McAfee Virusscan Enterprise 8.5I 默认访问保护规则简析

bush

McAfee Virusscan Enterprise 8.5I 默认访问保护规则简析
为忠于原作者的愿望，本文不贴英文原文，只把规则中的英文“描述”（description，即规则名）部分贴出，大家可以自己对照McAfee Virusscan Enterprise 8.5 软件系统中的规则来比对


Description "Prevent registry editor and Task Manager from being disabled"
阻止注册表编辑器和进程管理器被以下程序关闭
监视所有程序
排除进程：rtvscan.exe cfgwiz.exe navw32.exe nmain.exe fssm32.exe avtask.exe kavsvc.exe giantantispywar* mmc.exe
注册表值（创建，写入，删除）：
HKULM/Software/Microsoft/Windows/CurrentVersion/Policies/System:DisableRegistryTools
HKULM/Software/Microsoft/Windows/CurrentVersion/Policies/System:DisableTaskMgr

Description "Prevent user rights policies from being altered"
保护用户权限策略
监视所有进程
排除进程：rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，amgrsrvc.exe，mmc.exe
注册表项（创建，写入，删除）：
HKCCS/Control/LSA/**
HKCCS/Services/lanmanserver/parameters/**

Description "Prevent remote creation/modification of executable and configuration files"
防止远程建立/修改可执行程序和配置文件
监视所有远程程序
对象文件（创建，写入，删除）:**.exe **.scr **.ocx **.dll **.pif
文件路径:windows目录以及所有子目录下文件，%systemdrive%\*.ini
排除进程:所有framepkg.exe文件

Description "Prevent remote creation of autorun files"
防止远程建立autorun.inf文件
所有远程进程
对象文件（创建）: autorun.inf

Description "Prevent hijacking of .EXE and other executable extensions"
防止exe等可执行文件被劫持
监视所有程序
排除程序:msiexec.exe msi*.tmp setup.exe ikernel.exe *setup*.exe _ins*._mp
注册表值（写入，删除）:
HKULM/Software/Classes/.exe/**
HKULM/Software/Classes/exefile/**
HKULM/Software/Classes/.com/**
HKULM/Software/Classes/comfile/**
HKULM/Software/Classes/.bat/**
HKULM/Software/Classes/batfile/**
HKULM/Software/Classes/.cmd/**
HKULM/Software/Classes/cmdfile/**

Description "Prevent svchost executing non-Windows executables"
防止svchost执行任何非windows可执行程序
监视进程:svchost.exe
文件类型（执行）: 所有文件
排除文件:所有exe文件，windows目录以及所有子目录下的文件

Description "Prevent Windows Process spoofing"
防止windows进程欺骗
文件路径（创建，读取，执行，写入）：所有svchost.exe，explorer.exe，ctfmon.exe，lsass.exe，csrss.exe，winlogon.exe，services.exe，smss.exe
排除文件：windows目录及其所有子目录下的svchost.exe，explorer.exe，ctfmon.exe，lsass.exe，csrss.exe，winlogon.exe，services.exe，smss.exe

Description "Protect phonebook files from password and email address stealers"
保护通讯簿的密码和电子邮件地址
监视所有进程
排除进程：rasphone.exe explorer.exe svchost.exe
文件路径（读取，删除，创建，写入）：**/rasphone.pbk

Description "Prevent mass mailing worms from sending mail"
防止邮件蠕虫发送邮件
监视所有进程
排除进程：默认邮件客户端，默认浏览器，eudora.exe，msimn.exe，msn6.exe，msnmsgr.exe，neo20.exe，nlnotes.exe，outlook.exe，pine.exe，poco.exe，thebat.exe，thunderbird.exe，winpm-32.exe，explorer.exe，iexplore.exe，firefox.exe，mozilla.exe，netscp.exe，opera.exe，msn6.exe，tomcat.exe，tomcat5.exe，tomcat5w.exe，inetinfo.exe，amgrsrvc.exe，apache.exe，webproxy.exe，msexcimc.exe，ntaskldr.exe，nsmtp.exe，nrouter.exe，agent.exe，ebs.exe，firesvc.exe，modulewrapper*，msksrvr.exe，mskdetct.exe，mailscan.exe，rpcserv.exe
端口（向外）：25，587

Description "Prevent IRC communication"
防止IRC通信
监视所有进程
端口（向内，向外）：6666-6669

Description "Prevent use of tftp.exe"
防止调用tftp.exe
监视所有进程
排除进程：wuauclt.exe
文件路径（读取，执行）：所有的tftp.exe

