|
1、McAfee的杀毒凌驾于一切规则之上！即设置规则禁止对染毒文件做任何操作，在McAfee杀毒时，该规则失效。所以不要介意将规则中的“删除”选项选中，因为即使禁止删除该文件，若该文件染毒，McAfee一样照杀不误。 2、“访问保护”支持绝对路径。通鉴中所有规则均以系统盘为C盘编写。 3、双星号(**)表示在反斜线(\)字符前后任意多个层级的目录，即文件夹可以新建，但任何文件夹中的文件均被保护。一个星号(*)表示任意一个或部分目录名称，（*.*）表示任何文件，不包括文件夹，即只有一层文件夹内的文件被保护。（\**）与（\**\*）均表示在当前目录下任意多个层级目录里的任何文件和文件夹。 4、在“要禁止的文件操作”里，除了“创建”外，其余四项都是对已有的文件进行操作，一般情况下，“写入”、“创建”和“删除”可以一同禁止，而且禁止“写入”有时需要禁止“创建”，否则系统会在此文件夹中创建TMP*.tmp的临时文件（垃圾文件）。 5、读取：对已有的文件进行读取操作，但不执行文件的内容； 写入：对已有的文件进行写入操作，即对文件的内容进行修改，删除等； 执行：对已有的文件进行执行操作，即执行文件的内容； 创建：在文件夹中创建一个新的文件；删除：对已有的文件进行删除操作，包括修改文件名。 6、对注册表保护中“要保护的注册表项或注册表值”里面主键的说明：空白项：默认状态，无任何意义。 HKLM：表示HKEY_LOCAL_MACHINE主键。 HKCU：表示HKEY_CURRENT_USER主键。 HKCR：表示HKEY_CLASSES_ROOT主键。 HKCCS：表示HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet部分和HKEY_CURRENT_CONFIG主键。 HKULM：表示HKCU+HKLM+HKEY_USER三大主键。 HKALL：表示所有主键。可以近似地当作自定义项来使用。 7、将“访问保护”中所有的“报告”取消，则任务栏图标中的红框就会消失。这个红框的出现是提醒用户当前“访问保护”有规则阻止，且用户尚未查看报告。 8、“阻止”与“报告”若同时选中，则既阻止又报告；若只选中“阻止”，则只阻止不报告；若只选中“报告”，则只报告不阻止。 9、“通用最大保护”中的“禁止在 Windows 文件夹中创建新的可执行文件”与“禁止在 Program Files 文件夹中创建新的可执行文件”两个规则中项名所谓的“可执行文件”包括.exe和.dll两种格式的文件。 10、“访问保护”不支持环境变量。环境变量的出现，是McAfee为了解决规则在不同的操作系统下由于路径的问题而失效的一种办法，比如windows2000的系统文件夹是WINNT，而windows XP的系统文件夹是WINDOWS，如果在2000下使用绝对路径编写的规则，在XP下就会失效，为了解决这一问题，McAfee在8.0i版时允许使用环境变量，比如%windir%无论在任何系统内都表示系统文件夹，这样就使得规则具有了通用性。但是McAfee在8.5i版时将环境变量取消了，原因是因为McAfee认为现在使用2000以下系统的用户已逐步减少，随着windows vista以及电脑高端配置的出现，使用XP以上系统的用户会越来越多，而XP系统已成为了最基本的操作系统，因此从8.5i版开始，McAfee将只认可XP以上的系统，规则的通用性自然就会以XP系统为底线来编写，所以环境变量的存在已失去意义，当然就会退出舞台咯。 11、“访问保护”不支持对文件夹的保护。即只要将规则中保护的文件夹更名，该规则失效。McAfee不支持对文件夹的保护的原因是McAfee从一开始就只是杀毒软件，而非监控软件，“访问保护”只是辅助杀毒的一种手段，通过McAfee的内置规则不难看出，McAfee只提供对系统文件夹的保护，而系统盘下的三个系统文件夹WINDOWS、Program Files、Documents and Settings都是不允许更名的，所以对McAfee来说，他的内置规则是不受文件夹更名威胁的。前面也说了，McAfee不是做监控或者保密软件的，他不支持保护个人的隐私文件和文件夹，那是否McAfee就因此也不保护一些重要的文件呢，不是，McAfee会保护全盘下的某一类文件，如**\*.exe，但是这样又会给使用带来诸多不便，从而影响实用性，可操作性也大大降低，在此种情况下，排除进程应运而生，所以编写规则时应尽量避免非系统文件夹的出现，使用通配符*，再配合排除进程才是最完美的规则。 12、规则越多，监控的负担越大。规则的编写应该具有总结性，应该是某一类行为的概括，应该以不影响日常使用为原则。McAfee以“要禁止的文件操作”为依据，将所有的规则分为“层”，例如，当“访问保护”开启时，用户“执行”的任何操作，McAfee都会将之与所有包含“执行”的规则一一比对，如果此时规则很多，可想而知，监控的负担会变大，使用会变的迟缓，当然，对于高配置计算机，这个变化也许不是很明显，但系统资源仍会被消耗。 13、HIPS：Host Intrusion Prevent System 主机入侵防御系统，包括以下三种防御系统： FD：File Defend，文件防御体系 AD：Application Defend，应用程序防御体系 RD：Registry Defend，注册表防御体系三、访问保护中需要排除的进程 1、说明： 1.1以下未提及者排除项均为“空”！