使用专家规则防御MBR病毒

joker_yxf1

事情起因是在样本区遇到一个MBR病毒，于是想看看MES是否可以用规则防御，查询文档之后，发现了MES有个强大的专家规则，可以实现对硬盘MBR区的保护，具体规则设置如下：

1. Rule {
   
2.          Target {
   
3.                       Match DISK {
   
4.                                            Include -disk_region "MBR"
   
5.                                            Include -access "WRITE"
   
6.                       }
   
7.            }
   
8. }

复制代码

感觉MES这个专家规则挺强大灵活的，希望这个帖子可以抛砖引玉，让大神们多分享一下自己的专家规则设置

柯林

这要看它支持什么了
楼主举的这个，在vse上好像就不行，似乎是mes新增的功能

joker_yxf1

柯林 发表于 2021-8-15 22:15
这要看它支持什么了
楼主举的这个，在vse上好像就不行，似乎是mes新增的功能

是的，这个是MES新增的功能，集成了MCAFEE以前HIP的功能，并且做了强化