请问你们的eis11有这种情况吗？

fireherman

asuracryin 发表于 2017-11-28 16:11
好像找到原因了，但有点奇怪。

操作：询问

源应用程序：所有应用程序
文件操作：写入到文件
文件：特定文件-任意的一个文件夹，不管加不加通配符

前世咯……

这条规则……就是【所有程序】在【任意目录】创建文件（写入文件）都会询问，能不弹窗弹屎你吗？

asuracryin

fireherman 发表于 2017-11-28 16:26
前世咯……

这条规则……就是【所有程序】在【任意目录】创建文件（写入文件）都会 ...

文件：特定文件-任意的一个文件夹，不管加不加通配符
这句话的意思是，我不管设定成C:\Windows\Tasks或是D:\Browser，只要我设成文件夹，就会弹窗，并不是说设定成了任意目录。我只设定了一个具体的文件夹，但设定哪一个都会弹窗，所以用了任意的一个文件夹来描述。

fireherman

asuracryin 发表于 2017-11-28 16:28
文件：特定文件-任意的一个文件夹，不管加不加通配符
这句话的意思是，我不管设定成C:\Windows\Tasks或 ...

看完前面很多楼，我敢肯定你的规则写错了。

因应你的需求，我像你那样写规则：


估计你第一步就错了，应该选【文件】，即【FD规则】





源程序：【所有应用程序】（留空）




操作（FD规则），删除/写入 文件





这里你应该也写错了，应该是这样：
（* 和 *.* 都可以）




建立规则后的样式：






测试规则：复制003.png 到 C:\Windows\Tasks 目录






询问弹窗（选阻止）






阻止后的弹窗

asuracryin

..............发错，编辑掉。

asuracryin

fireherman 发表于 2017-11-28 16:41
看完前面很多楼，我敢肯定你的规则写错了。

因应你的需求，我像你那样写规则：

我那规则在10上是没有任何问题的，很正常，导入到11后才弹窗弹个不停。
在10的时候我是注册表和文件在同一个规则里的，导入到11不正常后，我还原到10，把文件和注册表的规则分开成2个，再装11，导入还是不正常。然后才试出来是文件那一规则里注册表设置有残留。

fireherman

asuracryin 发表于 2017-11-28 16:54
我那规则在10上是没有任何问题的，很正常，导入到11后才弹窗弹个不停。
在10的时候我是注册表和文件在同 ...

我没用v11，所以……不清楚是不是导入导出设置后，令规则发生改变。

不过，我就你提出的规则测试，没有像你说的那样弹窗。

你最好重新排查一下你的HIPS规则。

asuracryin

fireherman 发表于 2017-11-28 16:57
我没用v11，所以……不清楚是不是导入导出设置后，令规则发生改变。

不过，我就你提出的规 ...

你的是v10吧？v10是没有任何问题的，我说的规则在10上用了大半年了，一切正常，从没有乱弹窗过。结果11狂弹。

fireherman

asuracryin 发表于 2017-11-28 17:02
你的是v10吧？v10是没有任何问题的，我说的规则在10上用了大半年了，一切正常，从没有乱弹窗过。结果11狂 ...

所以你最好排查一下你v11里的HIPS规则，可能就是在v10升级到v11（自动导入 配置文件）时，出现了BUG。

驭龙

fireherman 发表于 2017-11-28 17:06
所以你最好排查一下你v11里的HIPS规则，可能就是在v10升级到v11（自动导入 配置文件）时，出现了BUG ...

其实是某些操作导致写入注册表的规则是文件操作\*.*，前面的文件夹路径丢失，导致ESET询问任何文件操作。

我重装ESET的话，可不想重试了，太恐怖

fireherman

驭龙 发表于 2017-11-28 17:53
其实是某些操作导致写入注册表的规则是文件操作\*.*，前面的文件夹路径丢失，导致ESET询问任何文件操作。 ...

还有这种事？（文件夹路径丢失）

其实你不需要重装的，如果有规则写错导致系统卡顿，先暂停防护（让HIPS模块暂时失效），删除规则就可以了。