本帖最后由 柯林 于 2014-6-27 10:26 编辑
《麦咖啡柯式简易规则初级版》-自定义规则部分
自定义规则服务于安装卸载软件和兼顾防毒的需要，按交叉保护的原则进行编制。具体内容如下：
==============================================
一、程序安装及过滤（放行安装+阻止非法行为+漏洞弥补）
1、程序安装总开关：全局exe控制
名称：全局exe控制
包含：*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup*.tmp, *\**\Program Files*\**\unins*.exe, *\**\Program Files*\**\updat*.exe, *\**\Program Files\Chrome\chrome.exe, *\**\Program Files\Common Files\McAfee\SystemCore\*.exe, *\**\Program Files\Internet Explorer\iexplore.exe, *\**\Program Files\McAfee\**\*.exe, *\**\Program Files\Mozilla Firefox\firefox.exe, *\**\Program Files\SogouExplorer\SogouExplorer.exe, *\**\Program Files\WinRAR\WinRAR.exe, *\**\Users\Public\**\Uninstall.exe, *\windows\system32\winlogon.exe, C:\Safe SetupFiles\*.exe, c:\windows\Microsoft.NET\Framework\v*\mscorsvw.exe, c:\windows\servicing\TrustedInstaller.exe, c:\Windows\SoftwareDistribution\Download\**\*.exe, c:\windows\system32\dism.exe, C:\windows\system32\Dllhost.exe, c:\windows\system32\LogonUI.exe, c:\windows\system32\msiexec.exe, c:\windows\system32\wininit.exe, c:\windows\system32\wuauclt.exe, Explorer.exe, svchost.exe
目标：**.exe
阻止：创建，写入
（注释）：首先要存在允许创建exe文件的源头（在这条规则中，系统文件创建的源头是c:\Windows\SoftwareDistribution\Download\**\*.exe,用户安装程序创建文件的源头是C:\Safe SetupFiles\*.exe），才能由exe实施下一步的创建写入操作。上表中唯一例外的是*\**\AppData\Local\Temp\*.tmp\*Setup*.tmp这个tmp格式的PE文件【假如有必要，*\**\AppData\Local\Temp\*.tmp\*Setup*.tmp这一条可直接写成*\**\AppData\Local\Temp\*.tmp\*.tmp】。
路径限制，把非法者阻挡在外（这是该条要求必须路径方式排除的原因）。【Explorer.exe, svchost.exe不用路径方式，是由于默认规则里那条“禁止假冒系统进程”的规则已经把假冒者踢出】
如果你苛求安全，请把*\**\AppData\**\*.exe这样的规则，改成C:\Users\zhangsan\AppData\**\*.exe这样的形式（更进一步的细化，请参考47楼的资料（一般人没必要，那样太麻烦）。
*\**\Program Files\WinRAR\WinRAR.exe是压缩软件，如果你用的不是winrar，请改成你用的压缩软件。
C:\Safe SetupFiles\*.exe，这个是安装源（请在C盘上建个Safe SetupFiles文件夹，把你下载的可信安装包放进去，你要安装程序就到这里面执行安装程序。如果你不喜欢这个名字，或者不喜欢摆在C盘上，请改成你喜欢的名字，放在你喜欢的地方，然后把规则（默认规则到自定义规则）里所有的C:\Safe SetupFiles\*.exe换成你设定的路径）。
*\**\Program Files\Internet Explorer\iexplore.exe,*\**\Program Files\Mozilla Firefox,*\**\Program Files\SogouExplorer\SogouExplorer.exe, *\**\Program Files\Chrome\chrome.exe这些是浏览器，添加排除是为了让你从天空网站之类的站点下载exe格式的安装包，如果你用的其它浏览器，请自行更改。
其它那些的解释，请参看47楼：http://bbs.kafan.cn/thread-1747036-5-1.html