Description "Prevent alteration of all file extension registrations"
保护所有已注册的文件类型
监视所有进程
排除进程：explorer.exe
注册表项（读取，写入）：HKULM/Software/Classes/.*/**

Description "Protect cached files from password and email address stealers"
保护缓存文件中的密码和电子邮件地址
监视所有进程
排除进程：iexplore.exe，explorer.exe，rundll32.exe，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe
文件路径（读取）：所有content.ie5文件夹以及子文件夹中文件

Description "Make all shares read-only"
设置所有共享为只读属性
监视所有远程进程
文件路径（创建，写入，删除）：所有文件

Description "Block read and write access to all shares"
阻止所有对共享资料的读取和写入
监视所有进程
文件路径（创建，写入，删除，执行，读取）：所有文件

Description "Prevent modification of McAfee files and settings"
保护McAfee的相关文件和设置
监视所有进程
排除进程：msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，sdat*.exe，mfehidin.exe，svchost.exe，regsvc.exe，mmc.exe，vstskmgr.exe，scan32.exe，shstat.exe，mcupdate.exe，mcconsol.exe，ncdaemon.exe
文件路径（创建，写入，删除）：mcafee下desktopproctection，antispyware，AntiSpyware Enterprise目录以及所有子目录下文件，drivers目录下mfe*.sys文件。
排除进程（创建，写入，删除）：mcafee目录中，AntiSpyware Enterprise目录下，mid文件夹中asecfg.cab文件。
注册表项：
HKLM/Software/McAfee
HKLM/Software/McAfee/DesktopProtection
HKLM/Software/McAfee/VSCore
HKLM/Software/McAfee/VSCore/NVP
HKLM/Software/McAfee/On Access Scanner/McShield/Configuration/*
（以上为 删除）
HKLM/Software/McAfee/vscore/**
HKCCS/Services/McShield/**
HKCCS/Services/McTaskManager/**
HKCCS/Services/Mfeapfk/**
HKCCS/Services/Mfetdik/**
HKCCS/Services/Mfeavfk/**
HKCCS/Services/Mfebopk/**
HKCCS/Services/Mfehidk/**
HKLM/Software/McAfee/DesktopProtection/**
HKULM/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer/DisallowRun/**
（以上为 创建，写入，删除）
排除注册表项（创建，写入，删除）：
HKLM/SOFTWARE/MCAFEE/VSCORE/ALERT CLIENT/VSE


Description "Prevent modification of McAfee Common Management Agent files and settings"
保护mcafee通用文件和设置
监视所有进程
排除进程：msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，insfiretdi.exe，services.exe，firesvc.exe，scanner.exe
注册表项（创建，写入，删除）：
HKLM/Software/Network Associates/ePolicy Orchestrator
HKLM/Software/Network Associates/TVD/Shared Components/Framework
HKCCS/Services/McAfeeFramework/**
文件路径（创建，写入，删除）：
%ALLUSERSPROFILE%/*/Network Associates/Common Framework，%ALLUSERSPROFILE%/*/McAfee/Common Framework，%programfiles%/mcafee/Common Framework，%programfiles%/network associates/Common Framework，%CommonProgramFiles%/Cisco Systems/CiscoTrustAgent/plugins 目录以及子目录下文件

Description "Prevent modification of McAfee Scan Engine files and settings"
保护McAfee引擎文件和设置文件
监视所有进程
排除进程：rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，msiexec.exe，svchost.exe，regsvc.exe，msi*.tmp，sdat*.exe，mcscript*，*xdat.exe，mcupdate.exe
注册表项：
HKLM/Software/McAfee/AVEngine（删除）
HKLM/Software/McAfee/AVEngine:DAT
HKLM/Software/McAfee/AVEngine:szInstallDir
（以上为 创建，写入，删除）
文件路径（创建，写入，删除）：%CommonProgramFiles%/mcafee/Engine目录以及子目录下文件
排除文件：extra.dat

bush

Description "Protect Mozilla & FireFox files and settings"
保护Mozilla&FireFox文件和设置
监视所有进程
排除进程：rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，firefox*，mozilla*，*setup*.exe
注册表值（创建，写入，删除）：
HKLM/Software/Mozilla**
HKCU/Software/Mozilla**
文件路径（创建，写入，删除）：Mozilla*目录以及子目录下所有文件
  

