Сваял небольшой хелп по основной проблеме при настройке Джетики. При одобрении аудиторией, те, у кого "access granted", могут закинуть в шапку.
[more=Как настроить правила в "Process Attack Table"]
"Process Attack Table" - зона повышенного риска. Здесь собраны функции и методы, к-рые наряду с легальными приложениями активно используются троянами и вирусами:
"Attacker installs system-wide Windows hook" (атакующий внедряет dll в процесс (системный hook));
"Attacker starts application with hidden window" (атакующий запускает приложение в скрытом окне);
"Attacker writes to application's memory" (атакующий производит запись в память приложения);
"Attacker injects own code into application" (атакующий внедряет в приложение собственный код);
"Attacker modifies child process" (атакующий изменяет дочерний процесс);
"Low-level access to system memory" (низкоуровневый доступ к памяти).
В данной таблице у многих возникают проблемы, особенно с правилом "Attacker installs system-wide Windows hook". Полезно вспомнить основную функцию файервола: "НЕ ПУЩАТЬ" и акцент, соответственно, - на запрет.
Можно использовать следующую методику: при возникновении запроса - запретить (reject), дальше смотреть на поведение приложения, пославшего запрос. Если оно продолжает нормально работать, то так и оставить. Иначе возможны три варианта реакции приложения на запрет:
1. приложение завершает работу/не запускается
пример: большинство игрушек от Reflexive Arcade, правила "Attacker installs system-wide Windows hook" и "Attacker writes to application's memory", - при запрете завершают работу.
2. приложение рапортует о невозможности выполнить какую-либо операцию
пример: Paint Shop Pro 7, правило "Attacker installs system-wide Windows hook" при включении функции захвата экрана, - при запрете рапортует о невозможности запустить эту функцию.
3. приложение функционирует не полностью
пример: GTA San-Andreas, правило "Attacker installs system-wide Windows hook", - при запрете не работает клик мышью.
В этих случаях вердикт можно заменить на "разрешить" (allow), но в начале полезно убедиться, что запрос послало доверенное приложение, а не троян и т.п.
"Attacker starts application with hidden window" (атакующий запускает приложение в скрытом окне).
В большинстве случаев, это вполне безобидная функция, хотя может быть и действием трояна. Обычно запрос возникает при открытии одного приложения другим. Тут нужно просто смотреть, кто что запускает и, если это соответствует ожидаемому эффекту, то разрешить (по желанию
).
"Attacker injects own code into application" (атакующий внедряет в приложение собственный код),
"Attacker modifies child process" (атакующий изменяет дочерний процесс),
"Low-level access to system memory" (низкоуровневый доступ к памяти).
На эти правила нужно обращать особое внимание, т.к. их срабатывание обычно сигнализирует о криминале в системе (не сталкивался).
Информация к размышлению:
Создавать для приложения пару из правил "Attacker installs system-wide Windows hook" и "Access to network" (доступ к сети) нужно внимательно. Разрешив первое и запретив второе, при запущенном приложении, можно остаться и без сети и без И-нета. Если же выход в сеть/И-нет для данного приложения нежелателен, то можно сразу после правила "Access to network" добавить правило "Deny all" (запретить все) для этого же приложения. Наверное, будет нелишним пояснить, что "Access to network" означает не выход в сеть или И-нет непосредственно, а всего лишь возможность для приложения и его потомков использовать сетевые ресурсы.
Примечание: правило "Access to network" по умолчанию создается в таблице "Ask User"
В заключение - небольшой список приложений, к-рые нормально функционируют при запрете в правиле "Attacker installs system-wide Windows hook":
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\regedit.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Label Creator\CDLabel.exe
C:\Program Files\Total Commander\Totalcmd.exe
C:\Program Files\Microsoft Office\OFFICE11\FRONTPG.EXE
C:\Program Files\K-Lite Codec Pack\tools\gspot\gspot.exe
C:\Program Files\Ahead\Nero Toolkit\InfoTool.exe
C:\Program Files\Movie Maker\moviemk.exe
C:\Program Files\Crystal Player\Crystal.exe
C:\Program Files\Total Commander\Plugins\exe\AkelPad.exe
C:\Program Files\IrfanView\i_view32.exe
C:\Program Files\Opera\Opera.exe
C:\Program Files\Jasc Software Inc\Paint Shop Pro 7\anim.exe
C:\Program Files\PonyProg2000\PONYPROG2000.EXE
C:\Program Files\Atmel\AVR Tools\AvrStudio4\AVRStudio.exe
C:\Program Files\Elaborate Bytes\CloneDVD2\CloneDVD2.exe
C:\Program Files\P-CAD 2002\pcb.exe
C:\Program Files\P-CAD 2002\Sch.exe
C:\Program Files\Light Alloy\LA.exe
C:\Program Files\Ahead\Nero Wave Editor\DXEnum.exe
C:\Program Files\Paint.NET\PaintDotNet.exe
C:\Program Files\CyberLink\PowerDVD\PowerDVD.exe[/more]
[more=Как настроить правила в "Process Attack Table"]
"Process Attack Table" - зона повышенного риска. Здесь собраны функции и методы, к-рые наряду с легальными приложениями активно используются троянами и вирусами:
"Attacker installs system-wide Windows hook" (атакующий внедряет dll в процесс (системный hook));
"Attacker starts application with hidden window" (атакующий запускает приложение в скрытом окне);
"Attacker writes to application's memory" (атакующий производит запись в память приложения);
"Attacker injects own code into application" (атакующий внедряет в приложение собственный код);
"Attacker modifies child process" (атакующий изменяет дочерний процесс);
"Low-level access to system memory" (низкоуровневый доступ к памяти).