----------------------------------------------------------------------
交叉保护：这一条以路径放行的方式，限定了有资格写入本机文件的exe或tmp，真要安装软件，还要看通用保护的禁止创建新的可执行文件到系统目录及program files里那两条的规定（排除列表），转回头还要看自定义规则的“系统目录保护-禁止写入windows下层目录”和“用户文件保护-禁止写入用户程序目录”，只有这些规则都放行了，才能顺利完成文件写入。
----------------------------------------------------------------------
2、安装规则漏洞堵截：
由于“全局exe控制”的排除列表里， 有*\**\AppData\Local\Temp\*.tmp\*Setup*.tmp这样一条路径，为了防止被病毒或恶意程序利用，特制定两条补漏措施：
名称：安装文件保护-禁止非安装程序创建可安装tmp文件
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\~*.tmp\*.tmp, C:\Safe SetupFiles\*.exe, c:\windows\system32\msiexec.exe
目标：**\AppData\Local\Temp\*.tmp\*.tmp
阻止：创建，写入
名称：禁止不明程序执行tmp文件
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup*.tmp, *\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**, C:\Safe SetupFiles\*.exe
目标：**.tmp
阻止：执行
（注释）：对于常规使用要求来讲，这样的补漏已经ok了【如果你要站在苛求严厉的角度，那么，*\**\AppData这样的写法就是漏洞，理论上恶意程序可以创建诸如C:\AppData这样的文件夹，就可以突破；同理，恶意程序也可以创建C:\Users\program files的文件夹实施突破。如果你在乎这个，可以参看上面的说明，改成限定路径C:\Users\zhangsan\AppData\**\*.exe；如果不想改，那么就要加一条防止假冒者创建**\AppData文件夹的保护规则（排除系统主要程序）。一般人我建议你直接By Pass，你用一辈子，可能也遇不到这样的一个“无聊者病毒”】
对于*\**\AppData\**\*.exe这一条的保护，由于*\**\AppData\**\*.exe包含*\**\AppData\Local\Temp\**.exe，同时排除列表里已经放行了浏览器和下载工具，为了避免这些东东把病毒文件下载到Temp里，特意加上一条限制规则：
名称：安装文件保护-禁止下载工具下载exe到Temp文件夹
包含：360chrome.exe, 360se.exe, chrome.exe, firefox.exe, iexplore.exe, opera.exe, QQDownload.exe, SogouExplorer.exe, Thunder.exe
排除：
目标：**\AppData\**\*.exe
阻止：创建，写入
（注释）：包含的进程列表，请根据自己所用的浏览器和下载工具添加完善。【如果追求极致，请把目标位置写成**\AppData\**.exe】
3、影响程序安装及系统文件保护相关规则（符合交叉保护原则）如下：
名称：系统目录保护-禁止写入windows下层目录
包含：*.*
排除：*\**\Program Files (x86)\**, *\**\Program Files\**, *\**\Windows\**
目标：c:\Windows\**\*.*
阻止：创建，写入
（注释）：目标位置写c:\Windows\**\*.*而不是**\Windows\**\*.*是为了不想包含C:\Users\WangPing\AppData\Local\Microsoft\Windows这样的位置。不写成c:\Windows\**是为了排除文件夹【以免增加一些无谓的排除量，如果你追求极致，可以尝试使用c:\Windows\**】
名称：用户文件保护-禁止写入用户程序目录
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup*.tmp, *\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**, C:\Safe SetupFiles\*.EXE
目标：**\Program Files*\**
阻止：创建，写入
（注释）：这一条写成带文件夹一起阻止，是为了防止一些流氓软件（如果你喜欢用各种小工具）写入Program Files里（创建文件是先创建文件夹，然后再写入文件；删除文件是先删掉文件，最后移除文件夹）。
【思考】：如果这两条直接并成一条，目标位置写成C:\**，不是防得更严实、更完美、更高效？如果你觉得有必要，就试试。（我做通用规则，追求易用，排除越少越好）
