Ustawienia reguł systemu HIPS

Nazwa regułynazwa reguły podana przez użytkownika lub wybrana automatycznie.

Czynnośćokreślona czynność (Zezwól, Blokuj lub Pytaj), która ma zostać wykonana, gdy spełnione są warunki.

Operacje dotyczące — należy wybrać typ operacji, w odniesieniu do której stosowana będzie reguła. Reguła będzie stosowana tylko w przypadku podanego typu operacji i wybranego elementu.

Włączona — wyłączenie tego przełącznika umożliwia zachowanie reguły na liście bez jej stosowania.

Zapisz w dziennikuuruchomienie tej opcji spowoduje, że informacje o regule będą zapisywane w dzienniku systemu HIPS.

Powiadom użytkownikapo wywołaniu zdarzenia w prawym dolnym rogu ekranu zostanie wyświetlone małe wyskakujące okno.

Reguła składa się z części, które opisują warunki powodujące jej wywołanie:

Aplikacje źródłowe reguła będzie stosowana tylko, jeśli zdarzenie zostanie spowodowane przez wymienione aplikacje. W celu dodania nowych plików należy wybrać z menu rozwijanego opcję Określone aplikacje i kliknąć opcję Dodaj. Aby dodać wszystkie aplikacje, można wybrać z menu rozwijanego opcję Wszystkie aplikacje.

Plikireguła będzie stosowana tylko wtedy, gdy operacja będzie dotyczyła określonego elementu docelowego. W celu dodania nowych plików lub folderów należy wybrać z menu rozwijanego opcję Określone pliki i kliknąć przycisk Dodaj. W celu dodania wszystkich aplikacji można wybrać z menu rozwijanego opcję Wszystkie pliki.

Aplikacjereguła będzie stosowana tylko wtedy, gdy operacja będzie dotyczyła określonego elementu docelowego. W celu dodania nowych plików lub folderów należy wybrać z menu rozwijanego opcję Określone aplikacje i kliknąć przycisk Dodaj. W celu dodania wszystkich aplikacji można wybrać z menu rozwijanego opcję Wszystkie aplikacje.

Wpisy rejestrureguła będzie stosowana tylko wtedy, gdy operacja będzie dotyczyła określonego elementu docelowego. W celu dodania nowych plików lub folderów należy wybrać z menu rozwijanego opcję Określone wpisy i kliknąć przycisk Dodaj. W celu dodania wszystkich aplikacji można wybrać z menu rozwijanego opcję Wszystkie wpisy.

icon_details_hoverUWAGA

Niektórych operacji dotyczących określonych reguł wstępnie zdefiniowanych w systemie HIPS nie można blokować i są one domyślnie dozwolone. Ponadto nie wszystkie operacje systemowe są monitorowane przez system HIPS. System HIPS monitoruje operacje, które można uznać za niebezpieczne.

Opisy ważnych operacji:

Operacje na plikach

Usunięcie pliku — aplikacja monituje o zezwolenie na usunięcie pliku docelowego.
Zapis do pliku — aplikacja monituje o zezwolenie na zapis do pliku docelowego.
Bezpośredni dostęp do dysku — aplikacja próbuje dokonywać odczytu z dysku lub zapisu na dysku w niestandardowy sposób, omijający standardowe procedury systemu Windows. Może to spowodować modyfikacje plików bez zastosowania odpowiednich reguł. Ta operacja może być spowodowana przez szkodliwe oprogramowanie próbujące uniknąć wykrycia, program do tworzenia kopii zapasowych próbujący wykonać dokładną kopię dysku lub program do zarządzania partycjami próbujący zmienić układ woluminów dyskowych.
Instalacja globalnego punktu zaczepienia — wskazuje na wywołanie funkcji SetWindowsHookEx z biblioteki MSDN.
Ładowanie sterownikainstalowanie i wczytywanie sterowników w systemie.