Description "Protect Internet Explorer settings"
保护Internet Explorer设置
监视所有进程
排除进程：icwconn1.exe，configui.exe，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp
注册表项：
HKULM/Software/Microsoft/Internet Explorer/Toolbar:\{*" }
HKULM/SOFTWARE/Microsoft/Windows/CurrentVersion/URL/DefaultPrefix:@
HKULM/SOFTWARE/Microsoft/Windows/CurrentVersion/URL/Prefixes:*
（以上为 创建，写入，删除）
HKULM/SOFTWARE/Microsoft/Internet Explorer/Main:Start Page
HKULM/SOFTWARE/Microsoft/Internet Explorer/Main:Default_Page_URL
HKLM/Software/Microsoft/Windows/CurrentVersion/Internet SettingsroxyServer
HKULM/SOFTWARE/Microsoft/Internet Explorer/Search:Search Assistant
HKULM/SOFTWARE/Microsoft/Internet Explorer/Search:CustomizeSearch
HKULM/SOFTWARE/Microsoft/Internet Explorer/Main:Search Bar
HKULM/SOFTWARE/Microsoft/Internet Explorer/Main:Search Page
HKULM/SOFTWARE/Microsoft/Internet Explorer/Main:Default_Search_URL
（以上为 写入，删除）

Description "Prevent installation of Browser Helper Objects and Shell Extensions"
保护Browser Helper Objects和Shell扩展
监视所有进程
排除进程：msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，regsvcs.exe，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe
注册表项（创建，写入，删除）：
HKLM/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Browser Helper Objects/**
HKULM/SOFTWARE/Microsoft/Windows/CurrentVersion/ShellServiceObjectDelayLoad
HKLM/Software/Microsoft/Windows/CurrentVersion/Explorer/ShellExecuteHooks
HKLM/Software/Microsoft/Windows/CurrentVersion/Shell Extensions/Approved

Description "Protect network settings"
保护网络设置
监视所有进程
排除进程：msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，mfehidin.exe，winmgmt.exe，winlogon.exe，svchost.exe，services.exe，setadapter.exe，sr_gui.exe，sr_service.exe，fwkern.exe，tcpsvcs.exe
注册表项：
HKCCS/Services/Winsock/**
HKCCS/Services/tcpip/**"
"HKCCS/Services/netbt/**
（以上 创建，删除）
HKCCS/Services/Winsock/**:*
HKCCS/Services/tcpip/**:*
HKCCS/Services/netbt/**:*
（以上为 创建，写入，删除）
排除注册表项（创建，删除）：
HKCCS/Services/tcpip/Performance
HKCCS/Services/netbt/Performance
文件路径（写入，创建，删除）：hosts文件

Description "Prevent common programs from running files from the Temp folder"
防止通用程序从临时文件夹启动任何项目
监视进程：默认浏览器，默认邮件客户端，explorer.exe，iexplore.exe，firefox.exe，mozilla.exe，netscp.exe，opera.exe，msn6.exe，eudora.exe，msimn.exe，msn6.exe，msnmsgr.exe neo20.exe nlnotes.exe outlook.exe pine.exe poco.exe thebat.exe thunderbird.exe winpm-32.exe packager.exe winzip32.exe winrar.exe
文件路径（执行）：名称含有“temp”字样的目录以及所有子目录中文件
排除文件（执行）：任何临时文件夹及其子文件夹中的FrmInst.exe，任何临时文件夹中的iadhide?.dll，NAVSetup.exe，任何临时文件夹下NAV文件夹中的NAVSetup.exe，以及文件{718CF0D3-DCDF-428E-9F6C-258F065C8D6D\}/PiReg.exe和{718CF0D3-DCDF-428E-9F6C-258F065C8D6D\}/setlicense.exe

Description "Prevent programs registering to autorun"
保护自启动项
监视所有进程
排除进程：tbmon.exe，msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，wuauclt.exe，update.exe，spuninst.exe，javatrig.exe，vbs56nen.exe，js56nen.exe，ieupdate.exe，dahotfix.exe，ie-kb*.exe，kb*.exe，fixccs.exe，sqlredis.exe，mdac_qfe.exe，dasetup.exe，setupre.exe，wintdist.exe，mmc.exe，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，frminst.exe
注册表项（创建，写入）：
HKULM/Software/Microsoft/Windows NT/CurrentVersion/WinLogon:Shell
HKULM/Software/Microsoft/Windows NT/CurrentVersion/Windows:Load
HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Windows:AppInit_Dlls
HKULM/Software/Microsoft/Windows/CurrentVersion/Run/**
HKULM/Software/Microsoft/Windows/CurrentVersion/RunOnce/**
HKULM/Software/Microsoft/Windows/CurrentVersion/RunOnceEx/**
HKULM/Software/Microsoft/Windows/CurrentVersion/RunServices/**
HKULM/Software/Microsoft/Windows/CurrentVersion/RunServicesOnce/**
HKLM/Software/Microsoft/Windows NT/CurrentVersion/WinLogon/Notify
HKLM/Software/Microsoft/Windows NT/CurrentVersion/WinLogon/Notify/*
排除注册表项（创建，写入）：
HKLM/SOFTWARE/MICROSOFT/WINDOWS/CURRENTVERSION/RUN:MCAFEEFIRETRAY
HKLM/Software/Microsoft/Windows NT/CurrentVersion/WinLogon/Notify/NAVLOGON
文件路径（创建，写入，删除，执行）：startup文件夹下以exe，bat，scr，hta，pif，com为扩展名的文件，startup文件夹下文件名中含有server字符的exe文件。