====================================================================
二、入口防御（U盘防毒+上网程序防毒）
名称：防U盘病毒-禁止执行根目录程序
包含：*.*
排除：
目标：\*.*
阻止：执行
（注释）：这一条其实并不满意，这样一写，所有磁盘根目录都被冻结了，使用光盘安装文件也不可行了。如果使用注册表那一条防御规则，不影响自己点击安装，可以考虑采用那一条，然后把光盘路径加入到“安装规则”里（参考所有规则排除项中的C:\Safe SetupFiles\*.exe写上U盘的绝对路径），就可以用光盘安装程序了。【如果你要从光盘安装程序，方便的时候，请把光盘上的安装文件复制到 C:\Safe SetupFiles里进行安装，如果不方便，请禁用该条规则，在全局exe控制里，仿造 C:\Safe SetupFiles\*.exe写上光盘路径，比如H:\Setup.exe或者H:\*.EXE，并把H:\Setup.exe或者H:\*.EXE添加到相关规则里】
名称：防止QQ传毒-禁止任何程序执行Tencent Files下的东东
包含：*.*
排除：
目标：**\Tencent Files\**
阻止：执行
（注释）：除了U盘，最容易被用来传毒或者传播恶意程序的，大概就数应用广泛的QQ了，为了防止被人整蛊或中招，对于QQ传来的文件一律禁运。（如果你用的别的通信工具，譬如飞信、微信、新浪神马的，自己仿照这一条照猫画虎（把目标位置改成你用的通信工具的文件保存目录）。
关于浏览器等上网工具的限制，默认规则及自定义规则已经有所涉及和限制，对一般人够了，不再添加其它限制。
（是否要限制浏览器等上网工具调用net.exe等危险程序？如果你觉得有必要就写，一般人建议忽略）
注释）：入口防御是一个相当广泛的概念，这里写作U盘防毒+上网程序防毒，仅仅是出于本规则分门别类的需要——以板块形式来介绍规则架构和思想，便于用者理解。【这里说的入口防御，是一个侠义性质的概念】
=========================================================
三、未知程序防御（入口防御的扩展）
名称：特殊文件保护-禁止改写system.ini
包含：*.*
排除：*\**\windows\system32\wininit.exe, explorer.exe, svchost.exe, winlogon.exe
目标：**\windows\system.ini
阻止：写入，删除
（注释）：名噪一时的“启动项”利用之处，出于所谓的谨慎和“严密”，还是限制一下。【一般来说，像wininit.exe,这样的，写*\windows\system32\wininit.exe就可以了，很多时候写*\**\windows\**或者*\**\windows\system32\*.exe，是因为包含\??\windows\system32\winlogon.exe这种特殊的东东（所谓的内核路径吧）】
名称：禁止不明程序调用系统程序
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup*.tmp, *\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**, C:\Safe SetupFiles\*.exe
目标：**\windows\**.exe
阻止：执行
（注释）这是一个全局限制规则，为了不影响我们的程序安装和日常应用，排除安装程序和自己安装使用的程序，实现规则表明的“防御未知程序”。
名称：禁止不明程序调用用户程序
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**
目标：**\program files*\**.exe
阻止：执行
（注释）这一条的真正目的，其实是想限制木马或恶意程序调用IE等浏览器，同时也限制它们调用电子邮件程序，所以一锅端了（咖啡规则不能像HIPS软件那样写很多条，为了简化，通常用一大条来全部代替，需要调整时按日志排除）。
名称：私隐门-禁止非法调用摄像头
包含：*.*
排除：explorer.exe, qq.exe
目标：**\AMCAP.exe
阻止：执行
（注释）：**\AMCAP.exe这个摄像头路径，如果你用的摄像头，程序名不是AMCAP.exe，请自行修改。这一条是防止各种门的，是对上一条“禁止不明程序调用用户程序”的细化与补充。
名称：防恶意-禁止任何程序调用格式化命令
包含：*.*
排除：
目标：**\format.*
阻止：执行
（注释）：恶作剧程序中会被利用到的一个最危险的命令，禁止它。【该条没有添加任何排除，指的是，该规则对未知程序和确认安全的程序都一视同仁，不搞例外，贯彻交叉保护原则】
名称：禁止不明程序访问注册表
包含：*.*
排除：*\**\AppData\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup*.tmp, *\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**, C:\Safe SetupFiles\*.exe
