麦咖啡初级简单规则

柯林

免责声明：本人分享此规则，仅出于交流探讨之目的，本人不对你使用或借鉴本规则所导致的任何后果负责。同意此点，请下载或使用（包括文字版的使用），不同意请勿下载或使用。任何下载、复制、使用，都将视为你同意本声明，本人自动免责。
                                 
                                                                                                                                                                                                                                                                                                                                                     柯林
                                                                                                                                                                                                                                                                                                                                                  2014-7-1

----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
规则文件：  【这个里面，包含的进程写成双星号**的，可能是有问题，建议默认规则就用默认的单星号*，自定义规则一般用*.*吧，自己改下】

简介：规则就是折腾，有想法就实践下，分享出来只是交流下，没别的意思。这个含两个（第一个简单规则，不求禁运，第二个简化版，有禁运意味）。以下是规则文字版：

====================================《麦咖啡初级简单规则》============================================

规则（文字版）【以下规则以通用为考虑，以尽可能少的排除来设置，如果你有精细要求，请按需要设置排除名单】

1、系统文件保护+用户程序保护（入口控制FD）
●（通用最大保护）禁止在 Windows 文件夹中创建新的可执行文件
包含：*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, *\Windows\SoftwareDistribution\Download\**\*.exe, /system32/dism.exe, /system32/LogonUI.exe, /system32/msiexec.exe, /system32/poqexec.exe, /system32/wuauclt.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp, winlogon.exe, _ins*._mp

●（通用最大保护）禁止在 Program Files 文件夹中创建新的可执行文件
包含：*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, /system32/dism.exe, /system32/msiexec.exe, /system32/poqexec.exe, FrameworkService.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp

★（用户自定义规则）禁止任何程序向drivers目录写入文件
包含：*.*
排除：explorer.exe, services.exe, svchost.exe
目标：**\Windows\System32\drivers\**.*
阻止：创建，写入

★（用户自定义规则）禁止不明程序向windows下层目录
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe
目标：C:\Windows\**\*.*
阻止：创建，写入

★（用户自定义规则）禁止不明程序写入用户程序目录
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe
目标：**\Program Files*\**.*
阻止：创建，写入

★（用户自定义规则）禁止不明程序向AppData里写入dll文件
包含：*.*
排除：*\**\Program Files (86)\**, *\**\Program Files\**
目标：**\AppData\**.DLL
阻止：创建，写入

★（用户自定义规则）禁止在Users里写入dll
包含：*.*
排除：dllhost.exe, explorer.exe
目标：**\Users\**.DLL
阻止：创建，写入
（注释）：防恶意程序用的，如果某个系统程序需要，请排除。

★（用户自定义规则）:全局禁止改写exe文件
包含：*.*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, *\Windows\SoftwareDistribution\Download\**\*.exe, /system32/dism.exe, /system32/LogonUI.exe, /system32/msiexec.exe, /system32/poqexec.exe, /system32/wuauclt.exe, dllhost.exe, explorer.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp, svchost.exe, winlogon.exe, _ins*._mp
目标：**.EXE
阻止：创建，写入
(注释）这是防止全局感染病毒，并限制一些程序进行改写exe的行为，如果你的某个程序触犯该条，请谨慎排除。如果你要用浏览器或者迅雷神马的下载exe文件，请临时禁用该条。

2、运行限制（AD)
★（用户自定义规则）全局禁运com文件
包含：*.*
排除：
目标：**.com
阻止：执行

★（用户自定义规则）禁止陌生程序加驱
包含：*.*
排除：*\**\Program Files (86)\**, *\**\Program Files\**, *\**\windows\**
目标：**.sys
阻止：读取，执行
（注释）防止恶意程序加载驱动搞破坏。如果你要精细控制，请自行修改排除名单（请谨慎排除system32下的系统程序，免得进不了桌面）。

★（用户自定义规则）防U盘病毒-全局禁运根目录
包含：*.*
排除：
目标：\*.*
阻止：执行

★（用户自定义规则）防恶作剧-禁运聊天程序传来的文件
包含：*.*
排除：
目标：**\Tencent Files\**
阻止：执行
（注释）这个只是防止QQ的，如果你用的其它聊天工具，仿照该条，把聊天工具保存文件的位置禁运。

