Nastavenie pravidiel HIPS

Skôr ako začnete nastavovať pravidlá HIPS, prečítajte si kapitolu Manažment pravidiel HIPS.

Názov pravidla – názov zadaný používateľom alebo automaticky zvolený názov pravidla.

Akcia – špecifikuje akciu (Povoliť, Blokovať alebo Spýtať sa), ktorá by mala byť vykonaná, ak sú všetky podmienky splnené.

Ovplyvnené operácie – vyberte typ operácií, pre ktoré bude pravidlo aplikované. Pravidlo sa uplatní len pre tento typ operácie a pre zvolený cieľ.

Povolené – deaktivujte túto možnosť, ak pravidlo nechcete používať, no želáte si ho ponechať v zozname.

Protokol – ak aktivujete túto možnosť, budú informácie o danom pravidle zapisované do protokolu HIPS.

Upozorniť používateľa – po každej zodpovedajúcej udalosti sa v pravom dolnom rohu automaticky otvorí malé informačné okno.

Pravidlo pozostáva z častí, ktoré popisujú podmienky, za ktorých sa pravidlo spustí:

Zdrojové aplikácie – pravidlo sa uplatní, len ak udalosť vyvolajú dané aplikácie. Vyberte Konkrétne aplikácie z roletového menu a kliknite na Pridať pre pridanie nových súborov alebo označte Všetky aplikácie z roletového menu pre pridanie všetkých aplikácií.

Súbory – pravidlo sa uplatní len v prípade, že sa operácia týka tohto cieľa. Vyberte Konkrétne súbory z roletového menu a kliknite na Pridať, ak chcete pridať nové súbory alebo priečinky, prípadne z roletového menu vyberte Všetky súbory, ak chcete pridať všetky súbory.

Aplikácie – Pravidlo sa uplatní, len ak udalosť vyvolajú dané aplikácie. Vyberte Konkrétne aplikácie z roletového menu a kliknite na Pridať pre pridanie nových súborov alebo priečinkov, alebo prípadne označte Všetky aplikácie z roletového menu pre pridanie všetkých aplikácií.

Položky databázy Registry – Pravidlo sa uplatní, len ak udalosť vyvolajú dané položky registra. Vyberte Konkrétne položky z roletového menu a kliknite na Pridať pre pridanie nových súborov alebo priečinkov, alebo prípadne označte Všetky položky z roletového menu pre pridanie všetkých aplikácií.

Popis dôležitých operácií:

Súborové operácie

•Odstrániť súbor – aplikácia žiada o povolenie zmazať cieľový súbor.

•Zapíš do súboru – aplikácia žiada o povolenie zapisovať do cieľového súboru.

•Priamy prístup na disk – aplikácia sa snaží čítať z disku alebo naň zapisovať neštandardným spôsobom, ktorý obchádza bežné procesy Windows. Výsledkom môže byť zmena súboru bez aplikovania príslušného pravidla. Táto operácia môže byť spôsobená škodlivým kódom, ktorý sa snaží vyhnúť detekcii, zálohovacím programom, ktorý kopíruje celý obsah pevného disku, alebo správcom partícií, ktorý reorganizuje diskové partície.

•Nainštaluj globálny hook – volanie funkcie SetWindowsHookEx z knižnice MSDN pomocou danej aplikácie.

•Načítaj ovládač – inštalácia a načítanie ovládača do systému.

Operácie aplikácie

•Ladiť (debug) ďalšiu aplikáciu – pripojí ladiaci nástroj (debugger) k procesu. Pri ladení aplikácie sa dá pozorovať alebo meniť jej správanie. Tiež je možné pristupovať k jej dátam.

•Zachytávaj udalosti inej aplikácie – zdrojová aplikácia sa pokúša zachytiť udalosti cieľovej aplikácie (napríklad, ak sa keylogger snaží zachytiť aktivitu webového prehliadača).

•Ukonči/preruš inú aplikáciu – pozastavenie, obnovenie alebo ukončenie procesu (môže byť vyvolané priamo cez Process Explorer alebo zo záložky Procesy).

•Spusti novú aplikáciu – spustenie novej aplikácie alebo procesu.

•Zmeň stav inej aplikácie – zdrojová aplikácia sa pokúša zapisovať do pamäte cieľovej aplikácie, prípadne sa snaží spustiť kód v jej mene. Táto funkcionalita je užitočná na ochranu dôležitej aplikácie, ak ju nastavíte ako cieľovú aplikáciu pri pravidle, ktoré blokuje tieto operácie.

Operácie s databázou Registry

•Zmena nastavení spustenia – všetky zmeny v nastaveniach definujúcich, ktoré aplikácie budú spúšťané pri štarte operačného systému Windows. Tieto možno vyhľadať napríklad zadaním kľúča Run do vyhľadávania v databáze Registry systému Windows.

•Vymazanie z databázy Registry – zmazanie kľúča alebo hodnoty v danom kľúči.

•Premenovanie kľúča databázy Registry – premenovanie konkrétneho kľúča.

•Úprava v databáze Registry – vytváranie nových hodnôt kľúčov alebo zmena dát asociovaných s hodnotou, zmena umiestnenia dát v rámci stromu databázy a nastavovanie používateľských alebo skupinových práv daného kľúča.

V nasledujúcom príklade si ukážeme, ako obmedziť neželané správanie konkrétnej aplikácie:

1.Zadajte názov pravidla a vyberte možnosť Blokovať (alebo Spýtať sa, ak si želáte vybrať akciu neskôr) z roletového menu Akcia.

2.Zvoľte možnosť Upozorniť používateľa pre zobrazenie upozornenia v prípade, že sa pravidlo použije.

3.Vyberte aspoň jednu operáciu v sekcii Ovplyvnené operácie, pre ktorú bude pravidlo aplikované.

4.Kliknite na Ďalej.

5.V okne Zdrojové aplikácie vyberte z roletového menu možnosť Všetky aplikácie, aby sa nové pravidlo uplatnilo pre všetky aplikácie, ktoré sa pokúšajú vykonať jednu zo zvolených operácií na vami vybraných aplikáciách.

6.Kliknite na Pridať, pomocou ... následne vyberte cestu ku konkrétnej aplikácii a kliknite na OK. V prípade potreby pridajte ďalšie aplikácie.
Napríklad: C:\Program Files (x86)\Untrusted application\application.exe

7.Vyberte operáciuZapíš do súboru.

8.Z roletového menu vyberte možnosť Všetky súbory. Týmto sa zablokujú akékoľvek pokusy o zápis do súborov aplikáciou zvolenou v predchádzajúcom kroku.

9.Kliknite na Dokončiť pre uloženie pravidla.