Operacje na aplikacjach

Debugowanie innej aplikacji — dołączenie debugera do procesu. Podczas debugowania aplikacji można odczytać i zmodyfikować wiele szczegółów związanych z jej działaniem oraz uzyskać dostęp do jej danych.
Przechwytywanie zdarzeń z innej aplikacji — aplikacja źródłowa próbuje przechwycić zdarzenia skierowane do określonej aplikacji (na przykład program rejestrujący znaki wprowadzane na klawiaturze próbuje przechwycić zdarzenia przeglądarki internetowej).
Zakończenie/wstrzymanie innej aplikacji — zawieszenie, wznowienie lub zakończenie procesu (dostęp można uzyskać bezpośrednio z Eksploratora procesów lub okienka Procesy).
Uruchomienie nowej aplikacji — uruchamianie nowych aplikacji lub procesów.
Modyfikacja stanu innej aplikacji — aplikacja źródłowa próbuje dokonać zapisu w pamięci aplikacji docelowych lub uruchomić kod w ich imieniu. Ta funkcja może być przydatna do zapewnienia ochrony ważnej aplikacji przez skonfigurowanie tej aplikacji jako docelowej w regule blokującej korzystanie z tej operacji.

icon_details_hoverUWAGA

Nie można przechwytywać operacji procesów w 64-bitowej wersji systemu Windows XP.

Operacje na rejestrze

Zmiana ustawień uruchamiania — dowolne zmiany w ustawieniach określających, które aplikacje będą uruchamiane podczas uruchamiania systemu Windows. Można je znaleźć, przeszukując na przykład klucz Run w rejestrze systemu Windows.
Usunięcie z rejestru — usunięcie klucza rejestru lub jego wartości.
Zmiana nazwy klucza rejestru — zmiana nazw kluczy rejestru.
Modyfikacja rejestru — tworzenie nowych wartości kluczy rejestru, zmienianie istniejących wartości, przenoszenie danych w drzewie bazy danych lub ustawianie praw użytkowników lub grup do kluczy rejestru.

icon_details_hoverUWAGA

Wprowadzając obiekt docelowy, można stosować symbole wieloznaczne z pewnymi ograniczeniami. W ścieżkach rejestru można zamiast określonego klucza stosować znak * (gwiazdkę). Na przykład ścieżka HKEY_USERS\*\software może oznaczać HKEY_USER\.default\software, ale nie HKEY_USERS\S-1-2-21-2928335913-73762274-491795397-7895\.default\software. HKEY_LOCAL_MACHINE\system\ControlSet* nie jest dozwoloną ścieżką klucza rejestru. Ścieżka klucza rejestru zakończona znakami \* oznacza „ta ścieżka lub dowolna ścieżka na dowolnym poziomie po tym symbolu”. Jest to jedyny sposób stosowania symboli wieloznacznych w przypadku ścieżek plików. Najpierw sprawdzana jest konkretna część ścieżki, a następnie ścieżka odpowiadająca symbolowi wieloznacznemu (*).

MONITOR_RED OSTRZEŻENIE

W przypadku utworzenia bardzo ogólnej reguły, zostanie wyświetlone ostrzeżenie dotyczące tego typu reguł.

W poniższym przykładzie pokazano, jak ograniczyć niepożądane działania aplikacji:

1.Nadaj nazwę regule i w menu rozwijanym Czynność wybierz polecenie Blokuj.
2.Użyj przełącznika Powiadom użytkownika, aby wyświetlać powiadomienie za każdym razem, gdy reguła jest stosowana.
3.Wybierz co najmniej jedną operację, w odniesieniu do której reguła będzie stosowana. W oknie Aplikacje źródłowe z menu rozwijanego wybierz opcję Wszystkie aplikacje, aby zastosować nową regułę do wszystkich aplikacji próbujących wykonać dowolną z wybranych czynności na aplikacjach w odniesieniu do podanych aplikacji.
4.Wybierz opcję Zmodyfikuj stan innej aplikacji.
5.Z menu rozwijanego wybierz opcję Określone aplikacje i dodaj jedną lub więcej aplikacji, które mają być objęte ochroną.
6.Kliknij przycisk Zakończ, aby zapisać nową regułę.

CONFIG_HIPS_RULES_EXAMPLE