★（用户自定义规则）禁止非系统程序调用系统程序
包含：*.*
排除：*\**\McAfee\**\*.exe, *\Windows\**.exe, ie-kb*.exe, ieupdate.exe，kb*.exe
目标：**\System32\*.exe
阻止：执行

★（用户自定义规则）禁止非不明程序调用用户程序
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, explorer.exe, NOTEPAD.EXE, svchost.exe
目标：**\program files*\**.exe
阻止：执行
注释）这一条的真正目的，其实是想限制木马或恶意程序调用IE等浏览器，同时也限制它们调用电子邮件程序，所以一锅端了（咖啡规则不能像HIPS软件那样写很多条，为了简化，通常用一大条来全部代替，需要调整时按日志排除）。

★（用户自定义规则）私隐门-禁止调用摄像头
保护：*.*
排除：explorer.exe,qq.exe
目标：**\AMCAP.exe
阻止：执行
（注释）：**\AMCAP.exe这个摄像头路径，如果你用的摄像头，程序名不是AMCAP.exe，请自行修改。这一条是防止各种门的，是对上一条“禁止不明程序调用用户程序”的细化与补充。


●（防间谍最大保护）禁止所有程序从 Temp 文件夹运行文件
包含：*
排除：frminst.exe, mcscancheck.exe, mcscript_inuse.exe, msiexec.exe, mue_inuse.exe

●（防病毒最大保护）禁止 Svchost 执行非 Windows 可执行文件
包含：svchost.exe
排除：

●（防病毒标准保护）禁止伪装 Windows 进程
包含：*
排除：*\windows\servicing\TrustedInstaller.exe, /System32/poqexec.exe, svchost.exe

●（防病毒标准保护）禁止群发邮件蠕虫发送邮件
包含：*
排除：agent.exe, amgrsrvc.exe, apache.exe, ebs.exe, eudora.exe, explorer.exe, firefox.exe, firesvc.exe, iexplore.exe, inetinfo.exe, mailscan.exe, MAPISP32.exe, mdaemon.exe, modulewrapper*, mozilla.exe, msexcimc.exe, msimn.exe, mskdetct.exe, msksrvr.exe, msn6.exe, msnmsgr.exe, neo20.exe, netscp.exe, nlnotes.exe, nrouter.exe, nsmtp.exe, ntaskldr.exe, opera.exe, outlook.exe, Owstimer.exe, pine.exe, poco.exe, RESRCMON.EXE, rpcserv.exe, SPSNotific*, thebat.exe, thunde*.exe, tomcat.exe, tomcat5.exe, tomcat5w.exe, tomcat7.exe, VMIMB.EXE, webproxy.exe, WinMail.exe, winpm-32.exe, worldclient.exe, wspsrv.exe
（注释）：这个是默认设置。

