Úprava pravidla HIPS

Název pravidla – uživatelský nebo automaticky zadaný název pravidla.
Akce – pravidlo specifikuje (právě jednu) akci – Povolit, Zablokovat, Dotázat se – která se má provést, pokud jsou všechny podmínky splněny.

Operace ovlivní – vyberte typ operace, pro kterou má být pravidlo platné. Konkrétní pravidlo je možné použít pouze pro jeden typ operace nad vybraným cílem.

Zapnuto – odškrtněte tuto možnost, pokud chcete ponechat pravidlo v seznamu pravidel a nepoužívat ho.
Zapsat do protokolu – pokud aktivujete tuto možnost, při aplikování pravidla se informace zapíše protokolu HIPS.
Upozornit uživatele – pokud je tato možnost aktivní, při aplikování pravidla se uživateli zobrazí oznámení.

Pravidlo se skládá ze čtyř částí, které definují podmínky, za kterých se pravidlo uplatní.

Zdrojové aplikace – pravidlo se uplatní, pouze pokud událost vyvolají definované aplikace. Pro vybrání konkrétní aplikace klikněte na tlačítko Přidat a vyberte jednotlivé soubory nebo složky aplikace. Pro monitorování všech aplikací vyberte z rozbalovacího menu možnost Všechny aplikace.
Soubory pravidlo se uplatní, pouze pokud se operace provádí nad definovanými soubory. Pro vybrání konkrétních souborů klikněte na tlačítko Přidat a vyberte jednotlivé soubory nebo složky. Pro monitorování všech souborů vyberte z rozbalovacího menu možnost Všechny soubory.
Aplikace pravidlo se uplatní, pouze pokud se operace provádí nad definovanými aplikacemi. Pro vybrání konkrétní aplikace klikněte na tlačítko Přidat a vyberte jednotlivé soubory nebo složky aplikace. Pro monitorování všech aplikací vyberte z rozbalovacího menu možnost Všechny aplikace.
Záznamy registru pravidlo se uplatní, pouze pokud se operace provádí nad definovanými záznamy v registru. Pro vybrání konkrétních záznamů klikněte na tlačítko Přidat a vyberte jednotlivé klíče nebo hodnoty. Pro monitorování celého registru vyberte z rozbalovacího menu možnost Všechny záznamy.

icon_details_hoverPoznámka:

Některé operace zvláštních pravidel předefinovaných systémem HIPS nemohou být zablokovány a standardně jsou povoleny. HIPS nemonitoruje všechny systémové operace. HIPS monitoruje operace, které mohou být považovány za nebezpečné.

Popis důležitých operací:

Operace se soubory

Vymazat souboraplikace žádá o povolení vymazat cílový soubor.
Zápis do souboruaplikace žádá o povolení zapisovat do cílového souboru.
Přímý přístup na disk – aplikace se snaží číst nebo zapisovat na disk nestandardním způsobem, který obchází běžné procedury Windows. Výsledkem může být změna souboru bez použití příslušného pravidla. Tato operace může být způsobena škodlivým kódem, který se snaží vyhnout se detekci, zálohovacím programem, který kopíruje celý obsah pevného disku nebo správcem oddílů který reorganizuje diskové oddíly.
Nainstalovat globální hook – volání funkce SetWindowsHookEx z MSDN knihovny pomocí dané aplikace..
Načíst ovladačinstalace a načítání ovladače do systému

Operace s aplikací

Ladění jiné aplikace – připojení debuggeru k procesu. Při debuggingu můžete sledovat a měnit chování aplikace a přistupovat k jejím datům.
Zachytávat události jiné aplikace – zdrojová aplikace se pokouší zachytit události cílové aplikace (například pokud se keylogger snaží zachytit aktivitu webového prohlížeče).
Ukončit/přerušit jinou aplikaci –  pozastavení, obnovení nebo ukončení procesu (může být vyvoláno přímo ze Správce úloh nebo ze záložky Procesy).
Spustit novou aplikaci – spuštění nové aplikace nebo procesu.
Změnit stav jiné aplikace – zdrojová aplikace se pokouší zapisovat do paměti cílové aplikace, případně se snaží spustit kód pod jejím jménem. Tato funkce je užitečná pro ochranu důležité aplikace, pokud ji nastavíte jako cílovou aplikaci v pravidle, které blokuje tyto operace.

icon_details_hoverPoznámka:

Některé operace není možné monitorovat na 64bitové verzi Windows XP.

Operace se záznamy registru

Úprava nastavení spuštění – všechny změny v nastavení, definující, které aplikace budou spouštěny při startu operačního systému Windows. Zobrazíte je například vyhledáním klíče Run v Editoru registru Windows
Vymazání z registru – vymazání klíče nebo hodnoty.
Přejmenování klíče registru – přejmenování konkrétního klíče.
Úprava registru – vytvoření nové hodnoty nebo změna existujících hodnot. Přesouvání dat v rámci datové struktury. Nastavení uživatelských nebo skupinových práv pro dané klíče registru.

icon_details_hoverPoznámka:

Při zápisu cíle můžete použít zástupné znaky s jistými omezeními. Místo specifikování klíče můžete použít v cestě k registru * (hvězdičku) ve významu "libovolný jeden klíč". Tedy například HKEY_USERS \*\software může znamenat HKEY_USERS\.Default\software, ale ne HKEY_USERS\S-1-5-21-2928335913-73762274-491795397-7895\.Default\software. Kromě toho HKEY_LOCAL_MACHINE\system\ControlSet* není správně zapsaný cíl registru. Cesta registru ukončená \* má speciální význam, znamená "tento klíč nebo libovolný podklíč libovolně hluboko." U souborových cílů se dá používat hvězdička pouze tímto způsobem. U vyhodnocování platí, že vždy se hledá nejprve cíl, který popisuje danou cestu přesně, a až poté cíl, který ji popisuje hvězdičkou (*).

MONITOR_RED Upozornění:

Pokud vytvoříte příliš obecné pravidlo, program vás na to upozorní.

Na následujícím příkladu si ukážeme, jak omezit nežádoucí chování aplikací:

CONFIG_HIPS_RULES_EXAMPLE

1.Zadejte název pravidla a vyberte akci Zablokovat z rozbalovacího menu Akce,
2.Vyberte alespoň jednu operaci, pro kterou má pravidlo platit.
3.Pomocí přepínače Zapsat do protokolu aktivujete protokolování. V případě potřeby si tato data můžete zobrazit také v ESET Remote Administrator.
4.Vyberte možnost Upozornit uživatele pro zobrazení upozornění při každém aplikování pravidla.

CONFIG_HIPS_RULES_EXAMPLE_2

5.V dalším kroku v části Zdrojové aplikace vyberte z rozbalovacího menu možnost Všechny aplikace. Tím zajistíte, že se pravidlo aplikuje nad všemi aplikacemi, které se pokoušejí vykonat operace definované v další části.
6.Na další obrazovce vyberte operaci (například Změnit stav jiné aplikace) a klikněte na tlačítko Další..
7.Pomocí tlačítka Přidat... přidejte jednu nebo více aplikací, které chcete ochránit,
8.Klikněte na OK pro uložení nového pravidla.