Вход
Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

Перейти на PRO32
Поиск  Пользователи  Правила  Войти
Форум технической поддержки Полезная информация

Защита от вирусных шифровщиков с помощью HIPS

RSS
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 05:47:37
Дополнительные настройки - Компьютер - HIPS - Конфигурировать правила...



Защищаем файлы в папке "Документы" запрещено удалять и изменять файлы внутри этой папки и в ее подпапках.

Изменено: Виктор - 25.09.2014 09:51:31

Ответы

Пред. 1 2 3 4 5 ... 12 След.
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 25.09.2014 10:42:25
всем приложениям может быть запрещены определенные действия:

над конечными файлами (всеми или конкретными),
над конечными приложениями (т.е. вызвать запуск другой программы, перехватить другую программу, закрыть другую программу..... для всех конечных программ, или для конкретной конечной программы);
- изменить удалить, переименовать во всем реестре, или к конкретных ветках реестра.
---------------
конкретнее распиши, какое правило создаешь

в моем правиле получается, что для всех приложений (в том числе для бат файла) запрещено изменение или удаление определенного (по определенному пути) конечного файла. и это работает.
Изменено: santy - 25.09.2014 10:44:56
[ Как создать образ автозапуска? ]
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 10:48:56
Получилось так:





Создаю Блокирующее правило на выполнение 1.cmd удалять файл test.txt как в первом скрине, затем запрещаю конечному приложению выполняться.
Все остальное по умолчанию "Действительно для всех"
Получается, чтобы запретить выполнение шифровальщика нужно добавлять конечное приложение C:\Users\\AppData\Local\Temp\pubring.gpg
Изменено: Виктор - 25.09.2014 10:51:36
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 25.09.2014 10:53:11
но, вообщем да, согласен, на такие вещи hips не реагирует.

с терминологией не совсем так.
приложение здесь 1.cmd, конечный файл это test.txt
просто действие над test.txt прописано в теле скрипта 1.cmd
--------
как в этом случае правильно построить правило надо потестировать
Изменено: santy - 25.09.2014 10:57:04
[ Как создать образ автозапуска? ]
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 10:59:59
Теперь понятно, почему удалялся файл...
У меня разрешено файлу explorer.exe удалять/изменять файлы.

Зато теперь можно контролировать командную строку, с ней тоже могут и файлы поудалять.

Изменено: Виктор - 25.09.2014 11:02:14
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 25.09.2014 11:05:30
а эксплорер каким боком здесь? запускает командную строку?
[ Как создать образ автозапуска? ]
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 11:19:26
Все понял, когда указываем, исходное приложение C:\Users\\AppData\Local\Temp\1.cmd правило включает только его.
Другие с ним связанные приложения работают.

Вот так правильно:





Изменено: Виктор - 25.09.2014 11:26:33
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 25.09.2014 11:23:25
понятно. здесь еще и исходное приложение надо добавить. (в ФФ не видно рисунков, только в Хроме)
Изменено: santy - 25.09.2014 11:29:11
[ Как создать образ автозапуска? ]
 
santy
santy
Администратор
Сообщений: 17962
Баллов: 14369
Регистрация: 16.03.2010
Размещено 25.09.2014 11:30:48
А исходные приложения в этих правилах - все?
Изменено: santy - 25.09.2014 11:31:04
[ Как создать образ автозапуска? ]
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 11:46:00
Все, поэтому и высветился C:\Windows\System32\cmd.exe, а если бы указал исходным только файл C:\Users\\AppData\Local\Temp\1.cmd то он бы пропустил приложение cmd.exe
т.е. тут надо точно знать, что выбираемое приложение действительно самостоятельное  :D
Изменено: Виктор - 25.09.2014 11:49:41
 
Виктор
Виктор
Пользователь
Сообщений: 411
Баллов: 328
Регистрация: 29.05.2010
Размещено 25.09.2014 11:56:27
Вот рисунки:

http://rghost.ru/58193378/image.png
http://rghost.ru/58193379/image.png
http://rghost.ru/58193381/image.png
 
Пред. 1 2 3 4 5 ... 12 След.
Читают тему