HIPS 规则设置
请先参阅 HIPS 规则管理。
规则名称 - 用户定义的或自动选择的规则名称。
操作 - 指定满足条件的情况下应执行的一项操作：允许、阻止或询问。
操作影响 - 您必须选择将要应用该规则的操作的类型。该规则将仅用于此类型的操作和选定的目标。
已启用 - 如果要将规则保留在列表中但不应用，可禁用此开关。
日志记录严重级别 - 如果激活此选项，则有关此规则的信息将写入到 HIPS 日志中。
通知用户 - 如果触发事件，则在右下角会显示通知。
该规则包含以下部分，它们描述了触发使用此规则的条件：
源应用程序 - 仅当事件由此应用程序触发时才使用该规则。从下拉菜单中选择特定应用程序，并单击添加以添加新文件，或者可以从下拉菜单中选择所有应用程序以添加所有应用程序。
目标文件 - 仅当操作与此目标相关时才使用该规则。从下拉菜单中选择特定文件，然后单击添加以添加新文件或文件夹，或者可以从下拉菜单中选择所有文件以添加所有文件。
应用程序 - 仅当操作与此目标相关时才使用该规则。从下拉菜单中选择特定应用程序，并单击添加以添加新文件或文件夹，或者可以从下拉菜单中选择所有应用程序以添加所有应用程序。
注册表条目 - 仅当操作与此目标相关时才使用该规则。从下拉菜单中选择特定条目，并单击添加以添加新文件或文件夹，或者可以从下拉菜单中选择所有条目以添加所有应用程序。
|
无法阻止 HIPS 预定义特定规则的一些操作，默认为允许这些操作。此外，HIPS 并不监视所有系统操作。HIPS 监视视为不安全的操作。 |
|
指定路径时，C:\example 会影响与文件夹本身有关的操作，并且 C:\example*.* 会影响文件夹中的文件。 |
应用程序操作
- 调试其他应用程序 - 将调试程序附加到进程。调试应用程序时，可以查看和修改其行为的许多详细信息，并访问其数据。
- 拦截其他应用程序的事件 - 源应用程序尝试捕获针对特定应用程序的事件（例如尝试捕获浏览器事件的按键记录程序）。
- 终止/暂停其他应用程序 - 暂停、恢复或中止进程（可以直接从进程浏览器或进程窗格访问）。
- 启动新应用程序 - 启动新应用程序或进程。
- 修改其他应用程序的状态 - 源应用程序尝试写入目标应用程序内存或运行自己的代码。此功能在阻止此操作使用的规则中将其配置为目标应用程序，从而保护重要应用程序。
注册表操作
- 修改启动设置 - 定义哪些应用程序在 Windows 启动时运行的设置的任何更改。例如，可通过在 Windows 注册表中搜索 Run 键来找到这些信息。
- 从注册表删除 - 删除注册表项或其值。
- 重命名注册表项 - 重命名注册表项。
- 修改注册表 - 创建注册表项的新值、更改现有值、在数据库树中移动数据，或设置用户或组对注册表项的权限。
|
在规则中使用通配符 规则中的星号只能用于替换特定键，例如“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\*\Start”。其他使用通配符的方法不受支持。 创建以“HKEY_CURRENT_USER”键为目标的规则 此键只是指向特定于由 SID（安全标识符）标识用户的 HKEY_USERS 相应字键的链接。若要仅为当前用户创建规则，请使用指向 HKEY_USERS\%SID% 的路径，而不是使用 HKEY_CURRENT_USER 的路径。作为 SID，您可以使用星号来使规则适用于所有用户。 |
|
如果创建了太笼统的规则，将会显示关于此类规则的警告。 |
在以下示例中，我们将演示如何限制不需要的特定应用程序行为：
- 命名规则，并从操作下拉菜单中选择阻止（或询问，如果想要稍后选择）。
- 打开通知用户开关以在每次应用规则时显示通知。
- 在操作影响部分中，为将应用的规则选择至少一项操作。
- 单击下一步。
- 在源应用程序窗口中，从下拉菜单中选择特定应用程序，以将新规则应用于尝试在指定的应用程序上执行任何选定的应用程序操作的所有应用程序。
- 单击添加，单击 ... 以选择特定应用程序的路径，然后按确定。添加更多应用程序（如果需要）。
例如： C:\Program Files (x86)\Untrusted application\application.exe - 选择写入文件操作。
- 从下拉菜单中选择所有文件。这将阻止上一步中选定应用程序写入任何文件的任何尝试。
- 单击完成保存新规则。
