本帖最后由 qpzmggg999 于 2015-4-17 22:24 编辑
s2.1 Epo与VSE理解，GTI理解
- epo，vse 位置关系
EPO与VSE同样都属于 McAfee 大企业安全软件中的模块 不过他们的不同点就是 EPO与安全无关，不能保护你的电脑 他主要的作用就是收集VSE和其他咖啡本公司的软件的警告与信息（包括 升级信息，运行信息，软件错误信息，系统信息，网络信息，软件本身的信息等等） EPO把这些信息进行归类并且以一个较为直观的方式把这些信息展现给咖啡的客户 （其所用的展现方法是，列数字，统计图，做比较等等，本文不在累述） 以上是EPO的主要任务之一，那么之2就是统一部署策略到安全终端（也就是McAfee 的各种模块），大家可以想象一下，在一个大企业中，有成百上千万台计算机，如果管理员挨个为每台计算机都安装对应的安全模块，那是要累死的，而且以后更改设置也不方便。为此 统一部署策略到安全终端 对于我们而言 就是我们常说的 批量安装模块和批量修改设置，这就是EPO第2个任务，而EPO所要做的第三个任务是 推送命令任务，这是无法直接在 模块GUI上体现出来的 （前面的2个任务 我们个人用户即使不安装EPO也可以 看到报毒信息和修改部分设置 要注意了 不装EPO只能修改部分设置，不过值得庆幸的是 VSE可以自己修改主要的设置，而对于悲剧的HIP，我们只能修改次要设置） 命令推送任务是企业安全软件的精华所在，之所以有这个任务种类，企业才能更加安全，随着文章的深入，我们会提到一些EPO的命令推送以及一些 VSE被阉割的设置 （不谈HIP） 但是我们的重点还是要放在没有EPO环境下的VSE，因为卡饭的会员中能用到EPO的不是很多，我可以放心的告诉大家，对于我们个人用户而言，与Symantec不同，在个人环境下没有EPO的VSE也一样安全，为什么？原因很简单 VSE起初被设计就是可以被托管或者也可以拿来直接使用的，毕竟本地杀毒是安全软件的核心，McAfee已经考虑到了企业中部分计算机可能因为某种限制而不能受到EPO的管理，所以你会发现一个问题 VSE照比 HIP 或者 MDD 在没有EPO的情况下，可以设置的选项多得多，可操作的警报选项也十分详细！
- EPO中的VSE与非托管的VSE异同理解，以及个人的建议
刚才到EPO中看了一下，VSE没有而EPO有的设置仅有一条，那就是取消开机图片。（已亲身体验）实际上这个方法也有，具体请参考卡饭内的文章。话说回来，真的是应了我上面说过的话，因为VSE是安全软件之根本，是安全公司最核心的内容，所以McAfee公司把所有选项都呈现给了单机用户，那么，VSE与被托管后的VSE差别仅仅只在是否可以做到推送任务，这对大企业而言固然十分重要，不过对于卡饭的各位却并不是非常重要，并且EPO占用资源不小，每个会员的电脑上都安装EPO不太适合，另外就是EPO有90天的免费评估期，不过如果装了处于评估期的EPO后，相应托管后的VSE，HIP都变成了试用版，也就是说只能用90天，而大家都知道，在咖啡官网或者置顶帖下载到的VSE独立安装包是无期限的，根据以上的种种理由，我想对大家说2点： 1.个人使用VSE完全不需要EPO 2.个人电脑不适合安装EPO，授权也是一个大问题。 我看了一下HIP在EPO中的设置，的确很全面，没有EPO真的不建议使用HIP。
- GTI
GTI前身为月神，几年前加入了云信誉，而最新的GTI，则是一个完完全全的企业保护神器，是一个全世界的主动威胁感知防御体系。没错，GTI并不仅仅包含着云扫描，也不是几年前简简单单的一个信誉统计，如今的GTI完全是一个即拉黑，网页保护，信誉控制，云端启发为一体的威胁感知网，而且他和其他公司的云还不一样，GTI的信誉云运作方式和某铁壳有着一些不同，其最主要的区别就是，GTI不会因为信誉不好而直接认定程序是病毒，而是因为信誉不好所以让云启发提高警戒程度，这一点也属于人工智能的一个部分吧。而且大家可以看到，自从GTI的诞生，咖啡处理病毒样本的速度就今非昔比，没错，咖啡如今大量的使用基于GTI规则的终端机来分析病毒样本和网站信誉（就如同趋势一样），我们大家都知道，咖啡早在几年前就收购了一家网站信誉评级公司，而如今，咖啡把这个信誉评级公司加入了GTI的一部分。使之更强大，更加可靠！
