Úprava pravidla HIPS
Nejprve si prosím pročtěte kapitolu Správa HIPS pravidel.
Název pravidla – uživatelský nebo automaticky zadaný název pravidla.
Akce – pravidlo specifikuje (právě jednu) akci – Povolit, Zablokovat, Dotázat se – která se má provést, pokud jsou všechny podmínky splněny.
Operace ovlivní – vyberte typ operace, pro kterou má být pravidlo platné. Konkrétní pravidlo je možné použít pouze pro jeden typ operace nad vybraným cílem.
Zapnuto – deaktivujte tuto možnost pomocí přepínače, pokud chcete ponechat pravidlo v seznamu, ale nepoužívat ho.
Zapsat do protokolu – pokud aktivujete tuto možnost, při aplikování pravidla se informace zapíše do protokolu HIPS.
Upozornit uživatele – při výskytu události se v pravém dolním rohu obrazovky zobrazí oznámení.
Pravidlo se skládá z částí, které definují podmínky, za kterých se pravidlo uplatní.
Zdrojové aplikace – pravidlo se uplatní, pouze pokud událost vyvolají definované aplikace. Pro vybrání konkrétní aplikace klikněte v rozbalovacím menu na Přidat a vyberte jednotlivé soubory nebo klikněte na možnost Všechny aplikace pro výběr všech.
Cílové soubory – pravidlo se uplatní pouze v případě, kdy operace náleží cíli. Pro vybrání konkrétních souborů klikněte v rozbalovacím menu na možnost Přidat a vyberte jednotlivé soubory nebo složky nebo klikněte na Všechny soubory pro výběr všech.
Aplikace – pravidlo se uplatní, pouze pokud se operace provádí nad definovanými aplikacemi. Pro vybrání konkrétní aplikace klikněte v rozbalovacím menu na Přidat a vyberte jednotlivé soubory nebo složky nebo klikněte na možnost Všechny aplikace pro výběr všech.
Záznamy registru – pravidlo se uplatní, pouze pokud se operace provádí nad definovanými záznamy v registru. Pro vybrání konkrétních záznamů klikněte na tlačítko Přidat zadejte je ručně, případně po kliknutí na Otevřít Editor registru můžete přímo vybrat jednotlivé klíče z registru. Pro monitorování celého registru vyberte z rozbalovacího menu možnost Všechny záznamy.
|
Některé operace zvláštních pravidel předefinovaných systémem HIPS nemohou být zablokovány a standardně jsou povoleny. HIPS nemonitoruje všechny systémové operace. HIPS monitoruje operace, které mohou být považovány za nebezpečné. |
Popis důležitých operací:
Operace se soubory
•Vymazat soubor – aplikace žádá o povolení vymazat cílový soubor.
•Zápis do souboru – aplikace žádá o povolení zapisovat do cílového souboru.
•Přímý přístup na disk – aplikace se snaží číst nebo zapisovat na disk nestandardním způsobem, který obchází běžné procedury Windows. Výsledkem může být změna souboru bez použití příslušného pravidla. Tato operace může být způsobena škodlivým kódem, který se snaží vyhnout se detekci, zálohovacím programem, který kopíruje celý obsah pevného disku nebo správcem oddílů který reorganizuje diskové oddíly.
•Nainstalovat globální hook – volání funkce SetWindowsHookEx z MSDN knihovny pomocí dané aplikace.
•Načíst ovladač – instalace a načítání ovladače do systému.
Operace aplikace
•Ladění jiné aplikace – připojení debuggeru k procesu. Při debuggingu můžete sledovat a měnit chování aplikace a přistupovat k jejím datům.
•Zachytávat události jiné aplikace – zdrojová aplikace se pokouší zachytit události cílové aplikace (například pokud se keylogger snaží zachytit aktivitu webového prohlížeče).
•Ukončit/přerušit jinou aplikaci –pozastavení, obnovení nebo ukončení procesu (může být vyvoláno přímo ze Správce úloh nebo ze záložky Procesy).
•Spustit novou aplikaci – spuštění nové aplikace nebo procesu.
•Změnit stav jiné aplikace – zdrojová aplikace se pokouší zapisovat do paměti cílové aplikace, případně se snaží spustit kód pod jejím jménem. Tato funkce je užitečná pro ochranu důležité aplikace, pokud ji nastavíte jako cílovou aplikaci v pravidle, které blokuje tyto operace.
Operace se záznamy registru
•Úprava nastavení spuštění – všechny změny v nastavení, definující, které aplikace budou spouštěny při startu operačního systému Windows. Zobrazíte je například vyhledáním klíče Run v Editoru registru Windows.
•Vymazání z registru – vymazání klíče nebo hodnoty.
•Přejmenování klíče registru – přejmenování konkrétního klíče.
•Úprava registru – vytvoření nové hodnoty nebo změna existujících hodnot. Přesouvání dat v rámci datové struktury. Nastavení uživatelských nebo skupinových práv pro dané klíče registru.
|
Při zápisu cíle můžete použít zástupné znaky s jistými omezeními. Místo specifikování klíče můžete použít v cestě k registru * (hvězdičku) ve významu "libovolný jeden klíč". Například HKEY_USERS\*\software může znamenat HKEY_USER\.default\software, ale ne HKEY_USERS\S-1-2-21-2928335913-73762274-491795397-7895\.default\software. HKEY_LOCAL_MACHINE\system\ControlSet* není platná cesta ke klíči registru. Cesta registru ukončená \* má speciální význam, znamená "tento klíč nebo libovolný podklíč libovolně hluboko". U souborových cílů se dá používat hvězdička pouze tímto způsobem. U vyhodnocování platí, že vždy se hledá nejprve cíl, který popisuje danou cestu přesně, a až poté cíl, který ji popisuje zástupným znakem (*). |
|
Pokud vytvoříte příliš obecné pravidlo, program vás na to upozorní. |
Na následujícím příkladu si ukážeme, jak omezit nežádoucí chování aplikací:
1.Zadejte název pravidla a z rozbalovacího menu Akce vyberte Blokovat (nebo Dotázat se, pokud se chcete při výskytu akce rozhodnout později).
2.Přepínačem aktivujte možnost Upozornit uživatele pro zobrazení oznámení při každém aplikování pravidla.
3.V části Operace ovlivní vyberte alespoň jednu operaci, pro kterou má pravidlo platit.
4.Pokračujte kliknutím na tlačítko Další.
5.V dialogovém okně Zdrojové aplikace vyberte možnost Konkrétní aplikace. Tím zajistíte, že vámi vytvářené pravidlo bude platné pouze pro konkrétní aplikace.
6.Klikněte na tlačítko Přidat a …. Výběr cesty k aplikaci potvrďte kliknutím na tlačítko OK. V případě potřeby přidejte více aplikací.
Příklad: C:\Program Files (x86)\Untrusted application\application.exe
7.Jako operaci vyberte Zápis do souboru.
8.V dalším kroku vyberte z rozbalovacího menu Všechny soubory. Tím zablokujete jakýkoli pokus definovaných aplikací o zápis do libovolného souboru.
9.Vytvoření nového pravidla potvrdíte kliknutím na tlačítko OK.