●（防病毒标准保护）禁止 IRC 通信
包含：*
排除：

●（防病毒标准保护）禁止使用 tftp.exe
包含：*
排除：wuauclt.exe

●（通用标准保护）防止终止 McAfee 进程
包含：*
排除：/system32/csrss.exe, /system32/drwtsn32.exe, /system32/lsass.exe, /syswow64/lsass.exe, amgrcnfg.exe, C:\Program Files\Common Files\McAfee\SystemCore\csscan.exe, C:\Program Files\Common Files\McAfee\SystemCore\dainstall.exe, C:\Program Files\Common Files\McAfee\SystemCore\mcshield.exe, C:\Program Files\McAfee\VirusScan Enterprise\mcadmin.exe, C:\Program Files\McAfee\VirusScan Enterprise\mcconsol.exe, C:\Program Files\McAfee\VirusScan Enterprise\mcupdate.exe, C:\Program Files\McAfee\VirusScan Enterprise\restartVSE.exe, C:\Program Files\McAfee\VirusScan Enterprise\scan32.exe, C:\Program Files\McAfee\VirusScan Enterprise\scncfg32.exe, C:\Program Files\McAfee\VirusScan Enterprise\shcfg32.exe, C:\Program Files\McAfee\VirusScan Enterprise\shstat.exe, C:\Program Files\McAfee\VirusScan Enterprise\VSCore\dainstall.exe, C:\Program Files\McAfee\VirusScan Enterprise\VSCore\x64\dainstall.exe, C:\Program Files\McAfee\VirusScan Enterprise\vstskmgr.exe, C:\Program Files\McAfee\VirusScan Enterprise\x64\scan64.exe, cleanup.exe, cmdagent.exe, dbinit.exe, EngineServer.exe, fcag.exe, fcags.exe, FCAGT.exe, fcagte.exe, firesvc.exe, FireTray.exe, framepkg.exe, framepkg_upd.exe, frameworks*, frameworks*.exe, frminst.exe, HipManage.exe, hipsvc.exe, McAfeeFire.exe, mcscancheck.exe, mcscript*, mcscript_inuse.exe, mctray.exe, mfeann.exe, mfefire.exe, mfehidin.exe, MPEScanner.exe, mue_inuse.exe, naimserv.exe, naprdmgr.exe, naprdmgr64.exe, narepl32.exe, ncdaemon.exe, RPCServ.EXE, RSSensor.exe, SAFeService.exe, scanner.exe, setlicense.exe, SiteAdv.exe, TBMon.exe, udaterui.exe, updaterui.exe, VirusScanAdvancedServer.exe, vmscan.exe, WerFault.exe
（注释）：这是默认设置，不用更改排除名单。为了减少无谓的触红名单，请把该条的报告去勾。

3、远程防护（AD+FD+RD）
★（防病毒标准保护）禁止远程创建/修改可执行文件和配置文件
包含：system:remote
排除：

★（防病毒标准保护）禁止远程创建/修改可执行文件和配置文件
包含：system:remote
排除：

★（防病毒爆发控制）将所有共享项设为只读
包含：system:remote
排除：

★（防病毒爆发控制）阻止对所有共享资源的读写访问
包含：system:remote
排除：

●（用户自定义规则）禁止远程访问本机文件
包含：system:remote
排除：
目标：**
阻止：读，写，建，删，执行

●（用户自定义规则）禁止远程操作注册表
包含：system:remote
排除：
目标：HKALL /**
阻止：（项）的全部操作


4、用户文件保护（数据保护部分FD）
★（用户自定义规则）保护gho文件
包含：*.*
排除：
目标：**.gho
阻止：创建，写入，删除

★（用户自定义规则）保护相片文件
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, dllhost.exe, explorer.exe
目标：**\**相册\**
阻止：写入，删除
（注释）如果你要保护自己的相片，防止被恶意程序删除，请在本地磁盘上，建立一个以相册二字做结尾的文件夹（譬如我的相册，二月相册....），把相片放里面。【其实这一条和下面两条，排除名单，最好精细到需要修改图片、音乐、文档的程序，比如图像浏览编辑工具、音视频播放器、文档、图标编辑工具等，这里直接写Program Files路径下的程序，属于偷懒做法】

★（用户自定义规则）保护音乐文件
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, dllhost.exe, explorer.exe
目标：**\**音乐\**
阻止：写入，删除
（注释）如果你要保护自己的音乐文件，防止被恶意程序删除，请在本地磁盘上，建立一个以音乐二字做结尾的文件夹（譬如我的音乐，最美音乐....），把音乐文件放里面。

★（用户自定义规则）保护用户文档
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, dllhost.exe, explorer.exe, notepad.exe, write.exe
目标：**\**文档\**
阻止：写入，删除
（注释）如果你要保护自己的文档，防止被恶意程序删除，请在本地磁盘上，建立一个以文档二字做结尾的文件夹（譬如我的文档，最新文档....），把文档报表什么的放里面。

★（用户自定义规则）D盘文件保护
包含：*.*
排除：explorer.exe,dllhost.exe,*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe，c:\Windows\SoftwareDistribution\Download\**\*.exe, hh.exe, ie-kb*.exe, kb*.exe, mscorsvw.exe, msiexec.exe, svchost.exe, TrustedInstaller.exe, wininit.exe, wuauclt.exe，CCleaner.exe，CCleaner64.exe
目标：D:\**
阻止：创建，写入，删除