S2.2 Virusscan 全名 病毒扫描器
part1 从软件在安全系统中的位置开始无话不谈
安全系统 也就是 sure system 他是一个软硬组合的综合概念，至于硬件安全体系，个人也用不到 谈了也没啥太大用处，本文主要仔细探讨一下 软件安全体系 和 威胁规避体系
首先，软件安全体系就是软安全体系 那么 什么是软件呢？ 我相信大家已经能区分的开了，不过要注意一点 不仅仅应用程序是软件，就连系统本身，驱动程序 甚至是BIOS 都是软件。软件接收数据，生成数据，主板硬件运送数据，接口卡硬件处理数据（这里把cpu也看做接口卡硬件） 对于计算机基础原理我们有时间再去讨论，那么现在大家要明确软件安全体系包括哪些，大家可能都知道 安全软件都有杀毒软件，HIPS，防火墙，反间谍软件等等。对的，他们就是安全软件体系中最重要的一部分，他们有一个鲜明的特点 都是基于OS平台 （譬如 Windows 或者 OSX）而工作的 这些安全软件也同样主要控制在OS上活动的安全威胁。而除此之外，其他的软安全体系的种类包括 Base I/O system Guard 和 OS Base Def 他们都是我们不常涉及到的软安全，企业会把他们视为重要的安全保护神 BIOS guard主要用于给电脑从硬件BIOS中设下密码，以便于防止电脑内的信息被其他人所看见。OS base def 包括上文提到的 高级数据执行保护 其主要作用也与个人关系不大，本文章主要讲解的就是和大家密切相关的 基于os的安全软件。
威胁规避体系。随着网络安全与计算机病毒的不断进化，大家也可熟知，网络安全从一个 杀病毒时代走向了一个防病毒时代。而今天 2014年，我所要强调的是 规避 2字，什么是规避？用土话来说就是躲掉，不错的 这个名词的意义就是躲开病毒的方法。卡饭流行的一句话 好的习惯就是最牛逼的杀软，其中 好的习惯就是一个最好的威胁规避的方法，而装安全软件则是在病毒即将运行的时候把中毒的机会躲避掉，而自从你装了VSE 你的电脑上就出现了第三种最主要的威胁规避方式。 “带毒而不中毒” 说的就是访问保护的作用 病毒虽然已经驻留在内存之中，却无法做恶，这。其实也是一种威胁的规避方式，而且只要把启动项保护好，重启之后病毒将无法重新在内存中运行。此时 威胁被完完全全的规避了。
不知道大家是否已经理解这2个概念，尤其是最后一个规避概念，实际上访问保护最早被做出来的原因就是因为第2个概念的存在，而如今却被饭友大量的用来做禁运。我也不能说禁运不好，只不过我想说一句，规则是一个安全部分，是用来阻断病毒入侵的，不是来阻碍正常软件运行的。这样禁运还要做大量的排除，实在是违背了软件本意。而且还会给使用者带来极大的不便，尤其是安装软件的时候
s2.3 软件实际运用部分理解-1.设置理解
part1.控制台UI理解（新手向）
Photo 2.3 -1
如图所示，我们把VSE的控制台简单划分为4个部分，浅蓝色为选单区域，深蓝色为控制组建区域，紫色为组建模块状态显示区域，绿色为解释区域，其中绿色模块在实际操作中没有多大意义，我们先不看，我们要注意一下，在浅蓝的选单区域内 查看（C） 控制着整个UI的情况，它具有2个功能，一是关闭深蓝色和绿色的区域，二是刷新紫色的区域 （紫色是基础，深蓝色依托于紫色中各个模块的状态而决定哪个按钮可以按下，这也就意味着刷新紫色区域时，蓝色是一个被动刷新的状态）
看完了关于一个UI的大概，我们理解一下每个单选（浅蓝色）栏中的选项吧，首先 任务（A）选项对于我们没有太大的意义，不是说功能没用 而是所有的可选选项都可以在GUI内完成，无需唤出任务 菜单，不过此时还是让我们理解一下 任务 菜单内包含着什么。 点开之后 任务（A） 主要有3个功能 1.查看属性 2.控制当前在紫色栏中选中的模块（默认是访问保护，在图 1 中大家可以看到，访问保护是被选中的，那么此时点击 任务 菜单内的停止选项，访问保护就会被停止，点击属性就会出现规则设置，但是此时就不会有统计信息按钮，因为统计信息仅在扫描任务中可见，对于访问保护来说，只有查看日志是可以在 任务 菜单中选中的） 我们再来看看 任务 中的其他选项 创建扫描任务和镜像/更新任务，前者是关于自定义扫描的，我们以后再提，后者个人用不到的，我们后面不提，这里简单说一下，镜像和更新任务都是要基于被托管的MA才能进行的，且EPO要给出相应的任务才可以执行，本文不再累述，对我们用处不大。
