Настройки на правило за HIPS
Първо вижте Управление на правилата за HIPS.
Име на правило – зададено от потребителя или автоматично избрано име на правило.
Действие – указва действието (Разреши, Блокирай или Питай), което трябва да бъде извършено, ако условията са изпълнени.
Повлияващи операции – трябва да изберете типа операции, за който ще се прилага правилото. Правилото ще се използва само за този тип операции и за избраната цел.
Разрешено – Деактивирайте плъзгача, ако искате да запазите правилото в списъка, но без да го прилагате.
Детайлност на регистрирането – ако активирате тази опция, информация за правилото ще се записва в дневника на HIPS.
Извести потребителя – ако е възникнало събитие, в долния десен ъгъл се появява известие.
Правилото се състои от части, които описват условията, активиращи това правило:
Изходни приложения – правилото ще се използва само ако събитието се активира от тези приложения. Изберете Определени приложения от падащото меню и щракнете върху Добавяне, за да добавите нови файлове или изберете Всички приложения от падащото меню, за да добавите всички приложения.
Целеви файлове – правилото ще се използва само ако операцията е свързана с тази цел. Изберете Определени файлове от падащото меню и щракнете върху Добавяне, за да добавите нови файлове или папки, или изберете Всички файлове от падащото меню, за да добавите всички файлове.
Приложения – правилото ще се използва само ако операцията е свързана с тази цел. Изберете Определени приложения от падащото меню и щракнете върху Добавяне, за да добавите нови файлове или папки, или изберете Всички приложения от падащото меню, за да добавите всички приложения.
Записи в регистър – правилото ще се използва само ако операцията е свързана с тази цел. Изберете Определени записи от падащото меню и щракнете върху Добавяне, за да добавите нови файлове или папки, или изберете Всички записи от падащото меню, за да добавите всички приложения.
|
Някои операции за специфични правила, определени предварително от HIPS, не може да бъдат блокирани и са разрешени по подразбиране. Освен това не всички системни операции се наблюдават от HIPS. HIPS наблюдава операциите, които могат да се сметнат за опасни. |
|
Когато задавате път, C:\example засяга действията със самата папка, а C:\example\*.* засяга файловете в папката. |
Операции с приложения
- Всички операции на приложението – активира всички опции, изброени по-долу.
- Дебъгване на друго приложение – прикрепване на инструмент за дебъгване към процеса. Докато се дебъгва дадено приложение, много подробности за поведението му могат да се видят и променят, а данните му могат да се отворят.
- Прихвани събития от друго приложение – изходното приложение се опитва да хване събития, насочени към определено приложение (например програма, регистрираща въведени символи, която се опитва да запише събития от браузъра).
- Прекъсни/спри временно друго приложение – временно спиране, възстановяване или прекратяване на процес (има директен достъп от Process Explorer или от екрана с процеси).
- Стартирай ново приложение – стартиране на нови приложения или процеси.
- Промени състоянието на друго приложение – изходното приложение се опитва да записва в паметта на целевите приложения или да стартира код от негово име. Тази функция може да бъде полезна за защитата на основно приложение чрез конфигурирането му като целево приложение в правило, блокиращо използването на тази операция.
Операции със системния регистър
- Промяна на настройките за стартиране – всички промени в настройките, които определят кои приложения ще бъдат стартирани при стартирането на Windows. Те могат да се открият например чрез търсене на ключа Run в системния регистър на Windows.
- Изтрий от системния регистър – изтриване на ключ в системния регистър или на негова стойност.
- Преименувай ключа в системния регистър – преименуване на ключове в системния регистър.
- Промени системния регистър – създават се нови стойности на ключове в системния регистър, местят се данни в дървовидната структура на базата данни или се настройват права за ключовете в системния регистър за даден потребител или група.
|
Използване на заместващи символи в правилата Звездичка в правилата може да се използва само за заместване на конкретен ключ, напр. „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\*\Start“. Други начини за използване на заместващи символи не се поддържат. Създаване на правила за ключ HKEY_CURRENT_USER Този ключ е само връзка към съответния подключ на HKEY_USERS, специфичен за потребителя, идентифициран от SID (идентификатора за защита). За да създадете правило само за текущия потребител, вместо да използвате път към HKEY_CURRENT_USER, използвайте път, сочещ към HKEY_USERS\%SID%. Вместо SID можете да използвате звездичка, за да е приложимо правилото за всички потребители. |
|
Ако създадете много общо правило, ще бъде показано предупреждение за този тип правила. |
В следващия пример ще демонстрираме как да ограничите нежеланото поведение на определено приложение:
- Назовете правилото и изберете Блокирай (или Попитай, ако предпочитате да направите избор по-късно) от падащото меню Действие.
- Разрешете превключвателя Извести потребителя за показване на известие при всяко прилагане на правило.
- Изберете поне една операция в раздела Повлияващи операции, за която правилото ще бъде приложено.
- Щракнете върху Напред.
- В прозореца Изходни приложения изберете Определени приложения от падащото меню, за да приложите новото правило за всички приложения, които се опитат да извършат някоя от избраните операции с указаните от вас приложения.
- Щракнете върху Добавяне, след което върху ..., за да изберете път до определено приложение и натиснете ОК. Добавете повече приложения, ако желаете.
Например: C:\Program Files (x86)\Untrusted application\application.exe - Изберете операцията Запис във файл.
- Изберете Всички файлове от падащото меню. Това ще блокира всякакви опити за запис във всички файлове от избраното приложение(я) от предишната стъпка.
- Щракнете върху Готово, за да запишете новото правило.
