SystemWatcher的敏感度

显示全部楼层 · 发表于 2022-8-21 21:26:32

本帖最后由 anxiety520 于 2022-8-21 21:48 编辑

如题，openARK被放置在低限，进入内核模式时系统监控未产生任何警告，软件成功加驱,只是偶尔（划掉）第一次才会提示PDM:Suspicious.Driver.Installation.a,想问一下这是什么情况?

显示全部楼层 · 发表于 2022-8-21 21:41:58

偶尔是什么意思？多次加驱只提醒一次？
SW的规则可能有很多苛刻的前置条件，导致玄学（盲猜

显示全部楼层 · 发表于 2022-8-21 21:47:36

Jirehlov1234 发表于 2022-8-21 21:41
偶尔是什么意思？多次加驱只提醒一次？
SW的规则可能有很多苛刻的前置条件，导致玄学（盲猜

是的，只提醒过一次，如果没记错的话第一次打开时会报，点允许一次之后不会再提醒

显示全部楼层 · 发表于 2022-8-21 21:50:40

anxiety520 发表于 2022-8-21 13:47
是的，只提醒过一次，如果没记错的话第一次打开时会报，点允许一次之后不会再提醒

没玩过这个报法，但是看描述应该是和HIPS一样的同session允许，也就是允许一次后当前session下默认都允许。关机再开机试试看。

显示全部楼层 · 发表于 2022-8-21 21:58:15

Jirehlov1234 发表于 2022-8-21 21:50
没玩过这个报法，但是看描述应该是和HIPS一样的同session允许，也就是允许一次后当前session下默认都允许 ...

试过了，没有用，关掉HIPS后加驱PDM依然无感，倒是防火墙一直在提示程序联网。

显示全部楼层 · 发表于 2022-8-21 22:00:34

anxiety520 发表于 2022-8-21 13:58
试过了，没有用，关掉HIPS后加驱PDM依然无感，倒是防火墙一直在提示程序联网。

跟HIPS没关系，我是说这种和用户交互的，SW可能遵循一样的规则。
关机再开机可以重新计算session，重启或者其他操作不能保证。

显示全部楼层 · 发表于 2022-8-21 22:03:07

本帖最后由 anxiety520 于 2022-8-21 22:06 编辑

Jirehlov1234 发表于 2022-8-21 22:00
跟HIPS没关系，我是说这种和用户交互的，SW可能遵循一样的规则。
关机再开机可以重新计算session，重启 ...

刚重启完，的确不行

刚刚尝试了一下让样本区那个易语言杀软加驱来看PDM的反应,这次是b.4后缀,然而奇怪的是,就算你允许后再尝试重新加驱PDM依旧会反应

显示全部楼层 · 发表于 2022-8-21 22:29:16

anxiety520 发表于 2022-8-21 14:03
刚重启完，的确不行

刚刚尝试了一下让样本区那个易语言杀软加驱来看PDM的反应,这次是b.4后缀,然而奇 ...

可能是a后缀的不太一样，或者某种bug
主防还要交互就离谱

显示全部楼层 · 发表于 2022-8-21 22:41:32

Jirehlov1234 发表于 2022-8-21 22:29
可能是a后缀的不太一样，或者某种bug
主防还要交互就离谱

这个应该跟交互没有关系吧

自动选择操作也会弹窗

显示全部楼层 · 发表于 2022-8-22 01:33:50

可能特定检测类型下“允许一次”是“允许本次”，记住了本次所加载驱动的特征，避免某些程序反复装卸同一个驱动导致的频繁触发。

[问题求助] SystemWatcher的敏感度