再来看看最没用的 编辑（B） 选项 他主要是对模块（计划）进行修改以及删除 这同样可以在GUI中完成，这里就不详细描述，值得一提的是，1.这个选项的 粘贴 任务 实际上代表就是插入一个任务 2. 复制就是准备插入一个任务，对于个人而言，在VSE上复制并粘贴的意义就是克隆出一个一模一样的计划（个人用户不可能一台电脑装2个VSE吧） 3.这里的 删除和重命名都是针对 默认的扫描计划，自己的扫描计划，以及自己的镜像/更新任务计划。但是自动更新组建虽然无法删除但是可以重命名。
查看（C）已经在上面的一个段落内讲完，现在我们再来看看 工具(D) 这个菜单中的第一个任务是无法通过VSE的GUI（包括其他渠道）来执行的全局设置，这个我们会随着文章的深入进行讲解。而解锁和上锁则是有关于全局设置中的密码保护的设置。接下来的 3个选项分别是 深蓝色区域内的后5，4，2的按钮。平常使用VSE的时候用不到，尤其是连接远程计算机。下面有一个关于病毒库的设置（统计信息后面会讲到），导入导出dat是指 dat服务器列表，是在特定的企业环境中使用的，与我们无关，这个工具 菜单 唯一的2个重点就是 第一个全局设置和最后一个回滚DAT，回滚DAT是为了防止新的DAT没有足够的测试，导致了大量误杀的补救措施，当新DAT出现大面积误杀的时候，除了用排除，还可以回滚到上一版本的DAT。 回滚DAT选项也无法在GUI内操作。
对于最后一项帮助（E） 我只说最后2项，修复安装就是指把软件还原回默认出厂设置。关于里面查看 VSE 的信息。其中最关键的包括 扫描引擎版本，DAT创建日期和以安装的补丁。至于拓展DAT，我们不再细谈，拓展DAT就是当你上报病毒文件并且咖啡确定这个病毒是有效的病毒且现在的病毒库无法发现这个病毒，咖啡公司就会随返回结果的邮件，一起发送 Extra DAT 文件。当你把 Extra DAT下载到本地运行后，VSE就会被安装上 拓展病毒库，那么此时，之前不能被正确扫描到的病毒就已经可以被发现了！一般咖啡公司检测到的病毒都会于明日下午5点钟 一起打包写进新的 DAT，所以大家无须担心没有Extra DAT就杀不了特定病毒了，因为Extra DAT中的内容会写入下一个病毒库中。
谈完了 浅蓝色的选单区域 再来说说 深蓝色的组建控制区域，实际上你会发现 深蓝色的区域是一个完完全全的GUI控制部分（GCP）其中的前三个按钮分别是 查看当前选中（在紫色区域内）的组建的属性，和模块停止或者运行 接下来3个按钮分别代表 编辑 菜单栏中的几项功能 后面的闪电标志下面会讲解，然后其他的按钮对于我们来说没有什么大用，最后一个创建扫描计划之前已经有提到过。
其余的2个控制区我简单说一下（后面会详细提到） 紫色的组建模块区域 这其中显示了 1当前组建的状态（通过ICON来判断，其中仅对保护组建有用，对于其他计划和更新模块无用{不能通过ICON来判断扫描是否处于启用状态或者是否正在更新DAT})2当前组建的信息（是否处于运行状态，上次运行结果如何） 而最下面的绿色解释区域就是来解释鼠标选中的功能是来干什么的 （仅仅解释浅蓝色的区域）无什么实际用途，可以选择去掉这个显示模块。
Part2 模块属性理解
1.按访问保护属性
这就是按访问扫描的属性默认界面（常规设置-常规） 在这个页面我们可以选择 VSE监控引擎对哪哪些区域进行动态监控，那么
1.引导区监控-- VSE按访问保护会扫描系统的引导区和电脑磁盘的引导区。并且清除病毒。
2.关机过程扫描软盘--为了防止软盘威胁在安全软件关闭后感染系统，vse会在关机前扫描一次所有软盘。不过现在我们不经常使用软盘了，没有必要启用扫描了。