目标：HKALL /**
阻止：对“项”的创建、写入、删除
（注释）：这一条是全局限制规则，除了指定程序，一律禁止。如果你用的程序，比如游戏什么的不在排除列表里，自己添加路径规则排除。（只用这一条，而不再加一条全局限制注册表“值”的创建、写入、删除规则，主要是出于通用考虑——本规则不属于全局禁运系列，为了保证你用的某些小工具、小软件什么的可以正常运行，对注册表里一些临时文件的改写属于正常不阻挡。该条设置项的阻挡，主要目的是不要在注册表里创建新的项目，已有的么，你要访问由你访问【事实上能不能访问还很难说，看CLT之类的测试日志就知道了】
名称：防止敲竹杠-禁止触碰SAM键
包含：*.*
排除：C:\WINDOWS\system32\LogonUI.exe, lsass.exe, winlogon.exe
目标：HKLM /SAM**
阻止：“项”的写入、创建、删除
（注释）：这东东近来太流行了，加一条特别防御。该条与上一条全局禁止不明程序访问注册表，属于补充性质，符合交叉保护原则（防止正常程序被利用）。
注册表防御规则，实际上只是一个简单的“全局禁止，例外就放行”的粗陋的过滤机制，于我本人来讲，并不满意。按照“所有程序可以正常运行，恶意行为被阻止”的通用规则之原则，最好的防御，应该是降权——像系统的受限账户策略那样：应用程序降权在受限账户，不可以访问HKEY_LOCAL_MACHINE键（这里说的访问实际上是指改写），只能访问（改写）HKEY_CURRENT_USER，然后再对HKEY_CURRENT_USER里的一些重要位置实施过滤（只有 *\**\Program Files (86)\**, *\**\Program Files\**， *\**\WINDOWS\**可以访问【必要时再把里面的一些东东提出来设置过滤】，剩下的没危害的东西放行，这样做下来就完美了。
【这样考虑，表面上很严密，但实际上，也可能是属于“童鞋，你想多了”，根本就不是咖啡的风格——咖啡的风格，个人理解是“简单、有效”+“简洁明了”，也就是重点防住启动项和服务项这些木马病毒最爱的地方，就ok的，何必搞那么复杂？】
对于IE主页这个最爱被人修改的项目，没加规则限制，安装程序和你用的程序可能会修改，如果在意的话，就补上一条，对我而言无所谓。
---------------------------------------------------------
名称：反黑-禁止远程访问本地文件
包含：system:remote
排除：
目标：**
阻止：读、建、写、删、执行
（注释）防止远程访问本机文件的，如果阻挡了QQ的远程帮助，试着添加QQ主程序排除，看有用没用？没用的话，在使用QQ进行对本机的远程操控的时候，只能禁用该条。
名称：反黑-禁止远程修改注册表（项）
包含：system:remote
排除：
目标：HKALL /**
阻止：“项”的写、建、删
名称：反黑-禁止远程修改注册表（值）
包含：system:remote
排除：
目标：HKALL /**
阻止：“值”的写、建、删
（注释）：这两条，一个作用是防一般的黑客，另一个作用是防止恶意网页改写你的注册表。
===========================================================
四、数据保护（用户文件保护+反黑）
名称：用户数据保护-禁止改写D盘文件
包含：*.*
排除：**\**\AppData\Local\Temp\**\*.exe, *\**\AppData\Local\Temp\*.tmp\*Setup.tmp, c:\Program Files (x86)\**\*.exe, c:\program files\**\*.exe, C:\Safe SetupFiles\*.exe, c:\Windows\SoftwareDistribution\Download\**\*.exe, CCleaner64.exe, D:\**\*.exe, dllhost.exe, explorer.exe, hh.exe, ie-kb*.exe, kb*.exe, mscorsvw.exe, msiexec.exe, svchost.exe, TrustedInstaller.exe, wininit.exe, wuauclt.exe，CCleaner.exe
目标：D:\**
阻止：创建，写入
（注释）：这是对D盘数据的保护。由于D盘上常会安装一些程序，系统更新时也会创建补丁文件到D盘，所以排除安装程序、用户程序、系统更新程序。排除列表中的D:\**\*.exe是说，如果你D盘上有一些程序的话，允许它们改写D盘上的文件（由于D:\**\*.exe已经包含了D:\program files\**\*.exe，所以不再添加一条D:\program files\**\*.exe，如果你习惯好，只把要用的程序装在D:\program files里，请删掉D:\**\*.exe，换成D:\program files\**\*.exe）。CCleaner.exe是清理工具（如果你用其他的系统清理工具，如果它们没有安装在c:\program files里，请换成它们的名字）；如果你用到文件粉碎机之类，而它们没有在c:\program files路径下，请添加它们的名字排除。svchost.exe是因为备份恢复系统时会改写D:\System Volume Information这个目录，必须排除。
