规则流程走向及沙盘与HIPS的关系

柯林

在同时启用沙盘与HIPS的情况下，比如安全模式，规则流程究竟怎么走？沙盘与HIPS规则有什么关系？感兴趣的来讨论和验证下。

个人经验感觉，一个程序运行起来，将会按照下图所示的流程进行：



首先，看沙盘规则里有无规定入沙？有则进沙盘，无则下一步。
其次，看是否未知程序？是则进沙盘，否则进HIPS。

进HIPS的程序，按照HIPS规则加以执行：默认的安全模式下，除非有规则明确规定是阻止还是放行，否则将按全局规则加以执行（全局规则上有特别规定的，按特别规定执行，无则按询问=忽略，加以执行）；疯狂模式下，有规则规定，按规定执行，无规则规定，按全局规则执行（全局规则有特别规定的，按特别规定执行，无则按询问=弹窗确认，加以执行）

进沙盘的程序，AD以及部分FD及RD方面，按沙盘规则规定的限制等级加以执行。理论上所有FD行为与RD行为被全部虚拟化，但是，还得看HIPS内的规则：如果HIPS规则规定相关行为被阻止，则入沙程序的此部分虚拟行为也将被阻止；HIPS规则允许或无规则规定的，入沙程序的相关虚拟行为被允许。

--------------------------------------------------------
个人感觉，是这样一个流程和关系。究竟对不对呢，欢迎大家一起探讨和验证。个人观点，仅仅代表个人一时的“成见”，仅供参考。

KK院长

我是 未知程序全部进沙盘，不管它。

柯林

KK院长 发表于 2016-3-28 08:32
我是 未知程序全部进沙盘，不管它。

会受HIPS规则影响的，除非用的默认规则，或者关闭HIPS来跑沙，否则有些行为跑不出。对于只立足防的也就无所谓了，喜欢用沙盘跑行为的会有影响

BBCALL

各人确认亦是

anycall9696

是的，比如QQPcmgrDownload.exe这个程序，如果HIPS里面有规则明确禁止的，那么即使到了沙盘内也无法运行，优先HIPS规则

zhazeb

这个图真好，解决了我好多困惑，感谢柯大姐。只是comodo越来越难磕了。