墨大McAfee880P1卧龙规则的疑惑

cocabean

本人VSE小白， 很想用用墨大的规则， 于是就看了看，有点疑问，203，303是不是包含了其他的？？

规则名称：201 保护系统_系统列表（交叉保护）
要包含的进程：C:\Windows\**
要排除的进程：（列表2：系统进程。32、64位XP、Win7、2008R2三大系统通用）
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：202 保护软件_系统列表（交叉保护）
要包含的进程：C:\Windows\**
要排除的进程：（列表2：系统进程）
要阻止的文件或文件夹名：**\Program Files*\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：203 管制系统_文件
要包含的进程：C:\Windows\**
要排除的进程：（列表2：系统进程）
要阻止的文件或文件夹名：*
要禁止的文件操作：读取 写入 执行 创建 删除

-------------------------------------------------------------------------------
规则名称：301 保护系统_软件列表（交叉保护）
要包含的进程：C:\Program Files (x86)\**, C:\Program Files\**, D:\Program Files (x86)\**, D:\Program Files\**, E:\Program Files (x86)\**, E:\Program Files\**（删除本机没有的）
要排除的进程：（列表3：系统列表。需要自己整理，准确为宜）
要阻止的文件或文件夹名：C:\Windows\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：302 保护软件_软件列表（交叉保护）
要包含的进程：C:\Program Files (x86)\**, C:\Program Files\**, D:\Program Files (x86)\**, D:\Program Files\**, E:\Program Files (x86)\**, E:\Program Files\**（删除本机没有的）
要排除的进程：（列表3：系统列表）
要阻止的文件或文件夹名：**\Program Files*\**
要禁止的文件操作：读取 写入 执行 创建 删除

规则名称：303 管制软件_文件
要包含的进程：C:\Program Files (x86)\**, C:\Program Files\**, D:\Program Files (x86)\**, D:\Program Files\**, E:\Program Files (x86)\**, E:\Program Files\**（删除本机没有的）
要排除的进程：（列表3：系统列表）
要阻止的文件或文件夹名：*
要禁止的文件操作：读取 写入 执行 创建 删除

----------------------------------------------------------------------------------

Savoor

规则的作用对象是"要包含的进程"

规则的保护对象是"要阻止的文件或文件夹名"

规则的管制动作是"要禁止的文件操作"

shiyuelaohu

没错，是包含了其他的。

墨池

用了就知道了，软件列表没准备好了话，排除是很辛苦的！

cocabean

墨池 发表于 2012-12-25 08:25
用了就知道了，软件列表没准备好了话，排除是很辛苦的！

是的啊，排除的我头疼啊，从来没这么折腾过

酷爱2012

顶顶更健康！！！

x-天秤座

   203和303的规则从内容看确实是包含了其他规则，不过墨大的意思是那几个规则你可以都要，但是你可以根据某些情况把某些规则选择。
   例如有些时候，你就可以把203不打勾，只选择201和202来保护好windows和Program Files目录，这样你就不用排除---墨大的排除麻烦就是这个意思。
   否则，你如果单只要个203全部防护，那么你可能因为某个目录（例如\123目录）下的程序你需要关闭203规则，这个时候，如果\123目录下的程序不仅仅影响本目录也影响那两个目录怎么办？你就不能保护那两个目录了。
   303同理......墨大没有给你详细解释，我帮手补充下他大概就是这个意思。

cocabean

x-天秤座 发表于 2012-12-29 18:17
203和303的规则从内容看确实是包含了其他规则，不过墨大的意思是那几个规则你可以都要，但是你可以根据某 ...

终于明白了，谢谢，他们讲的太含蓄了

墨池

那些规则是从不同的角度保护同样的东西，目的是让不明程序无法突破防御。只有这样，信任区才不会有漏洞，属于疯狂规则。日常并不需要如此，但全部启用排除好了安全系数非常高。排除技巧：同一个进程要在同系列中同时排除，否则还是不能运行。