防御讨论（1）——网络威胁

duan8989

请教柯林老师：如何操作把下面列入监控（具体操作方法）？
Shell.Application
Shell.Application.1
DODB.Stream
ADODB.Stream.6.0
WScript.Shell
WScript.Shell.1
Scripting.FileSystemObject
JavaScript

hudeg632

感谢柯大的辛苦劳动.

柯林

回复 32楼 hudeg632 的帖子

胡兄也这样称呼，怎么敢当。

柯林

duan8989 发表于 2011-5-16 14:57
请教柯林老师：如何操作把下面列入监控（具体操作方法）？
Shell.Application
Shell.Application.1 ...

你在毛豆的“受保护的com”里新建分组，添加这些com项，然后把新建的分组列入受保护项目。

dengzhouhua

收益不少，虽然不是很懂，期待柯大更新

p_4587

把柯大上传的资料精简了一下，回家再去设置一下：
一、禁止一般软件访问资源管理器的内存（操作系统和杀毒软件除外）；
二、浏览器规则：
1、禁止使用以下COM端口：
除了资源管理器外壳的Shell.Explorer.*外，其余的都阻止。
2、一般程序（包括浏览器）不得访问操作系统目录（操作系统和杀毒软件除外）：
3、运行程序：
以浏览器来说，除了运行浏览器、压缩软件、记事本、播放器（系统自带播放器与你安装的第三方播放器，以及flash播放器C:\WINDOWS\system32\Macromed\Flash\FlashUtil10q_ActiveX.exe与

C:\WINDOWS\system32\Macromed\Flash\FlashUtil10q_Plugin.exe）外，最好禁运其它程序。
三、禁止一般软件运行以下内容（操作系统和杀毒软件除外）：
*\Local Settings\Temporary Internet Files*
?:\Documents and Settings\*Cache*
*\Cookies\*
?:\Documents and Settings\*\Favorites\*
?:\Documents and Settings\*\Local Settings\History*

柯林

回复 36楼 p_4587 的帖子

严格来说，操作系统也不允许例外，特别是svchost.exe
那些目录本来在正常情况下就不会存在可执行文件的

关于访问资源管理器内存问题，在不影响软件功能应用的情况下，可以阻止

p_4587

回复 37楼 柯林 的帖子

明白了，谢谢！
更改为：
三、禁止所有程序运行以下内容：
*\Local Settings\Temporary Internet Files*
?:\Documents and Settings\*Cache*
*\Cookies\*
?:\Documents and Settings\*\Favorites\*
?:\Documents and Settings\*\Local Settings\History*

柯林

回复 38楼 p_4587 的帖子

正常来讲，只须防 *\Local Settings\Temporary Internet Files* 就够了，其它的基本是废物——仅仅是追求概率极低的极端思维而为之。

交天下朋友

学习了，感谢分享