★（用户自定义规则）E盘文件保护
包含：*.*
排除：explorer.exe,dllhost.exe,*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, CCleaner64.exe,hh.exe, ie-kb*.exe, kb*.exe, mscorsvw.exe, msiexec.exe, svchost.exe, TrustedInstaller.exe, wininit.exe, wuauclt.exe，CCleaner.exe，CCleaner64.exe
目标：E:\**
阻止：创建，写入，删除

★（用户自定义规则）F盘文件保护
包含：*.*
排除：explorer.exe,dllhost.exe,*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, CCleaner64.exe,hh.exe, ie-kb*.exe, kb*.exe, mscorsvw.exe, msiexec.exe, svchost.exe, TrustedInstaller.exe, wininit.exe, wuauclt.exe，CCleaner.exe，CCleaner64.exe
目标：F:\**
阻止：创建，写入，删除

5、注册表防护(RD)
●（防间谍程序标准保护）保护 Internet Explorer 收藏夹和设置
包含：*
排除：*\**\AppData\**\*.exe, *\program files (86)\**\*.exe, *\program files\**.exe, *\\windows\**\*.exe, explorer.exe

●（防间谍程序最大保护）禁止安装新的 CLSID、APPID 和 TYPELIB
包含：*
排除：*\program files (86)\**\*.exe, *\program files\**\*.exe

●（防病毒标准保护）禁止禁用注册表编辑器和任务管理器
包含：*
排除：avtask.exe, cfgwiz.exe, fssm32.exe, giantantispywa*, kavsvc.exe, mmc.exe, navw32.exe, nmain.exe, rtvscan.exe
（注释）：这是默认设置

●（防病毒标准保护）禁止拦截 .EXE 和其他可执行文件扩展名
包含：*
排除：
（注释）既然不打算安装程序，就没必要考虑放行与安装有关的东东。

●（防病毒最大保护）禁止更改所有文件扩展名的注册
包含：*
排除：*\Program Files (x86)\**\*.exe, *\Program Files\**\*.exe, *\Windows\**.exe

●（通用标准保护）禁止安装 Browser Helper Objects 和 Shell Extensions
包含：*
排除：C:\Program Files\Common Files\McAfee\SystemCore\*.exe, C:\Program Files\McAfee\**\*.exe, frameworkservice.exe, McAfeeHIP_Clie*, mcscript*, mfeann.exe, mfehidin.exe, msi*.tmp, msiexec.exe, services.exe, svchost.exe, TCPSVCS.EXE，VirusScanAdvancedServer.exe, vmscan.exe, winlogon.exe, winmgmt.exe, wmiadap.exe, _ins*._mp

●（通用标准保护）保护网络设置
包含：*
排除：C:\Program Files\Common Files\McAfee\SystemCore\*.exe, C:\Program Files\McAfee\**\*.exe, frameworkservice.exe, McAfeeHIP_Clie*, mcscript*, mfeann.exe, mfehidin.exe, msi*.tmp, msiexec.exe, services.exe, svchost.exe, TCPSVCS.EXE，VirusScanAdvancedServer.exe, vmscan.exe, winlogon.exe, winmgmt.exe, wmiadap.exe, _ins*._mp