3.内存监控-启用进程扫描--这个选项开启后VSE将会实时扫描内存内的新进程，一般来说，VSE会在病毒运行前对他进行扫描，所以我们一般不勾选在内存扫描，免得浪费资源，不过有一种扫描思想，就是不开启按访问扫描的读写扫描，只开这个进程扫描，1是避免VSE监控拖慢磁盘文件移动修改的速度（复制粘贴解压等等）2是减少VSE的读盘。不过这样安全性有待于商榷。
4.扫描可信的安装程序--这个也没必要开启，首先国内的白加黑弄到的假签名都不是VSE受信任的，其次VSE受信任的也没有几个厂家（不像毛豆那样），最后 扫描的只是安装程序，即使不开启这个选项，可信的程序安装好后还是需要被扫描到的。
至于开启启动项和扫描时间这里就不提了，没有什么价值可言。建议 开启动项 扫描时间默认即可。
最后看看这个月神，这个VSE上的月神和GTI还是有应用上的区别的，EPO上的GTI主要以信誉为主，而VSE上的月神主要就是启发，值得一提的是 月神一共有7个选项 从禁用到极高，VSE只能调节到非常高，个人版和SaaS可以通过注册表改动到极高级别。VSE在patch4以前 默认月神级别是低 patch4改为中，个人版和SAAS一直是非常高级别。且不能通过GUI改动月神级别。
之前提到过了脚本扫描--一个基于DAT ENGINE的实时扫描技术。它主要检测java和VB脚本，实际上在中国实际用途不大。下面是排除选项，可以排除网站等等，排除语法与规则语法相同。*是通配符 （比如排除 www.kafanvse.com 和www.kafanmcafee.com 就可以写 www.kafan*.com)
阻止这一拦对于个人用户而言意义不大，消息那里就是发现病毒以后与epo回报消息是什么，阻挡那里就是说，当你的计算机通过网络连接共享并且查看其他计算机的时候，vse会对其他计算机的共享文件夹进行扫描工作，一旦发现威胁就会阻止你打开病毒文件，并且阻止连接到此染毒的计算机。
这里首先说一下用户可采取的操作，就是说当病毒被发现之后，vse会弹出一个集合式的警报窗口，当用户选择病毒后，右键病毒可以操作的事情，我建议3个选项全选
上面的面向本地用户的信息就是说当病毒被发现后vse该如何通知你，可以自己自定义，没有什么太大用处，与安全无关。
这个操作方式建议直接默认，因为咖啡发现病毒删除实际上等同于隔离危险文件，而不会真正的删除
2.小提规则属性
待续………………
s2.3 默认规则理解
1， 规则效力-全局禁运？
从身边说起
咖啡的默认规则大体分为 浏览器及其缓存控制部分，缓存文件夹控制部分，系统重要设置保护部分，文件拓展名控制部分，中毒后的禁运部分，Mcafee自保部分，c盘windows重要文件夹内控制部分和虚拟机保护部分（很多软件都和vmware有合作关系，比如symantec也有类似保护计划）
其中9个部分中涵盖了3大块 1 文件操作控制 2 注册表操作控制 3 端口调用控制 也就是说 VSE的访问保护并不能阻止 1 注入行为 2 网络入侵 3 底层入侵
VSE对于高权限威胁没有任何方法，所以我们必须在病毒没有提权的时候就阻止他们 即 阻止提权，但是我们一眼望去默认规则貌似并没有 驱动文件夹控制 部分，其实上 还真的就没有 于是网上就有各位大神写出了 类似防止驱动文件夹被写的规则 比如 阻止 C：/windows/system/drivers/** 创建文件 但是 这不必要 如果用户的系统是 64位你岂不是还要多写至少2个规则吗？实际上，网上的drives规则 包括 禁止写入 c：/windows/** 或者 c：/program files */** 都是画蛇添足 （我去年在NT6规则上就犯过这个毛病） 而且我大致浏览了这些第三方规则的写法，阻止一般都是5项全勾，但是大家要注意 80%的正常APP都会读取 windows文件夹内的文件的，如果你的软件不都装在 program files下 那么恭喜你 中彩票了！也就是说：你需要大量的排除你的软件的主进程以及分支进程，尤其是专业app会不断的调用windows内的DLL文件 如果你控制了全盘的 dll文件 那么恭喜你 你又中奖了，从此你就进入了排除时代！而使用通配符还不够安全。
