ESET hips语法初试与规则强化 （Update: 2016.08.24 官方反勒索规则）

諾言敵不過時間

這個官方反勒索的規則效果如何

xzykgc4mc3

全局询问：防止所有程序从 Temp 文件夹运行文件。C:\Users\qftest\AppData\Local\Temp\*.*和%TMP%\*这两条目录不是一样吗。重复了吗

qftest

xzykgc4mc3 发表于 2016-10-5 15:07
全局询问：防止所有程序从 Temp 文件夹运行文件。C:%users\qftest\AppData\Local\Temp\*.*和%TMP%\*这两条 ...

这两个目录实际上是不一样的，%TMP%这个环境变量可以重定向（例如内存盘）所以没有重复

Dolby123

qftest 发表于 2016-9-9 13:27

请问官方的勒索规则可以套用在eset 9吗，还是只能套用在企业版

qftest

Dolby123 发表于 2016-10-12 08:42
请问官方的勒索规则可以套用在eset 9吗，还是只能套用在企业版

可以的，官方的这个防勒索规则是通用的

xzykgc4mc3

请问下，楼主有没有遇到这种任务计划的弹窗。你有没有阻止呢

我在任务计划里，看到软件保护平台服务。

qftest

xzykgc4mc3 发表于 2016-10-12 22:23
请问下，楼主有没有遇到这种任务计划的弹窗。你有没有阻止呢

我在任务计划里，看到软件保护平台服务。

这个任务我是禁用的

xzykgc4mc3

qftest 发表于 2016-10-12 22:39
这个任务我是禁用的

我是看到服务项里写到Software Protection的说明。就在每次弹窗出现时点放行了。

启用 Windows 和 Windows 应用程序的数字许可证的下载、安装和实施。如果禁用该服务，操作系统和许可的应用程序可能以通知模式运行。强烈建议你不要禁用软件保护服务。

qftest

xzykgc4mc3 发表于 2016-10-12 22:47
我是看到服务项里写到Software Protection的说明。就在每次弹窗出现时点放行了。

只是禁用这个计划任务，并没有禁止服务，否则office和系统本身的激活都可能出问题

xzykgc4mc3

qftest 发表于 2016-10-12 22:53
只是禁用这个计划任务，并没有禁止服务，否则office和系统本身的激活都可能出问题

谢谢解答。我也按你禁用了任务计划。可是打开office文档，还是会弹出窗口。看来要写条例外允许规则了。

时间;应用程序;操作;目标;操作;规则;其他信息
2016/10/13 0:00:43;C:\Windows\System32\svchost.exe;获取文件访问权;C:\Windows\System32\Tasks\Microsoft\Windows\SoftwareProtectionPlatform\SvcRestartTask;允许一些访问;FD规则--全局询问：防止添加任务计划;写入到文件