麦咖啡企业版8.7新手规则【7.24更新】

显示全部楼层 · 发表于 2010-7-23 21:57:55

回复 10楼 vofado 的帖子
以前用过邪邪规则和爱虫规则，有点基础，这个实际上算不上原创，只是本区的标签没有分享和其它相关之类，只好冒用了原创

显示全部楼层 · 发表于 2010-7-24 00:36:24

真够详细呀！

显示全部楼层 · 发表于 2010-7-24 01:29:29

不错，支持一下～～

显示全部楼层 · 发表于 2010-7-24 09:29:05

咖啡和毛豆也算绝配，各自有规则，很强的防护
72380656 发表于 2010.7.23 20:25

别老说绝配，各有规则相互交集，没必这样，卡机。

显示全部楼层 · 发表于 2010-7-24 09:43:24

本帖最后由依然微笑于 2010.7.24 09:45 编辑

感觉注册表防止文件关联部分规则有点繁杂，用一条规则就能搞定的了。

名称：禁止对文件映象劫持执行创建修改

键值：/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/**

显示全部楼层 · 发表于 2010-7-24 09:50:48

规则名称：防恶意-禁止创建快捷方式

要包含的进程：*

要排除的进程：C:\WINDOWS\Explorer.EXE

要阻止的文件/文件夹名：**\桌面\*.lnk 【要求彻底可以改为**\*.lnk】

要禁止的文件操作：创建、写入、删除

感觉治标不治本，如果恶意程序都不能运行，又怎么能把快捷方式放到桌面？设法从源头堵截还是比较好点吧?

显示全部楼层 · 发表于 2010-7-24 10:27:09

写得很好，规则不错，感谢分享，辛苦编辑

显示全部楼层 · 发表于 2010-7-24 15:52:22

昨天可能抽筋了，执行bat排除自用批处理好像可行，今天再验证是错的。阻止进程及排除进程都是指的父进程，这一点没有例外。
看来指定程序禁运就没法例外，除非写那条变态的禁止运行指定外程序的规则。需要排除指定程序，看来最好的方法是组策略，咖啡一刀切，一旦添加explorer做例外，自己点击任何bat都能运行，这样的规则主要还是防止病毒执行bat文件。
看来咖啡还是主要玩FD这个主攻，禁止了bat创建，也就不担心bat执行问题了。

显示全部楼层 · 发表于 2010-7-24 20:47:23

支持楼主发帖交流，谢谢！等成熟后直接发上来。

显示全部楼层 · 发表于 2010-7-25 09:11:01

回复 15楼 依然微笑 的帖子
谢谢指正
在HIPS规则里，映像劫持和修改文件关联，是各自单独成型的，至于效果之间是否等同，可以讨论。
咖啡默认自带规则已经阻止程序注册为自动运行、注册为服务、禁止更改IE设置，剩下的防护项目，已经不算太多，但要都搬到咖啡上，还是太多，所以随便捡了个重点的文件关联进行防护。

[技术原创] 麦咖啡企业版8.7新手规则【7.24更新】

本帖子中包含更多资源