●（通用最大保护）禁止将程序注册为自动运行
包含：*
排除：???setup.exe, ??setup.exe, ?setup.exe, ahnun000.tmp, autoup.exe, avtask.exe, boxinfo.exe, cfgeng.exe, cfgwiz.exe, dahotfix.exe, dasetup.exe, dstest.exe, earthagent.exe, f-secu*, f-secure automa*, fixccs.exe, fnrb32.exe, frminst.exe, fspex.exe, fssm32.exe, getdbhtp.exe, giantantispywa*, idsinst.exe, ie-kb*.exe, ieupdate.exe, ii_nt86.exe, ikernel.exe, ilaunchr.exe, inodist.exe, InsFireTdi.exe, iv_nt86.exe, javatrig.exe, js56nen.exe, kavsvc.exe, kb*.exe, LogonUI.exe, lsetup.exe, lucoms*, luupdate.exe, McAfeeHIP_Clie*, mdac_qfe.exe, mmc.exe, msi*.tmp, msiexec.exe, navw32.exe, nmain.exe, nv11esd.exe, ofcservice.exe, paddsupd.exe, pavagent.exe, pavsrv50.exe, pskmssvc.exe, rtvscan.exe, SAEDisable.exe, SAEuninstall.exe, setup*.exe, setup.exe, setupre.exe, Setup_SAE.exe, sevinst.exe, spuninst.exe, sqlredis.exe, sucer.exe, supdate.exe, tbmon.exe, tmlisten.exe, tsc.exe, uninstall.exe, update.exe, updater.exe, v3cfgu.exe, vbs56nen.exe, winlogon.exe, wintdist.exe, wuauclt.exe, _ins*._mp
（注释）这是默认设置，不管它。

●（通用最大保护）禁止将程序注册为服务
包含：*.*
排除：???setup.exe, ??setup.exe, ?setup.exe, avtask.exe, cfgwiz.exe, dahotfix.exe, dasetup.exe, fixccs.exe, frminst.exe, fssm32.exe, giantantispywa*, ie-kb*.exe, ieupdate.exe, ikernel.exe, InsFireTdi.exe, javatrig.exe, js56nen.exe, kavsvc.exe, kb*.exe, LogonUI.exe, McAfeeHIP_Clie*, mdac_qfe.exe, mmc.exe, msi*.tmp, msiexec.exe, navw32.exe, nmain.exe, rtvscan.exe, SAEDisable.exe, SAEuninstall.exe, setup*.exe, setup.exe, setupre.exe, Setup_SAE.exe, spuninst.exe, sqlredis.exe, tbmon.exe, uninstall.exe, update.exe, updater.exe, vbs56nen.exe, winlogon.exe, wintdist.exe, wuauclt.exe, _ins*._mp
（注释）这是默认设置，不管它。

★（用户自定义规则）禁止陌生程序访问系统设置
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe, ie-kb*.exe, ieupdate.exe, kb*.exe
目标：HKLM /**
阻止：(项）的更改

★（用户自定义规则）禁止陌生程序访问用户控制面板
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\Windows\**.exe, ie-kb*.exe, ieupdate.exe, kb*.exe
目标：HKALL /**/Control Panel**
阻止：(项）的更改

★（用户自定义规则）禁止陌生程序访问用户桌面
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\Windows\**.exe, ie-kb*.exe, ieupdate.exe, kb*.exe
目标：HKALL /**/Desktop**
阻止：(项）的更改

★（用户自定义规则）禁止访问SAM键值
包含：*.*
排除：lsass.exe,winlogon.exe,/system32/LogonUI.exe
目标：HKLM /SAM**
阻止：(项）的更改

（注册表，暂时这样吧，要不要再细化，加上禁止访问explorer相关键、Policies之类，有兴趣的自己弄。注意，这些所加的保护键，与全局禁止陌生程序操作所有注册表的做法不同，这个并非无用和重复，而是对windows目录及Program Files外的东西进行限制（这个规则没有实施全局禁运,一些小程序乃至如exe格式的电子书之类，你要用的时候，当然不希望简单地加入信任行列来排除，以允许它的全部动作，也不希望一律阻止其所有动作而不看日志，正好这些设置就可以进行过滤）。

如果需要加强浏览器保护，通用标准保护里，开启火狐与IE的设置保护，通用最大保护里，开启禁止HTTP通信。如果嫌这些太多了，请参考下面这个简化版本。

==================== 新手入门之新22条军规《麦咖啡初级简化规则》  ==================

规则文件：

如果你想求一个相对简单一些，能够保证基本的安全需求的入门规则，不妨试下这个《初级简化规则》。

这个规则在默认设置（安装VSE选择的“标准保护”）的基础上，稍微添加几条规则，具备初步的防御能力。

默认设置就不说了（就是通用设置里那几条麦咖啡的自保规则嘛，把最后一条防止中止咖啡的进程去掉报告即可），以下是需要启用及添加的规则：

开启自带规则13条：
1、（防间谍程序标准保护）保护 Internet Explorer 收藏夹和设置
包含：*
排除：*\**\AppData\**\*.exe, *\program files (86)\**\*.exe, *\program files\**.exe, *\windows\**\*.exe, explorer.exe

