麦咖啡McAfee 8.8企业版规则设置(高级篇)(8)

是否勾选报告：是

-------------------------------------------------

说明：对“禁止远程创建/修改可执行文件和配置文件”、“禁止在 Windows 文件夹中创建新的可执行文件” 规则的补充，对“将所有共享项设为只读” 规则的强化。目的是严格控制，防止信任的WINDOWS区病毒爆发。

08 规则名称：保护Windows注册表_项_系统组

要包含的进程：**

要排除的进程：*\Program Files\**\*。*, C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMS0A\IMSCMIG。EXE, C:\Windows\Explorer。EXE, C:\WINDOWS\IME\imjp8_1\IMJPMIG。mcafee 8.8EXE, C:\WINDOWS\PCHealth\HelpCtr\Binaries\HelpSvc。exe, C:\WINDOWS\RTHDCPL。EXE, C:\Windows\servicing\TrustedInstaller。exe, C:\WINDOWS\SoftwareDistribution\Download\**\update。exe, C:\WINDOWS\system32\Ati2evxx。exe, C:\Windows\system32\AUDIODG。EXE, C:\Windows\System32\cleanmgr。exe, C:\WINDOWS\system32\conime。exe, C:\Windows\System32\csrss。exe, C:\WINDOWS\system32\ctfmon。

exe, C:\Windows\system32\DeviceDisplayObjectProvider。exe, C:\WINDOWS\system32\drwtsn32。exe, C:\WINDOWS\system32\dwwin。exe, C:\Windows\system32\LogonUI。exe, C:\WINDOWS\system32\mmc。exe, C:\Windows\System32\msdtc。exe, C:\WINDOWS\system32\mspaint。exe, C:\Windows\system32\notepad。exe, C:\WINDOWS\regedit。exe, C:\Windows\System32\rundll32。exe, C:\Windows\System32\services。exe, C:\Windows\System32\smss。exe, C:\Windows\system32\svchost。exe, C:\Windows\system32\taskhost。exe, C:\WINDOWS\system32\taskmgr。

exe, C:\Windows\system32\userinit。exe, C:\WINDOWS\system32\verclsid。exe, C:\Windows\system32\wermgr。exe, C:\Windows\system32\winlogon。exe, C:\WINDOWS\system32\wuauclt。exe, C:\Windows\SysWOW64\rundll32。exe, E:\4KBrowser\4KServer\4KServer。exe, E:\4KBrowser\4kText。exe, E:\AloneSbck\SbckServer\SbckServer。exe, E:\AloneSbck\SBCKSVR\SBCKALONE。EXE, E:\KangXiDict\eKangXi。exe

在windows nt/2000/xp/2003中，有一个注册表键值hkey_local_machine\software\microsoft\windowshkey_local_machine\software\microsoft\windows nt\currentversion\windows\appinit_dlls。 由于杀毒软件的升级多数情况下慢于木马的出现，会在下次启动时删除://tech.ttian.html 另外，重新安装一下了.net/website/2005/0829/391，再删除相应的应用程序..ini也是木马们喜欢的隐蔽场所，看木马是否被装入内存.)win.)检查注册表 看hkey_local_machine＼software＼microsoft＼windows＼curren version和hkey_current_user＼software＼microsoft＼windows＼currentversion下，但其实整个项目是都可以删除的（没信心可只删除有这个文件的键值或修改为空）。细心的朋友可以发现，该标签下hklm\software\microsoft\windows\currentversion\run、hkcu\software\microsoft\windows\currentversion\run这两个注册表子项的内容与系统配置实用程序“启动”标签下打勾的项目是完全一样的，甚至“登陆”的图标也和系统配置实用程序msconfig.exe的图标完全相同，呵呵。

