再谈Spursint杀，揭开Spursint杀真面目，原来它不是拉黑，是未知文件封杀

驭龙

还记得我这个帖子大家一起来玩，WD 的Spursint杀
对Windows Defender的Spursint杀的吐槽吗？

随着RS1的正式版发布，Spursint杀的真正面目终于被揭开了，原来它不是拉黑，而是“首次看到时阻止”功能，官方原有的意思是：

此功能可确保设备在允许运行或访问特定的内容之前，实时使用 Microsoft Active Protection Service (MAPS)进行检查。如果禁用此功能，则不执行检查，这会降低设备的保护状态。
        Enabled - 已打开“首次看到时阻止”设置。
        Disabled - 已关闭“首次看到时阻止”设置。
       
        此功能要求按如下所示设置这些组策略:
        MAPS -> 必须启用“加入 Microsoft MAPS”，否则“首次看到时阻止”功能将无法正常运行。
        MAPS ->“需要进一步分析时发送文件示例”应设置为 1 (发送安全示例)或 3 (发送所有示例)。设置为 0 (始终提示)会降低设备的保护状态。设置为 2 (永不发送)意味着“首次看到时阻止”功能将无法正常运行。
        实时保护 -> 必须启用“扫描所有下载的文件和附件”策略，否则“首次看到时阻止”功能将无法正常运行。
        实时保护 -> 请不要启用“关闭实时保护”策略，否则“首次看到时阻止”功能将无法正常运行。

官方英文原版介绍：
https://technet.microsoft.com/zh ... lock-at-first-sight

简单的说Spursint杀，就是MAPS没有识别和分析的未知文件，在系统上首次出现时阻止，之后反馈给Microsoft Cloud Protection也就是MAPS服务器群，分析以后如果文件是安全的，WD就不会再阻止这个文件，如果分析为威胁，将云杀或者入库杀。

这也就是之前测试的时候，过一段时间就不再杀那个白文件的原因了。

话说这种方式的云，有一点非白即黑的感觉，但还是不一样，是首次看到时阻止，之后提交云分析，既然不是拉黑，那就没有继续吐槽Spursint杀的必要了，毕竟人家就是见到未知文件就阻止的功能啊，不喜欢就关掉吧。

feelingdld23

默认是不是开启的？懒得不想折腾了。

驭龙

feelingdld23 发表于 2016-8-5 17:46
默认是不是开启的？懒得不想折腾了。

如果云保护和自动提交样本，都开启的话，默认是开启的

feelingdld23

驭龙 发表于 2016-8-5 17:48
如果云保护和自动提交样本，都开启的话，默认是开启的

哦，那我就放心了。
PS：一直微软全套，总想给WD找个帮手，但不知道哪个合适，帮忙推荐一下吧？

驭龙

feelingdld23 发表于 2016-8-5 17:51
哦，那我就放心了。
PS：一直微软全套，总想给WD找个帮手，但不知道哪个合适，帮忙推荐一下吧？

WD不适合搭配，但据说360卫士可以，但具体不清楚

莒县小哥

驭龙 发表于 2016-8-5 18:09
WD不适合搭配，但据说360卫士可以，但具体不清楚

龙大，我的红石怎么还没升级？

驭龙

莒县小哥 发表于 2016-8-5 18:44
龙大，我的红石怎么还没升级？

我也没有收到更新，我是镜像更新的

pkuyzy

龙大玩WD的时候开启了这个功能吗

为你心碎

驭龙 发表于 2016-8-5 18:46
我也没有收到更新，我是镜像更新的

镜像更新后C盘有个文件夹（wiodows.olo名字记不清了）删除时需要SYS...权限，怎么才能删除?

开开心心卖手机

为你心碎 发表于 2016-8-5 19:25
镜像更新后C盘有个文件夹（wiodows.olo名字记不清了）删除时需要SYS...权限，怎么才能删除?

试着用磁盘清理功能，我这边可以清除掉