麦咖啡McAfee 8.8企业版规则设置(高级篇)(10)

exe, C:\Program Files\Chinatelecom C+W\C+WClient。exe, C:\Program Files\Internet Explorer\iexplore。exe, C:\Program Files\McAfee\Host Intrusion Prevention\FireSvc。exe, C:\Program Files\McAfee\Host Intrusion Prevention\FireTray。exe, C:\Program Files\McAfee\Host Intrusion Prevention\Helper。exe, C:\Program Files\McAfee\Host Intrusion Prevention\McAfeeFire。exe, C:\WINDOWS\Explorer。EXE, C:\Windows\servicing\TrustedInstaller。exe, C:\WINDOWS\SoftwareDistribution\Download\**\update。exe, C:\Windows\System32\cleanmgr。

exe, C:\WINDOWS\system32\eudcedit。exe, C:\WINDOWS\system32\imapi。exe, C:\Windows\System32\msdtc。exe, C:\Windows\system32\rundll32。exe, C:\Windows\system32\services。exe, C:\Windows\system32\sppsvc。exe, C:\Windows\system32\svchost。exe, C:\WINDOWS\system32\wbem\wmiprvse。exe, C:\Windows\system32\wuauclt。exe, C:\Windows\SysWOW64\rundll32。exe, C:\Windows\system32\NOTEPAD。EXE

要阻止的文件或文件夹名：**\AppData\**\Windows\**

要禁止的文件：写入 创建 删除

是否勾选报告：是

-------------------------------------------------

禁止非信任区程序访问文件、注册表项、注册表值、端口，其中，“禁止非信任区程序访问文件”默认规则的“防病毒爆发控制”中的“阻止对所有共享资源的读写访问”就是，这是咖啡的极致规则，“阻止对所有共享资源的读写访问”开启，非信任区程序根本没有能力再碰触到注册表项、注册表值、端口规则了。（1）禁止非信任区程序非法运行：理论上需要四条规则——禁止非信任区程序访问文件、注册表项、注册表值、端口，其中，“禁止非信任区程序访问文件”默认规则的“防病毒爆发控制”中的“阻止对所有共享资源的读写访问”就是，这是咖啡的极致规则，“阻止对所有共享资源的读写访问”开启，非信任区程序根本没有能力再碰触到注册表项、注册表值、端口规则了。第一阶段，为解决锅炉&ldquo四管&rdquo泄漏频繁的问题，进行了&ldquo不漏可调&rdquo的锅炉改造。

13 规则名称：保护Program Files下的文件

要包含的进程：**

要排除的进程：C:\Program Files\Chinatelecom C+W\C+WClient。exe, C:\Program Files\Internet Explorer\IEXPLORE。EXE, C:\Program Files\McAfee\Host Intrusion Prevention\FireSvc。exe, C:\Program Files\McAfee\Host Intrusion Prevention\FireTray。exe, C:\Program Files\McAfee\Host Intrusion Prevention\Helper。exe, C:\Program Files\McAfee\Host Intrusion Prevention\McAfeeFire。exe, C:\WINDOWS\Explorer。EXE, C:\Windows\system32\NOTEPAD。EXE, E:\Program Files\ACD Systems\ACDSee\10。0\ACDSee10。exe, E:\Program Files\Adobe\Photoshop CS\Photoshop。

exe, E:\Program Files\CCleaner\CCleaner。exe, E:\Program Files\COMODO\COMODO Internet Security\cmdagent。exe, E:\Program Files\HWPDFOCR80\HWPDFOCR80。exe, E:\Program Files\Kingsoft\webshield\kisaddin。exe, E:\Program Files\Kingsoft\webshield\KSWebShield。exe, E:\Program Files\Kingsoft\webshield\kwsmain。exe, E:\Program Files\Kingsoft\webshield\kwsupd。exe, E:\Program Files\McAfee\Common Framework\FrameworkService。exe, E:\Program Files\McAfee\Common Framework\UdaterUI。exe, E:\Program Files\Thunder Network\Thunder\Program\Thunder。exe, E:\Program Files\ZRM2000\ZRW32。EXE

要阻止的文件或文件夹名：**\Program Files*\**

要禁止的文件：写入 创建 删除

是否勾选报告：是

-------------------------------------------------

说明：对“禁止远程创建/修改可执行文件和配置文件”、“禁止在 Program Files 文件夹中创建新的可执行文件” 规则的补充，对“将所有共享项设为只读”规则的强化。目的是严格控制，防止信任的Program Files区病毒爆发。

1、sandyyangjie ：

天诺兄不准备直接附上规则是不？~我觉得可以附上一个都没开启的规则，这样可能别人好修改一些~~~从头开始创建这么多规则伤不起呀~~

答复：附上本人实机规则，方便导入修改：

McAfee 8.8 天诺规则加强版 XP.rar

所有进程采用绝对路径排除。

McAfee 8.8 天诺规则加强版 32.rar

软件采用相对路径排除。不影响边用边改。

McAfee 8.8 天诺规则加强版 64.rar

软件采用相对路径排除。不影响边用边改。

McAfee 8.8 天诺规则加强版 XP_2.rar

需要修改的规则没有勾选阻挡，方便修改，完成后不要忘了勾上。

2、bighead ：

规则名称：保护缓存文件免受密码和电子邮件地址窃贼的攻击

要包含的进程：**

要排除的进程：C:\Program FilesE:\Program Files

这个是啥意思？应该是多了吧？

答复：替换*\时出的错误，完整的应该是C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe，文中已经改正，规则已经重新上传。

