冰盾 · 主动防御系统4.5来了

显示全部楼层 · 发表于 2024-9-6 19:12:27

本帖最后由安全测评于 2024-9-6 19:14 编辑

saiboliu 发表于 2024-9-6 11:26
支持yara这个强，可以做成杀毒软件了，自己编写的规则测试正常，找了个开源规则库失败，没有任何错误提示， ...

YARA优化去掉了cuckoo、magic、elf等用不到的库，同时优化了内存占用，匹配速度，调整成适用于实时防护多规则扫描的场景。下个版本添加错误规则提醒，方便定位问题。

显示全部楼层 · 发表于 2024-9-6 19:16:28

inhh1 发表于 2024-9-6 16:27
啥时候来个DSysCall 注入缓解（

如果只是保护一部分软件，比如系统进程，那么可以使用进程保护模板，把写内存权限去掉，然后系统进程自己加白。因为无论哪种注入，都需要把shellcode写进去或者映射进去才能执行的。

显示全部楼层 · 发表于 2024-9-6 19:24:59

安全测评发表于 2024-9-6 19:11
去掉是因为容易被利用去杀安全软件，有一定的风险。如果被利用容易导致驱动签名被封了。

那也别一棍子打死啊，可以免费版去掉，专业版保留，这样过度一下比较好

显示全部楼层 · 发表于 2024-9-6 19:36:40

好像isword.exe还在的吧

显示全部楼层 · 发表于 2024-9-6 20:07:46

ongarabazanade 发表于 2024-9-6 19:24
那也别一棍子打死啊，可以免费版去掉，专业版保留，这样过度一下比较好

用户能接触到专业版，病毒作者就一定也能接触到。

想避免被利用就势必不能暴露相关接口。

显示全部楼层 · 发表于 2024-9-6 20:11:34

这个软件会不会加入云?

显示全部楼层 · 发表于 2024-9-6 20:16:28

我是风我是风发表于 2024-9-6 20:11
这个软件会不会加入云?

我记得好像智能防护是有云的

显示全部楼层 · 发表于 2024-9-6 20:34:03

安全测评发表于 2024-9-6 19:11
去掉是因为容易被利用去杀安全软件，有一定的风险。如果被利用容易导致驱动签名被封了。

那就一旦检测到用户要结束安全软件的进程就禁止用户结束进程，好像360任务管理器就是这样的

显示全部楼层 · 发表于 2024-9-6 20:39:30

想问下冰盾可以单奔么？
想把360删掉感觉有点卡顿

显示全部楼层 · 发表于 2024-9-6 23:05:20

浮夸，发表于 2024-9-6 20:39
想问下冰盾可以单奔么？
想把360删掉感觉有点卡顿

如果你规则写得好配上MD 其实都没啥问题也可以配上卡巴免费版

[分享] 冰盾 · 主动防御系统4.5来了