因为McAfee的内置规则中排除进程太多，安全性降低，绝大多数进程可删除。 1.2红字部分为应用软件，用户可根据不同的使用环境与自身需要情况而调整，为方便用户阅读，故显示为红色。 1.3排除进程中不赞成使用通配符*，因为病毒会伪装成任何进程，风险度提高，建议使用绝对路径。 1.4“用户自定义的规则”里的“2、禁止在计算机中创建新文件”，在“要排除的进程”中不必加入McScript.exe。原因如下：当McAfee升级病毒库时，需调用FrameworkService.exe和McScript_InUse.exe两个进程，这两个进程中任何一个被阻止，升级都将失败。当FrameworkService.exe被阻止时，McAfee会调用McScript.exe进程来做一些升级失败的善后事情，而当McScript_InUse.exe被阻止时，McAfee却不会再调用其他程序了，升级会直接失败。当升级成功，也就是说FrameworkService.exe和McScript_InUse.exe两个进程都顺利运行了，McScript.exe进程也不会被调用，因为McScript_InUse.exe会代替McScript.exe来做升级成功之后的事情。 1.5对于部分应用软件进程排除的说明： 1.5.1部分应用软件在设置时需要暂时停用“用户自定义的规则”中的“2.07禁止在计算机中创建新的.ini文件”，必要时需暂时停用“访问保护”。 1.5.2部分应用软件需开机运行的，如迅雷、鱼鱼桌面秀等，要暂时停用“通用最大保护”中的“禁止将程序注册为自动运行”。 1.5.3如果将应用软件一一排除的话，不仅工作量大，且排除进程多了，安全性降低了，另外应用软件的设置一般都是一次性的工作，排除进程的话没有任何意义，因此，需要排除的进程，必然不是一次性的工作，比如某软件每次运行时都会遭到访问保护阻挡并影响了使用时，就需要排除该进程了。 1.5.4应用软件的进程名有时会随着该软件版本的升级而改变，需要实时关注，比如迅雷，现在是Thunder5.exe，等版本升级到迅雷6时，可能进程会改名为Thunder6.exe。 1.6排除路径中有一种以“\??\”或“\\?\”打头的路径，编写规则时若将“\??\”或“\\?\”去掉的话便无法排除该进程，这是因为该进程已注入内存，所以在排除时已不是原路径，而是内存中的路径，所以需要以“\??\”或“\\?\”打头。“\??\”表示内存中的单个进程，多为系统进程，如??\C:\WINDOWS\system32\csrss.exe；“\\?\”表示在内存中除自身进程外，还注入在内存其他进程中，多为应用程序进程。 2、进程排除： 2.1“防间谍程序标准保护”： “保护 Internet Explorer 收藏夹和设置”，排除C:\Program Files\Internet Explorer\IExplore.exe,C:\WINDOWS\system32\rundll32.exe,C:\WINDOWS\Explorer.exe,C:\Program Files\Maxthon\Maxthon.exe 说明：排除IExplore.exe是允许IE浏览器更改IE设置和收藏夹；排除Explorer.exe是允许windowblinds以及手动更改windows窗口的工具栏；当rundll32.exe与Explorer.exe同时排除时就可以通过桌面IE图标右键更改IE设置；排除Maxthon.exe是允许遨游浏览器更改IE设置和收藏夹。 2.2“防间谍程序最大保护”： “禁止所有程序从 Temp 文件夹运行文件”，排除C:\Program Files\McAfee\Common Framework\McScript_InUse.exe。说明：排除McScript_InUse.exe是允许McAfee升级病毒库。 2.3“防病毒最大保护”： 2.3.1“禁止更改所有文件扩展名的注册”，排除C:\Program Files\Stardock\Object Desktop\SkinStudio\SknStdio.exe。说明：排除SknStdio.exe是允许SkinStudio编辑windowblinds主题。 2.3.2“保护缓存文件免受密码和电子邮件地址窃贼的攻击”，排除C:\Program Files\Maxthon\Maxthon.exe。说明：排除Maxthon.exe是允许遨游浏览器可以进行网页（论坛）下载。 2.4“通用标准保护”： 2.4.1“禁止修改 McAfee 文件和设置”，排除C:\Program Files\McAfee\VirusScan Enterprise\VsTskMgr.exe。说明：排除VsTskMgr.exe是允许通过控制台更改McAfee的设置。 2.4.2“禁止修改 McAfee Common Management Agent 文件和设置”，排除C:\Program Files\McAfee\Common Framework\McScript_InUse.exe,C:\Program Files\McAfee\Common Framework\FrameworkService.exe。