2、（防间谍程序最大保护）禁止安装新的 CLSID、APPID 和 TYPELIB
包含：*
排除：*\program files (86)\**\*.exe, *\program files\**\*.exe

3、（防间谍程序最大保护）禁止所有程序从 Temp 文件夹运行文件
包含：*
排除：frminst.exe, mcscancheck.exe, mcscript_inuse.exe, msiexec.exe, mue_inuse.exe

4、(防病毒标准保护）禁止更改用户权限策略
包含：*
排除：???setup.exe, ??setup.exe, ?setup.exe, amgrsrvc.exe, avtask.exe, cfgwiz.exe, frminst.exe, fssm32.exe, giantantispywa*, ikernel.exe, InsFireTdi.exe, kavsvc.exe, lsass.exe, McAfeeHIP_Clie*, mmc.exe, msi*.tmp, msiexec.exe, navw32.exe, nmain.exe, rtvscan.exe, SAEDisable.exe, SAEuninstall.exe, services.exe, setup*.exe, setup.exe, Setup_SAE.exe, uninstall.exe, update.exe, _ins*._mp
(注释）这个默认的，一般不用管它。

5、（防病毒标准保护）禁止群发邮件蠕虫发送邮件
包含：*
排除：agent.exe, amgrsrvc.exe, apache.exe, ebs.exe, eudora.exe, explorer.exe, firefox.exe, firesvc.exe, iexplore.exe, inetinfo.exe, mailscan.exe, MAPISP32.exe, mdaemon.exe, modulewrapper*, mozilla.exe, msexcimc.exe, msimn.exe, mskdetct.exe, msksrvr.exe, msn6.exe, msnmsgr.exe, neo20.exe, netscp.exe, nlnotes.exe, nrouter.exe, nsmtp.exe, ntaskldr.exe, opera.exe, outlook.exe, Owstimer.exe, pine.exe, poco.exe, RESRCMON.EXE, rpcserv.exe, SPSNotific*, thebat.exe, thunde*.exe, tomcat.exe, tomcat5.exe, tomcat5w.exe, tomcat7.exe, VMIMB.EXE, webproxy.exe, WinMail.exe, winpm-32.exe, worldclient.exe, wspsrv.exe
(注释）这个默认的，一般不用管它。

6、（防病毒最大保护）禁止 Svchost 执行非 Windows 可执行文件
包含：svchost.exe
排除：
（注释）这个默认的，不用管它（你也排除不了）。

7、（通用标准保护）禁止安装 Browser Helper Objects 和 Shell Extensions
包含：*
排除：C:\Program Files\Common Files\McAfee\SystemCore\*.exe, C:\Program Files\McAfee\**\*.exe, frameworkservice.exe, McAfeeHIP_Clie*, mcscript*, mfeann.exe, mfehidin.exe, msi*.tmp, msiexec.exe, services.exe, svchost.exe, TCPSVCS.EXE，VirusScanAdvancedServer.exe, vmscan.exe, winlogon.exe, winmgmt.exe, wmiadap.exe, _ins*._mp

8、（通用标准保护）保护网络设置
包含：*
排除：C:\Program Files\Common Files\McAfee\SystemCore\*.exe, C:\Program Files\McAfee\**\*.exe, frameworkservice.exe, McAfeeHIP_Clie*, mcscript*, mfeann.exe, mfehidin.exe, msi*.tmp, msiexec.exe, services.exe, svchost.exe, TCPSVCS.EXE，VirusScanAdvancedServer.exe, vmscan.exe, winlogon.exe, winmgmt.exe, wmiadap.exe, _ins*._mp

