热心朋友帮忙看看这个怎么排除~~

qiumu

2009/10/18 10:20:05 已由访问保护规则禁止 NT AUTHORITY\SYSTEM C:\Windows\system32\svchost.exe C:\Windows\SoftwareDistribution\Download\Install\ATL80SP1-KB973923-x86.exe 用户定义的规则:FD 禁止Windows下可疑EXE文件操作 已阻止的操作: 创建
2009/10/18 10:21:26 已由访问保护规则禁止  NT AUTHORITY\SYSTEM C:\Windows\system32\svchost.exe C:\Windows\SoftwareDistribution\Download\Install\ATL80SP1-KB973923-x86.exe 用户定义的规则:FD 禁止Windows下可疑EXE文件操作 已阻止的操作: 创建
我不知道标红色的这个东西是什么意思~~~（我电脑知识知道不多~ ），是排除红色的还是排除蓝色的？
以下是我的规则：
——————————————————————————————————————
要包含的进程：*
要排除的进程：?:\Program Files\**\*.*, C:\Windows\System32\Rundll32.exe
要阻止的文件或文件夹名：C:\Windows\**\*.exe
要禁止的文件操作：创建，写
——————————————————————————————————————
我在此谢谢各位了。

[ 本帖最后由 qiumu 于 2009-10-18 11:17 编辑 ]

大猫熊

这个是windows update的下载，红色的是用户，这里是SYSTEM用户，排除蓝色的就可以了。其实你大可把所有windows目录下的排除。因为这条规则本身就禁止非windows目录下的程序将文件写入windows文件夹。

qiumu

多谢LS的热心朋友，我明白了，我之前把默认规则里的默认排除项全删了，然后再做一一绝对路经排查，比如program files文件夹，WINDOWS文件夹等等，然后再专门做规则保护这些排除的文件夹。这样做虽然过程有点痛苦，不过过去了就好了哈，现在需要排除的项很少了，只是时不时出来一些。

[ 本帖最后由 qiumu 于 2009-10-18 11:00 编辑 ]