说明：排除FrameworkService.exe与McScript_InUse.exe是允许McAfee升级病毒库。 2.4.3“禁止修改 McAfee 扫描引擎文件和设置”，排除C:\Program Files\McAfee\Common Framework\McScript_InUse.exe。说明：排除McScript_InUse.exe是允许McAfee在升级病毒库的时候可以将老病毒库备份到OldEngine文件夹中，以便回滚DAT之用。 2.5“通用最大保护”： 2.5.1“禁止在 Windows 文件夹中创建新的可执行文件”，排除C:\Program Files\McAfee\Common Framework\McScript_InUse.exe。说明：排除McScript_InUse.exe是允许McAfee升级病毒库。 2.5.2“禁止在 Program Files 文件夹中创建新的可执行文件”，排除C:\Program Files\McAfee\Common Framework\McScript_InUse.exe,C:\Program Files\McAfee\Common Framework\FrameworkService.exe。说明：排除FrameworkService.exe与McScript_InUse.exe是允许McAfee升级病毒库。 2.5.3“禁止 FTP 通信”，排除C:\Program Files\Thunder\Program\Thunder5.exe,C:\Program Files\Internet Explorer\IExplore.exe,C:\Program Files\Maxthon\Maxthon.exe。说明：排除Thunder5.exe是允许迅雷可以进行FTP下载；排除IExplore.exe与Maxthon.exe是允许IE浏览器与遨游浏览器可以浏览FTP网页。 2.5.4“禁止 HTTP 通信”，排除C:\Program Files\McAfee\Common Framework\FrameworkService.exe,C:\Program Files\Thunder\Program\Thunder5.exe,C:\Program Files\Maxthon\Maxthon.exe,C:\Program Files\Tencent\QQGAME\QQGame.exe,C:\Program Files\TTPlayer\TTPlayer.exe。说明：排除FrameworkService.exe是允许McAfee升级病毒库；排除Thunder5.exe是允许迅雷可以进行HTTP下载；排除Maxthon.exe是允许遨游可以上网且不会无故中断；排除QQGame.exe是允许QQ游戏能够运行；排除TTPlayer.exe是允许千千静听可以下载歌词。四、用户自定义的规则 1、对未知程序的行为控制说明：该系列规则防护相当强大，使用时需根据使用环境随时调整，但因为排除进程太多，故安全性降低，以“1.1禁止未知程序的任何操作”为例，为了不影响日常使用，排除了浏览器和下载工具，所以并不能阻挡病毒从外部创建到计算机中，虽然可以禁止其执行，但病毒源已存在于计算机中，威胁依然存在，因此就需要“2、禁止在计算机中创建新文件”系列规则来加以配合。 1.1禁止未知程序的任何操作要包含的进程：* 要排除的进程：C:\WINDOWS\System32\alg.exe,C:\WINDOWS\system32\ctfmon.exe,\??\C:\WINDOWS\system32\winlogon.exe,\??\C:\WINDOWS\system32\csrss.exe,C:\WINDOWS\system32\lsass.exe,C:\WINDOWS\Explorer.EXE,C:\WINDOWS\System32\svchost.exe,C:\WINDOWS\system32\logonui.exe,C:\WINDOWS\system32\RUNDLL32.EXE,C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\services.exe,C:\Program Files\Internet Explorer\IExplore.exe,C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE,C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE,C:\WINDOWS\system32\taskmgr.exe,C:\WINDOWS\system32\NOTEPAD.EXE,C:\Program Files\McAfee\Common Framework\McTray.exe,C:\Program Files\McAfee\Common Framework\UdaterUI.exe,C:\Program Files\McAfee\VirusScan Enterprise\VsTskMgr.exe,C:\Program Files\McAfee\Common