關於 sandbox level 的優先級

a256886572008

這裡的 sandbox 泛指 有繼承能力。

卡巴的優先級如下：
trusted < low restricted < high restricted < untrusted

例子：
1.a.exe 被歸類到 low restricted

2.b.exe 被歸類到 high restricted

3.當 b.exe 執行 a.exe

4.則 a.exe 會被 high restricted



但是，comodo 的優先級卻是這樣：
trusted < (partially limited = limited = restricted = untrusted = fully virtualized)
trusted < blocked (和KIS的untrusted，是一樣的level)

例子：
1.把 IE給強制入沙，權限為 fully virtualized

2.被部份限制的病毒執行IE

3.結果，那個IE並不會被 強制入沙(虛擬化的)，而是繼承病毒的權限，繼續使用部份限制。

firefox3

partially limited =
limited =
restricted =
untrusted =
fully virtualized=
官方有帮助文档说明具体有怎样的限制吗？

darkwolf_99

陌生程序还是都进沙盘虚拟化靠谱些，全盘感染型就是个例子

UDady

我更关注未来是要设计成可继承（像卡巴）还是向现在这样不继承，感觉继承与不继承都有利有弊

Candygu

向你请教一个问题，comodo能单独为磁盘根目录设置保护规则么？
也就是说，不让程序在磁盘根目录新建文件，貌似现在的办法只能表示成这样 E:\*|

这个样本
http://bbs.kafan.cn/thread-1421553-1-1.html

被限制为partially limited之后，会在磁盘根目录下
1) 将所有文件夹隐藏
2) 创建被隐藏的文件夹的同名快捷方式，命名行执行新建的.vbs文件
3) 在根目录下建一个.vbs文件和autorun.inf文件

有什么好的方式对付这种样本？

Tomin2009

楼主总是能发现细节

darkwolf_99

Candygu 发表于 2012-12-2 22:08
向你请教一个问题，comodo能单独为磁盘根目录设置保护规则么？
也就是说，不让程序在磁盘根目录新建文件， ...

完全虚拟化就完全没有这个问题了

跑题一个，SBie

darkwolf_99

firefox3 发表于 2012-12-2 21:07
partially limited =
limited =
restricted =

我只知道很多正常软件在limited下，已经不能正常运行，再严格就更惨了

Candygu

darkwolf_99 发表于 2012-12-2 22:21
完全虚拟化就完全没有这个问题了

跑题一个，SBie

这个不想完全虚拟化

很想知道，怎么单独保护根目录。

darkwolf_99

Candygu 发表于 2012-12-2 22:27
这个不想完全虚拟化

很想知道，怎么单独保护根目录。

这种我觉得类似全盘感染型，不完全虚拟化的话，防不胜防——今天是这个情况，明天又会有另一个情况发生



v6不是把根目录加入到磁盘底层保护那块去了嘛，防不了？