9、（通用最大保护）禁止将程序注册为自动运行
包含：*
排除：???setup.exe, ??setup.exe, ?setup.exe, ahnun000.tmp, autoup.exe, avtask.exe, boxinfo.exe, cfgeng.exe, cfgwiz.exe, dahotfix.exe, dasetup.exe, dstest.exe, earthagent.exe, f-secu*, f-secure automa*, fixccs.exe, fnrb32.exe, frminst.exe, fspex.exe, fssm32.exe, getdbhtp.exe, giantantispywa*, idsinst.exe, ie-kb*.exe, ieupdate.exe, ii_nt86.exe, ikernel.exe, ilaunchr.exe, inodist.exe, InsFireTdi.exe, iv_nt86.exe, javatrig.exe, js56nen.exe, kavsvc.exe, kb*.exe, LogonUI.exe, lsetup.exe, lucoms*, luupdate.exe, McAfeeHIP_Clie*, mdac_qfe.exe, mmc.exe, msi*.tmp, msiexec.exe, navw32.exe, nmain.exe, nv11esd.exe, ofcservice.exe, paddsupd.exe, pavagent.exe, pavsrv50.exe, pskmssvc.exe, rtvscan.exe, SAEDisable.exe, SAEuninstall.exe, setup*.exe, setup.exe, setupre.exe, Setup_SAE.exe, sevinst.exe, spuninst.exe, sqlredis.exe, sucer.exe, supdate.exe, tbmon.exe, tmlisten.exe, tsc.exe, uninstall.exe, update.exe, updater.exe, v3cfgu.exe, vbs56nen.exe, winlogon.exe, wintdist.exe, wuauclt.exe, _ins*._mp
（注释）这是默认的，不管它。

10、（通用最大保护）禁止将程序注册为服务
包含：
排除：/system32/LogonUI.exe, /system32/mmc.exe.exe, /system32/msiexec.exe, /system32/vssvc.exe, ie-kb*.exe, ieupdate.exe, javatrig.exe, kb*.exe, McAfeeHIP_Clie*, msi*.tmp, setup*.exe, setup.exe, svchost.exe, winlogon.exe, wuauclt.exe
（注释）默认的，一般不管它，如果某个系统程序需要排除，酌情添加例外。

11、（通用最大保护）禁止在 Windows 文件夹中创建新的可执行文件
包含：*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, *\Windows\SoftwareDistribution\Download\**\*.exe, /system32/dism.exe, /system32/LogonUI.exe, /system32/msiexec.exe, /system32/poqexec.exe, /system32/wuauclt.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp, winlogon.exe, _ins*._mp

12、（通用最大保护）禁止在 Program Files 文件夹中创建新的可执行文件
包含：*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, /system32/dism.exe, /system32/msiexec.exe, /system32/poqexec.exe, FrameworkService.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp

13、（通用最大保护）禁止 HTTP 通信
包含：*
排除：360chrome.exe, javaw.exe, mcscript*, mctray.exe, msi*.tmp, msiexec.exe, opera.exe, outlook.exe, svchost.exe, TheWorld.exe, wmplayer.exe, wuauclt.exe,iexplore.exe
（注释）根据自己实情添加排除（上不了网的程序，把它名字添加进排除名单里）。如果觉得不过瘾，这条丢弃，自定义规则里写一条阻止0-65535端口出站，排除你用它来上网的程序即可。


自定义规则9条：

1、禁止不明程序读写系统盘
包含：*.*
排除：*\**\AppData\**\*.exe,*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe,ie-kb*.exe, kb*.exe
目标：C:\**
阻止：读取，写入
(注释)这个是防御未知威胁的有力手段，这里的C代表系统盘（系统安装在C盘上），如果你的系统不是安装在C盘，请把C修改为你系统所在的盘符。这一条对于一般程序具有禁运效果，请确认你要运行的程序可靠，再添加排除。【其实一般没必要这样，只不过大家都追求极致，怕死得要命，那就加上禁运流吧】

2、禁止不明程序读写根目录
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe,ie-kb*.exe, kb*.exe
目标：\*.*
阻止：读取，写入