Framework\FrameworkService.exe,C:\Program Files\McAfee\Common Framework\McScript_InUse.exe,C:\Program Files\McAfee\VirusScan Enterprise\shstat.exe,C:\Program Files\McAfee\Common Framework\naPrdMgr.exe,C:\Program Files\Thunder\Thunder.exe,C:\Program Files\Thunder\Program\Thunder5.exe,C:\Program Files\Maxthon\Maxthon.exe,C:\Program Files\Stardock\Object Desktop\WindowBlinds\wbconfig.exe,C:\Program Files\Styler\Styler.exe,C:\Program Files\Stardock\Object Desktop\IconPackager\IconPackager.exe,C:\Program Files\Stardock\Object Desktop\SkinStudio\SknStdio.exe,C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE,C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE,C:\Program Files\Microsoft Office\OFFICE11\POWERPNT.EXE,C:\Program Files\WinRAR\WinRAR.exe,C:\Program Files\TTPlayer\TTPlayer.exe,C:\Program Files\Stardock\Object Desktop\SkinStudio\SknStdio.exe,C:\Program Files\Wopti\WoptiUtilities.exe,C:\Program Files\鱼鱼软件\鱼鱼桌面秀\XDeskShow.exe,C:\Program Files\Tencent\QQ\QQ.exe,C:\Program Files\Tencent\QQ\CoralQQ.exe,C:\Program Files\Tencent\QQGAME\QQGame.exe,C:\PROGRA~1\KMplayer\KMPlayer.exe,C:\PROGRA~1\NFSU2\speed2.exe要阻止的文件或文件夹名：**\* 要禁止的文件操作：读取、写入、执行、创建、删除说明：该规则属于FD的极致规则，类似于AD，利用FD模仿AD的行为控制，但并不如真正的AD完美与强大，若McAfee与具备AD的HIPS相配合，该规则就没有存在的意义了。排除进程中黑字为系统进程，蓝字为McAfee进程，这两种进程如无必要，无需调整，红字为应用软件，需根据用户使用环境调整。 1.2禁止未知程序的任何网络行为要包含的进程：* 要排除的进程：C:\WINDOWS\system32\svchost.exe,C:\Program Files\McAfee\Common Framework\FrameworkService.exe,C:\Program Files\Tencent\QQ\QQ.exe,C:\Program Files\Thunder\Program\Thunder5.exe,C:\Program Files\Maxthon\Maxthon.exe,C:\Program Files\Tencent\QQGAME\QQGame.exe,C:\Program Files\TTPlayer\TTPlayer.exe要阻止端口：1～65535 方向：入站、出站说明：该规则类似于防火墙，阻止了不信任程序对网络的访问。排除进程中黑字为系统进程，蓝字为McAfee进程，这两种进程如无必要，无需调整，红字为应用软件，需根据用户使用环境调整。 1.3禁止未知程序的任何注册表行为说明：该系列规则属于RD的极致规则。需要注意的是，若“1.1禁止未知程序的任何操作”开启，则该系列规则毫无意义，因为排除进程是一样的，所以不被“1.1禁止未知程序的任何操作”阻挡的进程，也必然不会被该系列规则阻挡，反之，已经被“1.1禁止未知程序的任何操作”阻挡的进程，也没有能力再碰触到该系列规则了。因为“1.1禁止未知程序的任何操作”是FD模仿了AD的行为控制，反之AD却无法模仿FD，总体来说FD应该是HIPS中最强大的防御系统，如果FD与AD相配合达到对计算机的完全保护，那么即使是RD中属于极致的规则都变得多余了，因此可以得出FD强于AD，AD强于RD，但三者其实各有所长，对于不同的用户群，FD、AD和RD都发挥着各自的能力。 1.3.1禁止未知程序的任何注册表行为(项) 要包含的进程：* 要排除的进程：同“1.1禁止未知程序的任何操作” 要保护的注册表项或注册表值：HKALL/** 规则类型：项要阻止的注册表操作：写入、创建、删除 |
发表于 2009-11-9 16:23:53
楼主
发表于 2009-11-11 00:30:52
。