名称：用户数据保护-禁止改写E盘文件
包含：*.*
排除：*\**\program files\**\*.exe, :*\**\Program Files (x86)\**\*.exe, CCleaner.exe, CCleaner64.exe, dllhost.exe, E:\**\*.exe, explorer.exe, FileShredder.exe, hh.exe, notepad.exe, regedit.exe, svchost.exe, winhlp32.exe, write.exe
目标：E:\**
阻止：创建，写入
（注释）：如果你E盘上没有要运行的程序，请把排除列表里的E:\**\*.exe删掉，其他的解释参看上面一条。
名称：用户数据保护-禁止改写F盘文件
包含：*.*
排除：*\**\Program Files (x86)\**\*.exe, *\**\program files\**\*.exe, CCleaner.exe, CCleaner64.exe, dllhost.exe, explorer.exe, F:\**\*.exe, FileShredder.exe, hh.exe, notepad.exe, regedit.exe, svchost.exe, winhlp32.exe, write.exe
目标：F:\**
阻止：创建，写入
（注释）：如果你F盘上没有要运行的程序，请把排除列表里的F:\**\*.exe删掉，其他的解释参看上面一条。
--------------------------------------------
解释：这是假设，你机子上只有四个分区（C盘、D盘、E盘、F盘）而拟定的规则，如果你的磁盘分区少于这个，请删除没有的磁盘规则；如果你的磁盘分区多于这个，请添加其它磁盘的规则（仿照E盘或者F盘规则）。
如果再写上一条禁止改写C:\**的规则，那不是密不透风、水泼不进？你要觉得有必要，就整吧。这样一整，是不是就无敌了？未必！驱动一加载，这就是屁了。钩子一加载，可能也防不住窃密了。就算无钩子无驱动，假设你下了一个恶意病毒，你不知道，放在D盘上一运行，D盘资料毁了（排除D:\**\*.exe的结果）；放在E盘上一运行，E盘资料毁了（排除E:\**\*.exe的结果），咋办？如果你运气这么好，月神没杀掉，认栽吧（如果不想认栽，自己删掉D:\**\*.exe之类的，按日志排除，或者精确路径排除吧）【一般人我建议你忽略该问题，当今热门的是盗取，不是破坏，为这种非主流问题浪费精力，值得吗？我认为不值得】
由于这几条规则的存在，防止恶意批处理和脚本的规则可以省掉了，因为它们的宿主程位于C:\Windows\system32下，而在这几条规则的排除列表里，并没有CMD.EXE和?script.exe的名字，C:\Windows\system32\cmd.exe和C:\Windows\system32\?script.exe对D盘、E盘、F盘将无能为力，恶意删除文件一边凉快去。
》》》》》》》》》》》》》》》》》《《《《《《《《《《《《《《《《《
纵观整个文件保护规则，对D盘、E盘、F盘的保护有了，对C:\Windows和C:\program files*的保护也有了，薄弱的是C:\Users目录，如果你写一条禁止改写C:\**的规则，就完美了（这样写，排除太复杂了，超出了一个大众规则的通用范畴，我不整了，你要有兴趣就自己探索）。就这么一个通用规则，无聊又蛋疼的CLT测试（非信任区）已经270分，还要咋的，童鞋？
==========================================
篇末总结：该规则不求禁运，而以分区划线的方式实施限制，符合一般人日常使用习惯（要用的程序都可运行，必要的限制和过滤都具备）。以交叉保护为原则，编写了一个可以安装卸载软件而又兼顾防毒的规则，满足一般人的日常使用要求。
此规则在保证基本安全需要的基础上，以最大化的易用性为追求。每个人可以根据自己的需要自由取舍（追求极致安全的，把它弄得更严；追求易用的，把它再放宽点）。
规则以易用性为考虑，安全性难免会损失一些，相关的漏洞及缺失也难免存在，譬如说，没有全局限制dll、sys、ocx、vxd、pif、com、bat、cpl、dat、bin这些危险程序的创建，甚至也没有写上一条“禁止任何不明程序执行任何文件操作（读写创删执行）”的全局规则，是不是显得稀松了些？站在普罗大众基本安全需要的角度，这些都已经不是问题，如果你理解了本规则，你会和我一样想——已经没必要了【如果你是站在极致安全需要的角度，你肯定有异议，那么你就往严里做吧】。
都说咖啡难用，都说安全与易用不能两全，希望这个初级规则，能够让处于初级阶段的麦粉喜欢，从此爱上咖啡。谢谢你的阅读和光顾，Over！ |
楼主: 柯林
楼主
发表于 2014-6-24 21:11:33
