关于新系统新硬件下ESET用法讨论

generalbasic008

现在都是用win10系统和固态硬盘了，启动都是UEFI模式，不知道HIPS还有没有必要开启直接访问硬盘保护模式？
ESET和win10的内核隔离安全启动是否冲突，开启内存完整性和HIPS防注入哪个更好？
EXPLOIT PROTECTION是否有必要开启，会不会冲突？

NICO-COOPER

Win10都是N年前的事了，你要说Win11有没有冲突还差不多现在只要正常更新的杀软都可以在Win10上正常运行，uefi＋gpt也会被病毒删硬盘，只是对MBR做手脚的病毒影响会比较小罢了。
样本区里经常会出现可以对Win10和Win11产生影响的killMBR

pal家族

你这都是在想些什么
把不搭嘎的东西关联到一起
win系统的安全功能你想开就开呗，杀软的功能你花钱买了当然要开启啊
冲不冲突什么的，至少你都开启了两者之间是兼容的。

zwl2828

将内存完整性开启，保持 ESET 设置为默认即可。

netweb

win10 1903 x64  ESET 15.0.23.0  x64
ESET的HIPS中的直接磁盘访问是无效的，开与不开没有任何影响。
安装全局钩子，加载驱动程序，调试另一个应用程序，拦截其他应用程序事件都是无效的。
你若不信，可以开全局询问，自己去试。  

---

生如夏花之绚烂，死如秋叶之静美  
2022/2/21 下午9:48:21
bye  
From The Amazing Artifact：Netscape         

generalbasic008

netweb 发表于 2022-2-21 20:48
win10 1903 x64  ESET 15.0.23.0  x64
ESET的HIPS中的直接磁盘访问是无效的，开与不开没有任何影响。
安 ...

那hips手动里面怎么自己设置才能做到禁止直接访问磁盘，禁止安装全局钩子？这不是半残废HIPS了吗？也就能锁个文件夹，还有怎么防提权？

netweb

generalbasic008 发表于 2022-2-22 14:25
那hips手动里面怎么自己设置才能做到禁止直接访问磁盘，禁止安装全局钩子？这不是半残废HIPS了吗？也就能 ...

做不到，14的时候就发现失效了，15了还是没修
防护都正常才是半残，现在一部分失效了是半死不活的状态了。
ESET的HIPS没有读取
https://forum.eset.com/topic/116 ... e/5/#comment-132753
没有创建，结束进程，安装模式。源程序不支持通配符，目标程序通配符支持也有限制。
https://bbs.kafan.cn/thread-2053386-1-1.html
删除文件/写入文件"的“文件”是指普通文件对象，不包括“文件夹”对象
https://bbs.kafan.cn/thread-2053976-1-1.html
https://bbs.kafan.cn/thread-2053386-1-1.html
保护文件所在的文件夹，需要另写规则。
https://forum.eset.com/topic/31058-hips-serious-problem/
弹窗超时默认放行，而非阻止。
HIPS规则中一些写法不支持
https://forum.eset.com/topic/287 ... ces/#comment-135093
https://bbs.kafan.cn/thread-2053386-1-1.html
HIPS 并不监视所有系统操作。 HIPS 监视视为不安全的操作。
https://help.eset.com/eis/15/zh- ... or_single_rule.html

防提权，不会写
可以参考这里
https://bbs.kafan.cn/thread-2213123-1-1.html
要点防御入口规则v3.2版

1. C-07-防提权-禁止执行icacls命令
   
2. 禁止cmd.exe, powershell.exe, wmic.exe执行icacls.exe
   
3. 
   
4. C-08-防提权-禁止执行cacls命令
   
5. 禁止cmd.exe, powershell.exe, wmic.exe执行cacls.exe

复制代码

---

生如夏花之绚烂，死如秋叶之静美  
2022/2/23 上午12:13:34
bye  
From The Amazing Artifact：Netscape         

generalbasic008

netweb 发表于 2022-2-22 23:13
做不到，14的时候就发现失效了，15了还是没修
防护都正常才是半残，现在一部分失效了是半死不活的状态了 ...

感谢感谢，还不知道文件夹要单独防，那比如我设置不让勒索软件加密文件，禁止写入或删除d:/我的文件/*是不是就可以全防御了？还是要再添一个d:/我的文件，这样？

netweb

generalbasic008 发表于 2022-2-23 12:05
感谢感谢，还不知道文件夹要单独防，那比如我设置不让勒索软件加密文件，禁止写入或删除d:/我的文件/*是 ...

禁止写入或删除d:\我的文件\*  只能保护 我的文件文件夹下的文件，无法保护文件夹本身。文件夹可以随意重命名，不会触发规则。添加d:\我的文件  可以保护文件夹本身。
一般勒索只会加密文件，不会动文件夹的。

---

生如夏花之绚烂，死如秋叶之静美  
2022/2/23 下午11:45:41
bye  
From The Amazing Artifact：Netscape         

generalbasic008

netweb 发表于 2022-2-23 22:45
禁止写入或删除d:\我的文件\*  只能保护 我的文件文件夹下的文件，无法保护文件夹本身。文件夹可以随意 ...

明白了 谢谢！