3、bmjp007：

为什么

2011/5/20 17:58:37 已由访问保护规则禁止 NT AUTHORITY\SYSTEM C:\PROGRA~1\Agnitum\OUTPOS~1\acs.exe C:\Program Files\Agnitum\Outpost Firewall Pro\log\netstat4.log 防病毒爆发控制:将所有共享项设为只读 已阻止的操作: 写入这一项排除不了

c:\progra~1\common~1\aol\acs\acsd.exe。c:\progra~2\sogoui~1\sogouexe\sogouexe.exe c:\progra~2\sogoui~1\670~1.074\sgtool.exe --appid=pinyinrepair /s。win7系统结束dwm.exe进程怎么结束，很多用户查看win7系统任务管理器发现上有个dwm.exe进程占用着系统内存，而且不清楚这个进程有什么用处。

后补：根据bmjp007的实践，Win7下似乎~1排除无效，请遇到的朋友说一下经验。

4、bmjp007：

好多要排除的，连排除项里都放不下了，很恼火，倒不是怕麻烦，就是怕放不下。怎么办？

答复：软件很多就把软件改成通配符路径可以节省很多，如C:\Program Files\McAfee\Host Intrusion Prevention\FireSvc.exe写成*\McAfee\Host Intrusion Prevention\FireSvc.exe，这样还有32位、64位以及软件装在任意盘通用的好处。以此类推。

5、bighead：

调试程序能够对调试的进程执行特殊的操作，当被调试进程加载时，在被调试进程的地址空间作好准备，但是被调试进程的主线程尚未执行任何代码之前，系统将自动将这个情况统治调试程序，这时，调试程序可以强制将某些代码插入被调试进程的地址空间中（比如使用writeprocessmemory函数来插入），然后使被调试进程的主线程执行该代码。想写封信送给他现在过得还好吗可能好久不见记忆又停在哪呢写下好多祝福的话我想你会比从前快乐好想把委屈跟他一起述说说好的每次要的幸福呢还有多久我才会够明白而想念留在那年冬天my love 我知道很简单现在的我试着一个人过也许你有新的生活陪着我的就剩下每天忙到都把你忘掉很讨厌自己太多的脆弱你还好吗安慰那么多我现在的痛会不会听得到写下好多祝福的话我想你会比从前快乐好想把委屈跟他一起述说说好的每次要的幸福呢还有多久我才会够明白而想念留在那年冬天my love 我知道很简单现在的我试着一个人过也许你有新的生活陪着我的就剩下每天忙到都把你忘掉很讨厌自己太多的脆弱你还好吗安慰那么多我现在的痛会不会听得到。回答：楼主所谓少见多怪,你的朋友说的不 的,这是完全可以实现的呀呵呵 但有必须条件(1:主机支持双agp 槽或(显卡有2个 out口) 2:会写c++和vc,vb等程序3:能自己 的安装计算机电路)然后就开始动手吧 呵呵其实很简单首先 显卡咯,2台接2个显示器,然后自己构件无盘 站(自己写程序分导进程)然后设计电路吧 呵呵具体的是 要在安装一个分导电流,和另一个 的s基本上就可以了猜想运行结果是 1台主机+1台模拟物理从机1台主机控制电路和具体系统参数 模拟物理从机运行程序.。

前面也说了，mcafee不是做监控或者保密软件的， 他不支持保护个人的隐私文件和文件夹，那是否mcafee就因此也不保护一些重要的文件呢，不是，mcafee会保护全盘下的某一类文件， 如**\*.exe，但是这样又会给使用带来诸多不便，从而影响实用性，可操作性也大大降低，在此种情况下，排除进程应运而生，所以编写规则时应尽量避免 非系统文件夹的出现，使用通配符*，再配合排除进程才是最完美的规则。前面也说了，mcafee不是做监控或者保密软件的，他不支持保护个人的隐私文件和文件夹，那是否mcafee就因此也不保护一些重要的文件呢，不是，mcafee会保护全盘下的某一类文件，如**/*.exe，但是这样又会给使用带来诸多不便，从而影响实用性，可操作性也大大降低，在此种情况下，排除进程应运而生，所以编写规则时应尽量避免非系统文件夹的出现，使用通配符*，再配合排除进程才是最完美的规则。此两者均为通配符，但更准确的讲，%为makefile规则通配符，一般用于规则描述，*为扩展通配符，用于扩展。

McAfee 8.8 天诺规则加强通用版 32位.rar

McAfee 8.8 天诺规则加强通用版 64位.rar

McAfee 8.8 天诺规则加强通用版 XP.rar

打包下载地址：

虽然很多同类型ahci驱动可以通用的，一方面使用通用驱动会面临着ahci设备编号的确定问题（感觉总是跟设备管理器里显示的ata设备编号是加1连号，网上说的设备管理器显示ahci设备号，那是装好之后才有的，无参考意义，所以只能从官方驱动（*.inf和*.oem）结合本机设备管理器或其它渠道获取），另一方面版本不同支持情况也不同，一次装错了可能系统就不能启动了。根据上文的分析，非法证据排除规则的威慑效果是否能够有效发挥的关键是非法证据排除规则能否有效实施，而影响非法证据排除规则有效实施的两大因素是规则自身的进一步明确和规则运行环境的进一步优化。非法供述证据排除规则在我国法律条文中确立已久,⑴而从司法实践的反馈来看,这一规则仍未摆脱停留纸上的命运,⑵系统就非法供述证据的排除也鲜见报端。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-95497-10.html