什么叫MSE只监控传入不监控传出？

拥抱天堂

不明白

forgotten

http://bbs.kafan.cn/thread-1132247-1-3.html

拥抱天堂

forgotten 发表于 2011-12-18 19:14
http://bbs.kafan.cn/thread-1132247-1-3.html

就是说只在写入的时候监控，读取的时候不监控？这样太弱了吧，好多病毒就是下载的时候看不出来，等运行了就干坏事的啊

forgotten

拥抱天堂 发表于 2011-12-18 19:27
就是说只在写入的时候监控，读取的时候不监控？这样太弱了吧，好多病毒就是下载的时候看不出来，等运行了 ...

呵呵，所以才建议选择监控所有文件（传入和传出同时监控）

UDady

forgotten 发表于 2011-12-18 19:30
呵呵，所以才建议选择监控所有文件（传入和传出同时监控）

全监控爆卡exe，只监控写入安全性也不一定低吧，如果怕不安全要加个HIPS

forgotten

UDady 发表于 2011-12-18 19:35
全监控爆卡exe，只监控写入安全性也不一定低吧，如果怕不安全要加个HIPS

这个，每个人对安全的定义不一样，有些人会觉得不安全。
就我个人来说，是排除explorer.exe进程，开全监控http://bbs.kafan.cn/forum.php?mod=viewthread&tid=998710

但是这方法并不适合所有人，还是得看其他人对安全的定义。呵呵，适合自己就好

寒山竹语

UDady 发表于 2011-12-18 19:35
全监控爆卡exe，只监控写入安全性也不一定低吧，如果怕不安全要加个HIPS

好像多半发生在xp或特殊算法的exe上。如，ziyoumen等这样的东西。

UDady

我是搭配了comodo，mse只监控传入，因为comodo默认规则里explorer拥有最高权限，如果mse里排除explorer.exe进程就不安全了

apollost

UDady 发表于 2011-12-18 19:44
我是搭配了comodo，mse只监控传入，因为comodo默认规则里explorer拥有最高权限，如果mse里排除explorer.exe ...

+1，偶也是mse+comodo，流畅的很

帅就是帅

建议全监控传入及传出，并且不排除explorer.exe；

如果实在想排除，可稍微折衷不让安全性降低太多，在配合手动hips的前提下，允许explorer.exe的所有行为，禁止除了userinit.exe外其它所有程序为其父进程。

安全性还是会降低一些，但也算是目前最好的折衷办法了吧。