Description，"Prevent programs registering as a service"
防止添加服务项
监视所有进程
排除进程：tbmon.exe，mmc.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，wuauclt.exe，update.exe，spuninst.exe，javatrig.exe，vbs56nen.exe，js56nen.exe，ieupdate.exe，dahotfix.exe，ie-kb*.exe，kb*.exe，fixccs.exe，sqlredis.exe，mdac_qfe.exe，dasetup.exe，setupre.exe，wintdist.exe，frminst.exe
注册表项（创建）：
HKCCS/Services/**
排除注册表项（创建）：
HKCCS/Services/EventLog/Application/*
HKCCS/Services/EventLog/Security/*
HKCCS/Services/EventLog/System/*
HKCCS/Services/NAIMServInst/**
HKCCS/Services/traces/**
HKCCS/Services/RegMon/**
HKCCS/Services/FileMon/**
HKCCS/Services/McAfeeFramework/**
HKCCS/Services/W3SVC/PARAMETERS/**
HKCCS/Services/IDSINSTPRIVTEST/**
HKCCS/Services/SNDSRVC/**
HKCCS/Services/SYMEVENT/**
HKCCS/Services/INTEL PDS/**
HKCCS/Services/SYMIDSCO/**"
HKCCS/Services/SWEEPSRV.SYS/**
HKCCS/Services/INTERCHECK FILTER/**
HKCCS/Services/INTERCHECK CONTROL/**
HKCCS/Services/SWEEPNET/**
HKCCS/Services/INTERCHECK SUPPORT*/**
HKCCS/Services/INORT/**
HKCCS/Services/INOTASK/**
HKCCS/Services/KAVMONITORSERVICE/**
HKCCS/Services/AVPG/**
HKCCS/Services/AVPCC/**
HKCCS/Services/SQLAGENT\$PADMINISTRATOR/**
HKCCS/Services/MSSQL\$PADMINISTRATOR/**
HKCCS/Services/MSSQLSERVERADHELPER/**
HKCCS/Services/PAVATSCHEDULER/**
HKCCS/Services/PAVAGENTE/**
HKCCS/Services/PAVREPORT/**
HKCCS/Services/ADMINSERVER/**
HKCCS/Services/PADFSVR/**
HKCCS/Services/OFFICESCAN_MASTER_SETUP_SERVICE/**
HKCCS/Services/APACHE2/**
HKCCS/Services/OFCSERVICE/**
HKCCS/Services/TMLISTEN/**
HKCCS/Services/NTRTSCAN/**
HKCCS/Services/VSAPINT/**
HKCCS/Services/TMFILTER/**
HKCCS/Services/OFCPFWSVC/**
HKCCS/Services/TM_CFW/**
HKCCS/Services/FIREHOOK/**
HKCCS/Services/FIRESVC/**
HKCCS/Services/FIRETDI/**
HKCCS/Services/FIREPM/**

Description "Prevent creation of new executable files in the Windows folder"
防止在windows目录建立可执行文件
监视所有进程
排除进程：msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，wuauclt.exe，update.exe，spuninst.exe，javatrig.exe，vbs56nen.exe，js56nen.exe，ieupdate.exe，dahotfix.exe，ie-kb*.exe，kb*.exe，fixccs.exe，sqlredis.exe，mdac_qfe.exe，dasetup.exe，setupre.exe，wintdist.exe，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe，rtvscan.exe，cfgwiz.exe，navw32.exe，nmain.exe，fssm32.exe，avtask.exe，kavsvc.exe，giantantispywar*，winlogon.exe，mrtstub.exe，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe，fssm32.exe，tomcat.exe
文件路径（创建）：windows目录下以exe和dll为后缀的文件
排除文件（创建）：windows目录中downloaded program files目录及其子目录下任何文件，windows目录中SoftwareDistribution目录下Download和WebSetup文件夹中及其所有子文件夹中的任何文件。system32文件下muweb.dll，wuweb.dll，cdm.dll，iuengine.dll，wuapi.dll，wuauclt.exe，wuauclt1.exe，wuaclt.exe，wuaclt1.exe，wuaueng.dll，wuaueng1.dll，wucltui.dll，wups.dll，wups2.dll，FireNotify.dll，FireCNL.dll，FireCore.dll，FireCL.dll，FireEpo.dll，FireNHC.dll，FireSCV.dll。windows目录下temp文件夹中的ZDATAI51.DLL以及_WUTL951.DLL文件。