也许你会认为，只要把专业app排除了不就没事了吗。也许哪天 当你下载一个专业app破解补丁的时候 存储到了专业app的文件夹内 一不小心（100%是忘了）运行了 那么恭喜你 病毒感染你系统后访问规则都没有日志。
没有人能做到100%不犯傻，有的时候就 头一热 就把病毒排除了 所以对于禁运流来说 一定要认真审核你电脑上的每一个软件。 如果你觉得这句话不错，那我就笑了，既然这样还要禁运有什么用？我相信卡饭的大家下载软件后都会对软件来源进行安全评估的。所以我觉得禁运只不过是在次评估的，实际意义不大，一般都没什么用，该中毒还是中毒！
默认规则的防御思想是 允许所有软件运行，并且正常调用api等等，但是不允许软件进行可疑操作，我觉得这是一个非常好的防御理念 （不知道比非白即黑的禁运好多少）而且回到我上面的 病毒写入windows 文件夹内的问题 你可能会问我 默认规则不能防止病毒写入windows文件夹内，要是我问你为什么，你也许会说 很多第三方规则都有禁止向windows文件夹内写东西的规则 （我的规则，墨版，很多很多。我现在看来 也就叶知是聪明的。。没有这种规则） 我写禁止病毒写入windows (包括 program files）的规则 是因为 我傻了。我会告诉你默认规则已经提供了禁止写入windows文件夹内的规则吗？ 没注意？ 你再仔细找找。通用最大保护里面 而且防御的非常得体 禁止创建可执行文件，这不知道比单独禁运要好多少。如果你问为什么好？ 那我回答：具体下面我会在讲。
全禁运还是仅防写？
我上面提到过，如果全禁运会带来许许多多的麻烦，例如排除动作。我们应该都知道，读取windows文件夹内的程序或者拓展属于普通的安全动作，而写入windows文件夹内是高危险性动作。那么，默认规则正好提供了一个防止windows文件夹被恶意写入的解决方案！而与此同时，并不会有很多安全的程序会向windows文件夹内写程序！这也就大大减少了我们需要排除的软件数量，我们不再需要通配符的帮助，这会大大稳固规则的安全性，这，就是默认规则之强大。我们不限制任何程序的正常运行流程，我们只控制对系统有危险的部分。
让限制少一点吧 提供上文的描述我们不难发现本人并不建议大家使用全局禁运（Files limited），其原因总的概括来说有以下几点： A:不够便利，白白增加排除量。 B:不够智能，容易排除失误。 那么我现在要提出第三个关键点（main idea） C:不够安全，全局禁运并不能改变现状。 首先，先让我们思考一个话题(topic):端口禁止规则真的有用吗？ 在这之前我想让大家明确：VSE的端口禁止只是禁止访问罢了。所谓的入站和出站也只是站立在客户端上的管理罢了。再通俗一点的说：VSE所有端口规则都是全局禁运某一个端口。 回到正题：我们分为2个角度（standpoint）去考虑，第一是内对外访问（上传upload），第二就是外对内访问（下载download）。 一般来说黑客都是从外网通过技术手段入侵到内网来非法获取信息，那么也就是说想要从根本上阻止黑客光临你的计算机，就要从外网切断一切不安全因素(unsafe media)。 可是很快你就会发现你的VSE对这毫无防御能力，因为VSE只能在乎到本机的安全因素(only endpoint antivirus)。于是我们被迫把防线拉到后面。开始了全局所有端口禁运模式（posts limited)。可是这真的有用吗？我想问一问大家你们写这条规则的时候是否排除了system主要文件夹呢?如果你排除了，那么恭喜你，这条规则将没有任何意义。就笔者长时间研究中国流行病毒来源-目标而言，大多数的远控程序都是直接注入（Hook）到系统（system process）从而进行远程控制（remote control）那么此时此刻你的规则是毫无意义的（Insignificance）。 2015/4/17 破天荒更新 upd1
| 
[复制链接]
发表于 2014-7-2 18:20:59
楼主