В данной таблице у многих возникают проблемы, особенно с правилом "Attacker installs system-wide Windows hook". Полезно вспомнить основную функцию файервола: "НЕ ПУЩАТЬ" и акцент, соответственно, - на запрет.
Можно использовать следующую методику: при возникновении запроса - запретить (reject), дальше смотреть на поведение приложения, пославшего запрос. Если оно продолжает нормально работать, то так и оставить. Иначе возможны три варианта реакции приложения на запрет:
1. приложение завершает работу/не запускается
пример: большинство игрушек от Reflexive Arcade, правила "Attacker installs system-wide Windows hook" и "Attacker writes to application's memory", - при запрете завершают работу.
2. приложение рапортует о невозможности выполнить какую-либо операцию
пример: Paint Shop Pro 7, правило "Attacker installs system-wide Windows hook" при включении функции захвата экрана, - при запрете рапортует о невозможности запустить эту функцию.
3. приложение функционирует не полностью
пример: GTA San-Andreas, правило "Attacker installs system-wide Windows hook", - при запрете не работает клик мышью.
В этих случаях вердикт можно заменить на "разрешить" (allow), но в начале полезно убедиться, что запрос послало доверенное приложение, а не троян и т.п.
"Attacker starts application with hidden window" (атакующий запускает приложение в скрытом окне).
В большинстве случаев, это вполне безобидная функция, хотя может быть и действием трояна. Обычно запрос возникает при открытии одного приложения другим. Тут нужно просто смотреть, кто что запускает и, если это соответствует ожидаемому эффекту, то разрешить (по желанию
). "Attacker injects own code into application" (атакующий внедряет в приложение собственный код),
"Attacker modifies child process" (атакующий изменяет дочерний процесс),
"Low-level access to system memory" (низкоуровневый доступ к памяти).
На эти правила нужно обращать особое внимание, т.к. их срабатывание обычно сигнализирует о криминале в системе (не сталкивался
). Информация к размышлению:
Создавать для приложения пару из правил "Attacker installs system-wide Windows hook" и "Access to network" (доступ к сети) нужно внимательно. Разрешив первое и запретив второе, при запущенном приложении, можно остаться и без сети и без И-нета. Если же выход в сеть/И-нет для данного приложения нежелателен, то можно сразу после правила "Access to network" добавить правило "Deny all" (запретить все) для этого же приложения. Наверное, будет нелишним пояснить, что "Access to network" означает не выход в сеть или И-нет непосредственно, а всего лишь возможность для приложения и его потомков использовать сетевые ресурсы.
Примечание: правило "Access to network" по умолчанию создается в таблице "Ask User"
В заключение - небольшой список приложений, к-рые нормально функционируют при запрете в правиле "Attacker installs system-wide Windows hook":
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\regedit.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Label Creator\CDLabel.exe
C:\Program Files\Total Commander\Totalcmd.exe
C:\Program Files\Microsoft Office\OFFICE11\FRONTPG.EXE
C:\Program Files\K-Lite Codec Pack\tools\gspot\gspot.exe
C:\Program Files\Ahead\Nero Toolkit\InfoTool.exe
C:\Program Files\Movie Maker\moviemk.exe
C:\Program Files\Crystal Player\Crystal.exe
C:\Program Files\Total Commander\Plugins\exe\AkelPad.exe
C:\Program Files\IrfanView\i_view32.exe
C:\Program Files\Opera\Opera.exe
C:\Program Files\Jasc Software Inc\Paint Shop Pro 7\anim.exe
C:\Program Files\PonyProg2000\PONYPROG2000.EXE
C:\Program Files\Atmel\AVR Tools\AvrStudio4\AVRStudio.exe
C:\Program Files\Elaborate Bytes\CloneDVD2\CloneDVD2.exe
C:\Program Files\P-CAD 2002\pcb.exe
C:\Program Files\P-CAD 2002\Sch.exe
C:\Program Files\Light Alloy\LA.exe
C:\Program Files\Ahead\Nero Wave Editor\DXEnum.exe
C:\Program Files\Paint.NET\PaintDotNet.exe
C:\Program Files\CyberLink\PowerDVD\PowerDVD.exe[/more]
. Сегодня утром в 9:18 (после переустановки системы) накатал телегу в саппорт, сейчас, в 12:39, получил ответ (отвечают ребята оперативно 
Переведи.