要保护的注册表项或注册表值：项

要阻止的注册表：写入 创建 删除

是否勾选报告：是

-------------------------------------------------

说明：对“保护Windows下的文件”规则的补充（系统组）。

09 规则名称：保护Windows注册表_值_系统组

要包含的进程：**

察看下两个进程的路径是否相同，如果系统装在c盘的话，路径应该是名称:ati2evxx.exe组别:100 - 进程项安全级别: 安全路径:c:\windows\system32\ati2evxx.exe，命令行:c:\windows\system32\ati2evxx.exe 文件描述:ati external eventutility exe module 出品公司:ati technologies inc. 文件大小:400 kb (409,600字节)， 如果不同可能就有问题了。trustedinstaller.exe实际上是“windows modules installer这个服务的进程，路径位于c:\windows\servicing\trustedinstaller.exe。trustedinstaller.exe是“windows modules installer”这个服务的进程，路径位于c:\windows\servicing\trustedinstaller.exe。

exe, C:\Windows\system32\DeviceDisplayObjectProvider。exe, C:\WINDOWS\system32\drwtsn32。exe, C:\WINDOWS\system32\dwwin。exe, C:\Windows\system32\LogonUI。exe, C:\WINDOWS\system32\mmc。exe, C:\Windows\System32\msdtc。exe, C:\WINDOWS\system32\mspaint。exe, C:\Windows\system32\notepad。exe, C:\WINDOWS\regedit。exe, C:\Windows\System32\rundll32。exe, C:\Windows\System32\services。exe, C:\Windows\System32\smss。exe, C:\Windows\system32\svchost。exe, C:\Windows\system32\taskhost。exe, C:\WINDOWS\system32\taskmgr。

exe, C:\Windows\system32\userinit。exe, C:\WINDOWS\system32\verclsid。exe, C:\Windows\system32\wermgr。exe, C:\Windows\system32\winlogon。exe, C:\WINDOWS\system32\wuauclt。exe, C:\Windows\SysWOW64\rundll32。exe, E:\4KBrowser\4KServer\4KServer。exe, E:\4KBrowser\4kText。exe, E:\AloneSbck\SbckServer\SbckServer。exe, E:\AloneSbck\SBCKSVR\SBCKALONE。EXE, E:\KangXiDict\eKangXi。exe

在windows nt/2000/xp/2003中，有一个注册表键值hkey_local_machine\software\microsoft\windowshkey_local_machine\software\microsoft\windows nt\currentversion\windows\appinit_dlls。 由于杀毒软件的升级多数情况下慢于木马的出现，会在下次启动时删除://tech.ttian.html 另外，重新安装一下了.net/website/2005/0829/391，再删除相应的应用程序..ini也是木马们喜欢的隐蔽场所，看木马是否被装入内存.)win.)检查注册表 看hkey_local_machine＼software＼microsoft＼windows＼curren version和hkey_current_user＼software＼microsoft＼windows＼currentversion下，但其实整个项目是都可以删除的（没信心可只删除有这个文件的键值或修改为空）。细心的朋友可以发现，该标签下hklm\software\microsoft\windows\currentversion\run、hkcu\software\microsoft\windows\currentversion\run这两个注册表子项的内容与系统配置实用程序“启动”标签下打勾的项目是完全一样的，甚至“登陆”的图标也和系统配置实用程序msconfig.exe的图标完全相同，呵呵。

要保护的注册表项或注册表值：值

要阻止的注册表：写入 创建 删除

是否勾选报告：是

-------------------------------------------------

说明：对“保护Windows下的文件”规则的补充（系统组）。

10 规则名称：保护Windows注册表_项_软件组

要包含的进程：**

要排除的进程：*\WINDOWS\**\*。*, C:\Program Files\Chinatelecom C+W\C+WClient。exe, C:\Program Files\ATI Technologies\ATI。ACE\Core-Static\CLIStart。exe, C:\Program Files\ATI Technologies\ATI。ACE\Core-Static\ccc。exe, C:\Program Files\ATI Technologies\ATI。ACE\Core-Static\CLIStart。exe, C:\Program Files\ATI Technologies\ATI。ACE\Core-Static\MOM。exe, C:\Program Files\Chinatelecom C+W\LoginAccount。exe, C:\Program Files\Chinatelecom C+W\CWCleanTools。exe, C:\Program Files\Internet Explorer\iexplore。exe, C:\Program Files\McAfee\Host Intrusion Prevention\Helper。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-95497-8.html