3Q咖啡区巡演，2L给出了思路规则，还请各位不吝赐教！···

---

建议：

1、放弃HIPS经验思路，因为，只会是大量的规则淤积，而实际防御效果不会很好
2、编辑规则，要从整体出发——先完成整体的框架，而后根据可能产生的漏洞，进行弥补（你的规则，整体上，并不完善；而“黑名单系列”与“监控系列”，属补漏规则）
3、合理使用默认规则

---

qqq123123

storyhare 发表于 2011-11-17 11:41
详细（部分）：

1、创建SystemRoot目录进程01

感谢提醒，看看2L的思路，给点建议···

zixiang5288

又跟新了吗，现在没有太多时间折腾，先看看

hui24681031

qqq123123 发表于 2011-11-16 10:18
咖啡还是灰常不错的···

可惜就是VSE没有墙 唉！ 只能自己配毛豆 本来配HIP的 但是HIP易用性太差了 有些放行继续阻止！

墨池

每天来支持！顺便看看进度。

qqq123123

墨池 发表于 2011-11-17 20:42
每天来支持！顺便看看进度。

提点建议啊···

墨池

qqq123123 发表于 2011-11-17 21:02
提点建议啊···

总体思路目前没看出问题，脑子慢。
要排除的进程：explorer.exe,*\windows\**,360zip.exe,excel.exe,powerpnt.exe,winword.exe,*\Program Files\McAfee\**
这样的排除有包含关系，*\windows\**包含explorer.exe，应该去掉explorer.exe。*\windows\**表示任意位置的windows文件夹内的所有文件——包括内存，这样排除太宽泛，影响安全性，C:\windows\**更好。要阻止的文件或文件夹用**\windows\**可以扩大防御，而排除以缩小为宜。

一孔之见，小细节而已！

langfangli

自己不会弄规则，但看一些思路很有启迪。这个帖子真是很精彩。觉得是几年来最精彩的。

qqq123123

墨池 发表于 2011-11-17 21:25
总体思路目前没看出问题，脑子慢。
要排除的进程：explorer.exe,*\windows\**,360zip.exe,excel.exe,pow ...

今天更新了毛豆规则、MD规则、咖啡规则！貌似墨兄最近也玩毛豆，何不去看看？

462588842

qqq123123 发表于 2011-11-17 22:12
今天更新了毛豆规则、MD规则、咖啡规则！貌似墨兄最近也玩毛豆，何不去看看？

你更新的毛豆规则在哪？