多提宝贵意见！

墨池

wayaya 发表于 2012-4-13 14:20
还在裸奔的，先收藏

可以一用！

墨池

hagcse 发表于 2012-4-13 16:25
文字版的太详细了，非常感谢。

感谢支持！