3、全局禁exe控制
包含：*.*
排除：*\Windows\Microsoft.NET\Framework\v**\mscorsvw.exe, *\Windows\servicing\TrustedInstaller.exe, *\Windows\SoftwareDistribution\Download\**\*.exe, /system32/dism.exe, /system32/LogonUI.exe, /system32/msiexec.exe, /system32/poqexec.exe, /system32/wuauclt.exe, dllhost.exe, explorer.exe, ie-kb*.exe, kb*.exe, McAfeeHIP_Clie*, mcscancheck.exe, mcscript*, mctray.exe, mdac_qfe.exe, mfefire.exe, MPEScanner.exe, mrtstub.exe, msi*.tmp, svchost.exe, winlogon.exe, _ins*._mp
目标：**.exe
阻止：创建，修改

4、禁止远程读写文件
包含：system:remote
排除：
目标：**
阻止：读取，写入

5、禁止远程访问注册表
包含：system:remote
排除：
目标：HKALL /**
阻止：(项）的全部操作

6、禁止cmd写入删除文件
包含：**\cmd.*
排除：
目标：**
阻止：写入，删除

7、禁止运行脚本解释器
包含：*.*
排除：
目标：**\?script.exe
阻止：执行

8、禁止访问SAM键
包含：*.*
排除：/system32/LogonUI.exe, lsass.exe, winlogon.exe
目标：HKLM /SAM**
阻止：(项）的全部操作

9、禁止不明程序访问系统设置
包含：*.*
排除：*\Program Files (86)\**\*.exe, *\Program Files\**\*.exe, *\windows\**.exe, ie-kb*.exe, ieupdate.exe, kb*.exe,360chrome.exe,TheWorld.exe
目标：HKLM /**
阻止：(项）的全部操作
（注释）如果不影响使用，一般都不需要再添加排除（要排除的，一般就是你安装在APPDATA里的上网程序）。
----------------------------------------------------------------------------
一般人用这些规则就够了，如果不放心，把月神调灵敏度调到高，即可。

Respect

进来占位学习下

柯林

Respect 发表于 2014-7-2 22:24
进来占位学习下

有时间，稍微折腾下，其实写来写去也没多少新意，个人生性懒散，不喜欢太死板，也不喜欢花太长时间深入打磨到细致可怕，只喜欢浅尝辄止，简单写点吧，满足基本要求就完事。这就难免有粗陋，个性使然，不管了。不管用哪个软件，我一般只喜欢站在初级入门的角度，写点最简单的吸引白菜们的东西，而已。目的也只是希望有更多人来尝试，仅此而已。

wchw1502

写个64位的Win8.1的吧。

柯林

wchw1502 发表于 2014-7-2 22:37
写个64位的Win8.1的吧。

我用的win7，不想装win8了，你参考文字部分，自己弄下吧。入门需要的规则，很简单的，并不需要太复杂。

shiyuelaohu

写规则不易，支持一下。
个人觉得还是禁止U盘里的文件运行用来防U盘病毒更好，autorun.inf里的路径可以任意指定的，并不一定在根目录。或者用VSE的有害程序策略，直接将autorun.inf添加为有害程序也不错。

柯林

shiyuelaohu 发表于 2014-7-2 23:07
写规则不易，支持一下。
个人觉得还是禁止U盘里的文件运行用来防U盘病毒更好，autorun.inf里的路径可以任 ...

禁运确实是最直接了当的手段，写禁止读写根目录，是想换个方式体味下，这一条如果没有上面一条禁止读取系统盘做补充，作用也只起到防止扩散（读起根目录写入病毒文件）的作用，没有禁止运行（插入U盘，如果自动播放没有关闭，U盘根目录上的程序将被执行），其实也就想试验下——我让你运行又怎么了

这一条的排除，实际上应该精细如：explorer.exe,dllhost.exe,svchost.exe,winlogon.exe,logonui.exe，加上你可能摆放在根目录上的文档、图片、报表这些东东的阅读编辑工具，基本就行了。写成那个偷懒的，主要是时间短，图方便（早上上班有点想法，晚上花了两个小时粗粗写了下，难免不够细致）