关于HIPS规则需要注意的几个地方

墨家小子

第一个需要注意的地方：HIPS学习模式之后转到基于策略模式或者是交互模式需要调整的两个程序规则

一个是services.exe
C:\Windows\System32\services.exe

还有一个好像是这个taskhost.exe
C:\Windows\System32\taskhost.exe

这两个程序貌似学习模式之后都允许被别的程序利用自动写入启动项的，所以还是删除掉这两个程序建立的规则为好
哪怕进入交互模式之后，有个别程序需要利用services.exe修改启动项再一一对应添加到规则里面去



第二个需要注意的地方：貌似ESET的hips不监控下面几个文件夹的写入

C:\Users\XXXX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

C:\Windows\Tasks
C:\Windows\System32\Tasks
C:\Windows\SysWOW64\Tasks



第三个需要注意的地方：不同模式之间的切换

我先吐个槽，尼玛ESET官方为什么不在图标右键上添加切换模式的选项！怎么不学学comodo！还有就是尼玛HIPS弹窗里面为什么没有命令行！

不同模式的选择以个人喜好为准

1、安装软件时切换到带规则的自动模式

2、懒人还是用基于策略模式，弊病：病毒木马即便穿破不了策略规则，但会驻留进程，这就是说如果它要进行键盘记录、截屏、开启摄像头，你是不会知道的，除非你没事就看hips日志或者你用ESS的防火墙防御键盘记录、截屏、开启摄像头之后的联网行为。相比较而言，交互模式的AD规则就十分彪悍了，看到陌生程序启动，你可以直接拦截！

3、喜欢逛样本区的就用交互模式吧，弊病：开了交互模式可能你就不会撸管了，因为测试样本时，hips弹窗弹到爆，直到你手残……不过作为测试自己的hips规则还是提倡的

4、ESET 8的hips模式多了一些，靠谱性有待考察，不讨论……



打完收工……

勇者无敌

EEA自定义组件安装，不装HIPS，对我来讲你白讲了

墨家小子

勇者无敌 发表于 2014-11-5 13:26
EEA自定义组件安装，不装HIPS，对我来讲你白讲了

你用得修改版ESET？

勇者无敌

墨家小子 发表于 2014-11-5 13:26
你用得修改版ESET？

自己修改MSI啊

墨家小子

勇者无敌 发表于 2014-11-5 13:27
自己修改MSI啊

恭喜你 。。。

wwdboy

学习了，虽然偶用4.2

cyclonebaby

勇者无敌 发表于 2014-11-5 13:26
EEA自定义组件安装，不装HIPS，对我来讲你白讲了

不装HIPS组件就没有自我保护，和装了HIPS组件不启用是一样的，所以根本就不需要自定义组件安装去除HIPS。
最好的方法就是装HIPS默认，不去设置，即默认的过滤模式“带规则的自动模式”，有自保，又没有不会用HIPS的烦恼

cyclonebaby

能看到交互模式弹窗让你不会做某事了，非常心喜之，还有什么不开心的一起说出来让我们开心开心

关于不学学comodo那段，个人觉得是因为comodo是基于HIPS为主方向的，那么在这方面用的心思比较多和细致，而Eset的HIPS是以辅助为主方向的，在这方面比较粗枝大叶

勇者无敌

cyclonebaby 发表于 2014-11-5 14:46
不装HIPS组件就没有自我保护，和装了HIPS组件不启用是一样的，所以根本就不需要自定义组件安装去除HIPS。 ...

谢谢你的意见
可能我有一点强迫症，杀软上没用到的东西就喜欢去掉
HIPS和OPF的可能有冲突,自保对我来讲不重要,而且有OPF保护干掉ESET也不容易

cyclonebaby

勇者无敌 发表于 2014-11-5 15:00
谢谢你的意见
可能我有一点强迫症，杀软上没用到的东西就喜欢去掉
HIPS和OPF的可能有冲突,自保对我来 ...

哦，原来你是搭配党，个人喜欢就行，我随便说说的，hehe