【高级防护】反攻击规则 V4.30

191196846

一、规则简介
基于 MITRE ATT&CK™ & 恶意软件行为特征 编写而成，能够检测，阻止，拦截各类恶意软件的攻击载体和攻击途径，典型的如无文件攻击，漏洞攻击，加密勒索等。


二、规则内容
规则命名方式：
[推荐操作]防护项目.类型.编号
例如：[结束]勒索行为防护.A.00

1. 勒索行为防护
- 识别特定双后缀文件创建的动作
- 识别勒索信释放动作

2. 漏洞攻击防护
- 识别 MS Office 进程释放可执行文件的动作
- 识别 MS Office 调用系统组件的动作

3. 木马行为防护
- 识别在可疑目录创建可执行文件的动作
- 识别利用系统组件创建启动项的动作
- 识别部分窃取信息的动作

4. 系统进程防护
- 识别系统组件调用Powershell的动作
- 识别脚本宿主进程创建可执行文件/调用系统组件的动作
- 识别利用系统组件进行远程下载的动作


三、注意事项
1. 日常使用不会有任何弹窗；若触发规则弹窗，请按照推荐操作进行（结束进程或者阻止操作）。
2. 不建议与其他规则搭配使用。
3. 认为弹窗是误报请尽量不要选择“记住操作”，会导致一些通用规则失效，请将日志上传并@我。
4. 有任何其他问题请在本帖@我。


新手：如何正确启用/导入规则
1. 打开“防护中心”
2. 点击左侧高级防护
3. 打开开关
4. 点击文字
5. 导入自定义规则
6. 导入自动处理规则（重要！）
https://s2.ax1x.com/2019/07/11/ZR0t1O.jpg

下载地址
https://jerry-0000.lanzous.com/b0w7loed
密码:4ksm

191196846

4.0版本更新日志

4.30
01/17/2021
1. 解决部分误报
2. 新增 隐私窃取防护.A.00 ， 针对腾讯系应用

4.28
01/10/2021
1. 解决部分误报

4.27
05/06/2020
1. 解决部分误报

4.26
05/02/2020
1. 增强对隐私窃取类木马的防护
2. 4.0 部分隐私防护，系统进程防护回归，默认关闭，有需要的可以手动开启（需要自己添加排除规则）
3. 解决部分误报

4.25
04/18/2020
1. 默认关闭powershell防护，有需要可以开启
2. 解决部分误报

4.24
03/23/2020
1. 删除部分可能导致误报的规则

4.23
03/15/2020
1. 解决部分误报

4.22
03/07/2020
1. 解决部分误报

4.21
03/04/2021
1. 解决部分误报

4.20
03/04/2021
1. 增强对 Formbook and AgentTesla 的防护
2. 解决部分误报

4.14
03/03/2020
1. 解决部分误报

4.12
02/25/2020
1. 解决部分误报

4.11
02/19/2020
1. 解决部分误报

4.10
02/17/2020
1. 合并规则组

4.05
02/14/2020
1. 解决WPS误报

4.04
12/10/2019
1. 解决部分误报

4.03
09/03/2019
1. 解决部分误报


4.02
08/13/2019
1. 解决部分误报


4.01
07/17/2019
1. 解决部分误报

191196846

更新1.1

增加了些拦截规则

louis

谢谢楼主

代码兄

支持一下

191196846

更新1.2

调整拦截架构，新增更多规则

Nobuchika

支持优质规则
现在使用场景比较复杂，如果有问题会再来反馈

191196846

Nobuchika 发表于 2018-12-6 17:13
支持优质规则
现在使用场景比较复杂，如果有问题会再来反馈

嗯，遇到误报及时反馈给我

感谢支持~

Jomye

支持一下

songjunyan

支持一下

191196846

更新1.3

调整可能导致误报的规则

191196846

https://www.anquanke.com/post/id/167334

最新 Flash 0day 漏洞（CVE-2018-15982）攻击  拦截


[

attach]35353[/attach]

folwind

支持一下

ht6219

支持一下!!!

基哥

谢谢大佬

ydn0415

支次一些