Description "Prevent launching of files from the Downloaded Programs folder"
防止从downloaded programs folder文件夹下启动任何项目
监视进程：iexplore.exe
文件路径（执行）：downloaded program files文件夹下任何以exe为后缀的文件

Description "Prevent FTP communication"
防止FTP通信
监视所有进程
排除进程：默认浏览器，explorer.exe，iexplore.exe，firefox.exe，mozilla.exe，netscp.exe，opera.exe，msn6.exe，tomcat.exe，tomcat5.exe，tomcat5w.exe，inetinfo.exe，amgrsrvc.exe，apache.exe，webproxy.exe，msexcimc.exe，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe，pasys*，google*，alg.exe，ftp.exe，agentnt.exe
端口（向外）：20，21

Description "Prevent HTTP communication"
防止HTTP通信
监视所有进程
排除进程：默认浏览器，默认本地邮件客户端，explorer.exe，iexplore.exe，firefox.exe，mozilla.exe，netscp.exe，opera.exe，msn6.exe，tomcat.exe，tomcat5.exe，tomcat5w.exe，inetinfo.exe，amgrsrvc.exe，apache.exe，webproxy.exe，msexcimc.exe，mcscript*，frameworks*，naprdmgr.exe，frminst.exe，naimserv.exe，framepkg.exe，narepl32.exe，updaterui.exe，cmdagent.exe，cleanup.exe，eudora.exe，msimn.exe，msn6.exe，msnmsgr.exe，neo20.exe，nlnotes.exe，outlook.exe，pine.exe，poco.exe，thebat.exe，thunderbird.exe，winpm-32.exe，msiexec.exe，msi*.tmp，setup.exe，ikernel.exe，*setup*.exe，_ins*._mp，lucoms*，luupdate.exe，lsetup.exe，idsinst.exe，lucoms*，sevinst.exe，nv11esd.exe，tsc.exe，v3cfgu.exe，ofcservice.exe，earthagent.exe，tmlisten.exe，inodist.exe，ilaunchr.exe，ii_nt86.exe，iv_nt86.exe，cfgeng.exe，f-secu*，fspex.exe，getdbhtp.exe，fnrb32.exe，f-secure automa*，sucer.exe，ahnun000.tmp，supdate.exe，autoup.exe，pskmssvc.exe，pavagent.exe，dstest.exe，paddsupd.exe，pavsrv50.exe，avtask.exe，giantantispywar*，boxinfo.exe，alg.exe，mobsync.exe，waol.exe，agentnt.exe，svchost.exe，runscheduled.exe，pasys*，google*，backweb-*，vmnat.exe，devenv.exe，windbg.exe，jucheck.exe，realplay.exe，acrord32.exe，acrobat.exe，wfica32.exe，mmc.exe，mshta.exe，dwwin.exe，wmplayer.exe，console.exe，wuauclt.exe，javaw.exe，ccmexec.exe，ntaskldr.exe，winamp.exe，realplay.exe，quicktimeplaye*
端口（向外）：80，443

Loneliness

呵呵。LZ把这都弄来了。貌似最新的教程里有
想玩好咖啡这个还真得研究啊

研究的很想吐。。。。。。。。。。。。。

Oceanzd

这些都是基本规则而已

Description "Make all shares read-only"
设置所有共享为只读属性
监视所有远程进程
文件路径（创建，写入，删除）：所有文件

Description "Block read and write access to all shares"
阻止所有对共享资料的读取和写入
监视所有进程
文件路径（创建，写入，删除，执行，读取）：所有文件

果然如预料到的一样，这2个是咖啡最变态的默认规则，第2个开了简直无敌

bush

这两条默认的规则里包含的进程是System:Remote    没那么厉害的哦

bush

看得我头都晕了

Oceanzd

原来如此，看来是文字没有写清

zxgxxx

是啊,看了有点头大.呵呵

zclord

好东西啊 有空慢慢啃了

daring

正需要这个呢