本帖最后由 柯林 于 2017-8-1 12:02 编辑
相对全面一点，而又精干的规则，好像19条左右：
************VSE精简御用规则*************
1、全局大过滤---【禁止非法程序的活动】 （包含*.* 排除*\AppData\Local\Google\Chrome\**, C:\Program Files**,C:\Windows\**, D:\Program Files\SafeTools\**, \??\C:\Windows\system32\winlogon.exe 目标** 读、建、写、删、执）
2、【禁止创写exe】 （包含* 排除C:\Windows\explorer.exe, C:\Windows\Microsoft.NET\Framework**.exe, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\SoftwareDistribution\Download\**\*.exe, C:\Windows\system32\dllhost.exe, C:\Windows\system32\LogonUI.exe, C:\windows\system32\MRT.exe, C:\Windows\system32\msiexec.exe, C:\Windows\system32\poqexec.exe, C:\Windows\system32\svchost.exe, C:\Windows\system32\wininit.exe, C:\Windows\system32\wuauclt.exe, FrameworkService.exe, McAfeeFire.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, MPEScanner.exe, MRTSTUB.EXE, \??\C:\Windows\system32\winlogon.exe 目标**.exe 建、写）
3、【禁止创写dll】 （包含* 排除C:\Windows\explorer.exe, C:\Windows\Microsoft.NET\Framework**.exe, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\SoftwareDistribution\Download\**\*.exe,C:\Windows\system32\poqexec.exe,C:\Windows\system32\svchost.exe,C:\Windows\system32\wuauclt.exe,C:\Windows\system32\wininit.exe, C:\WINDOWS\SYSTEM32\SPOOLSV.EXE,FrameworkService.exe, McAfeeFire.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, MPEScanner.exe, MRTSTUB.EXE, \??\C:\Windows\system32\winlogon.exe 目标**.dll 建、写）
4、【禁止创写sys】 （包含*.* 排除C:\Windows\explorer.exe, C:\Windows\Microsoft.NET\Framework**.exe, C:\Windows\servicing\TrustedInstaller.exe, C:\Windows\SoftwareDistribution\Download\**\*.exe,C:\Windows\system32\poqexec.exe,C:\Windows\system32\svchost.exe,C:\Windows\system32\wuauclt.exe 目标**.sys 建、写【该条为免意外，先勾选报告，多开关机几次，看看你的显卡之类的硬件是否需要添加排除】
5、【禁止创建scr】 （包含* 目标**.scr 创建）
6、【禁止创建bat】 （包含* 目标**.bat 创建）
7、【禁止创建vbs】 （包含* 目标**.vbs 创建）
8、【禁止执行user里的脚本】 (包含cmd.exe,cscript.exe,wscript.exe,powershell.exe 目标C:\Users\** 执行）
9、【防止恶意格盘】 （包含* 目标format.??? 执行）
10、【禁止访问私密文件】（包含* 排除（必用而可信程序）目标（存放最重要的文档、报表、资料的目录） 读、建、写、删）
11、【禁止改写图文资料】（包含* 排除（常用而合法的程序）目标（存放图片、文档、资料的目录） 写、删）
-------------------------------
启用自带规则 （勾选阻止+报告）
1）防间谍程序最大保护---禁止所有程序从 Temp 文件夹运行文件，勾选阻止与报告
2）通用最大保护---禁止将程序注册为自动运行，勾选阻止与报告，排除名单更换为：Trustedinstaller.exe, winlogon.exe
------------------------------
开启监控（勾选报告）
3）防病毒最大保护---禁止 Svchost 执行非 Windows 可执行文件，勾选报告
4）防间谍程序最大保护---禁止安装新的 CLSID、APPID 和 TYPELIB，勾选报告
5）通用标准保护---禁止安装 Browser Helper Objects 和 Shell Extensions，勾选报告
6）通用最大保护---禁止将程序注册为服务，勾选报告
7）通用最大保护---禁止在 Windows 文件夹中创建新的可执行文件，勾选报告
8）通用最大保护---禁止在 Program Files 文件夹中创建新的可执行文件，勾选报告
------------------------------------------------------------------------------------
补充：全局大过滤---【禁止非法程序的活动】排除项参考名单
*\APPDATA\LOCAL\FLUXSOFTWARE\FLUX\FLUX.EXE, *\AppData\Local\Google\Chrome\**, *\AppData\Local\Microsoft\**, C:\Program Files**, C:\ProgramData\McAfee\**, C:\ProgramData\Package Cache\**, C:\Windows\**, D:\Program Files\SafeTools\**, \??\C:\Windows\system32\winlogon.exe
（AppData\Roaming里面安装的程序，根据自己的实情与需要加以排除取舍吧）
|
[复制链接]
发表于 2017-7-30 17:46:13
楼主
