（更新）ＭｃＡｆｅｅ企业版修改三条默认规则的含义与价值

显示全部楼层 · 发表于 2013-8-9 13:03:41

更新了《ＭｃＡｆｅｅ企业版修改三条默认规则的含义与价值》，请版主考虑开放该帖：
http://bbs.kafan.cn/thread-1564902-1-1.html

显示全部楼层 · 发表于 2013-8-9 14:11:28

唉，人太少了

显示全部楼层 · 发表于 2013-8-9 14:34:52

462588842 发表于 2013-8-9 14:11
唉，人太少了

哈哈，没关系，一上来就看见你，很高兴！

显示全部楼层 · 发表于 2013-8-9 14:48:23

本帖最后由 jxfaiu 于 2013-8-9 14:56 编辑

将默认规则：
规则名称：将所有共享项设为只读
要包含的进程：system:remote
要排除的进程：无
修改为全局规则
规则名称：将所有共享项设为只读
要包含的进程：*
要排除的进程：绝对路径排除

我想有些文件的控制规则还是必要的吧，（因为排除的进程可以写入、创建、删除任意文件）如控制创建：DLL文件

墨大是神龙呀！

显示全部楼层 · 发表于 2013-8-9 14:56:35

墨池发表于 2013-8-9 14:34
哈哈，没关系，一上来就看见你，很高兴！

没事就用手机上，一天上来十几回吧，上班有时太闲了！你你联系方式没有换吧？

显示全部楼层 · 发表于 2013-8-9 15:10:32

jxfaiu 发表于 2013-8-9 14:48
将默认规则：
规则名称：将所有共享项设为只读
要包含的进程：system:remote

绝大多数病毒都是exe文件，只要控制好exe文件的入口就好了，而默认这几条规则配合起来，只要不要隐藏文件扩展名，咖啡足以保护系统和软件exe和dll文件，控制常见病毒窝点exe无法运行，从而起到防病毒爆发的作用。至于小浩是cpl，白加黑是黑dll，咖啡防不了，硬盘炸弹XP防不了，VISTA以上系统用户控制即可以防。所以，加上

规则名称：禁止公用程序创建/修改可执行文件_exe
要包含的进程：eudora.exe, explorer.exe, firefox.exe, iexplore.exe, MAPISP32.exe, mozilla.exe, msimn.exe, msn6.exe, msnmsgr.exe, neo20.exe, netscp.exe, nlnotes.exe, opera.exe, outlook.exe, Owstimer.exe, packager.exe, pine.exe, poco.exe, QQ.exe, RESRCMON.EXE, SPSNotific*, thebat.exe, thunde*.exe, TM.exe, VMIMB.EXE, WinMail.exe, winpm-32.exe, winrar.exe, winzip32.exe
要排除的进程：绝对路径排除
要阻止的文件：*.exe

这条规则，日常绝对够用。至于测试样本，非信任区下无法运行，没有意义，信任区下测试，只要写、创、删没有排除，无法破坏文件，可以无忧。唯有木马病毒，一旦进入信任区，因为没有防读，可能会泄露个人隐私，加上端口规则控制，不能出站入站都不行，读了也白费。对了，还应该加上端口规则。

你在原帖的绝对路径排除“阻止对所有共享资源的读写访问”，理论上解决了信任区病毒爆发的问题，旦实际运用很难，有的人安装软件比较多，咖啡排除容量有限。我的办法是通过“管制系统”和“管制程序”来实现的。

显示全部楼层 · 发表于 2013-8-9 15:14:35

462588842 发表于 2013-8-9 14:56
没事就用手机上，一天上来十几回吧，上班有时太闲了！你你联系方式没有换吧？

没有换。

显示全部楼层 · 发表于 2013-8-9 16:58:07

又见墨大～～

显示全部楼层 · 发表于 2013-8-9 22:17:58

http://bbs.kafan.cn/thread-1564902-1-1.html
应该解锁了
感谢更新

显示全部楼层 · 发表于 2013-8-9 22:18:22

墨大，终于等到本人了，system:remote是什么？怎么理解

[讨论] （更新）ＭｃＡｆｅｅ企业版修改三条默认规则的含义与价值

评分

评分

评分