登峰造極Kaspersky IntelnetSecurity 7 設定教學

這一篇是繼之前[url=http://www.pczone.com.tw/thread/28/133142/]那一篇教學[/url]算是對這一個系列完整的一個補完
除了KAV 7特有的新增功能外,還加強的PDM介紹,以及新增防火牆的設定教學

[color=Blue][b]主畫面[/b][/color]
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_main.jpg[/img]


[color=Blue][b]防火牆[/b][/color]
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_fw_main.png[/img]


[color=Blue][b]掃瞄[/b][/color]
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_scan.jpg[/img]


[color=Blue][b]更新[/b]
[/color]如果更新發生錯誤,可以按Rollback (回覆)之前的狀態然後繼續更新
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_updata.jpg[/img]


[color=Blue][b]報告[/b]
[/color]預設30天會自動清理一次,如果發現KIS變的較為緩慢可以來清理這些檔案改善軟體效率
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7report.jpg[/img]


[color=Blue][b]基本設定[/b][/color]
Potentially dangeroug software這項不建議開啟,如果開啟了會報一些駭客程式,遊戲外掛等
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_set_x.png[/img]

在Apperance這項的Events notification選擇Advanced進入進階選項
把Hacker attack detection這項取消勾選
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_event.png[/img]


[color=Blue]更新設定:[/color]
設定為每小時更新一次,然後按Confugure進入下一個頁面
[img]http://i126.photobucket.com/albums/p97/yanzilme/K7_SET_UP.png[/img]

有鑒於Kaspersky更新服務器有的時候會出一些問題,而使得更新無法成功
所以我推薦第一次安裝時可以使用"日本"服務器
待更新完畢後請更改為"Russian Federation"(俄羅斯)
此服務器由於是總部所以特別穩定,更新步調也比日本還要快上一點
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_up_ser_chose.png[/img]


[color=Blue][b]即時監控設定[/b][/color]
選擇最低層級,此層級不會讓電腦變的較容易中毒!
動作設定為阻止存取後解毒,如果無法解毒既刪除檔案
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_fa.png[/img]

[color=Blue]即時監控:啟發偵測[/color]
如果系統的性能夠好,可以打開啟發式緝毒引擎
[img]http://i126.photobucket.com/albums/p97/yanzilme/K7_FA_HEU.png[/img]


[b][color=Blue]網頁防護設定:[/color][/b]
直接按"自訂",將Limit fragment buffering time秒數改為"1"秒
如此可以加快開網頁的反應時間
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_web_1.png[/img]

然後選擇自訂,也把啟發開到最高
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_web_2.png[/img]


[b][color=Blue]右鍵掃瞄設定[/color][/b][b]:
[/b]選項就參照預設,不建議跟監控一樣設為自動處理
[b][img]http://i126.photobucket.com/albums/p97/yanzilme/k7_scan_set.png[/img]

[/b][color=Black]右鍵掃瞄建議啟發等級可以開到最高級
[/color][img]http://i126.photobucket.com/albums/p97/yanzilme/k7_scan_set_heu-1.png[/img]


如果發現你的KIS掃描速度很慢的話
可以試著把Concede resources to other application取消,不要把系統資源分給其它應用程式
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_scan_other_app.png[/img]


[color=Blue][b]啟動掃瞄[/b][/color][b]:[/b]
取消"At application startup"以增進開機後的等待時間
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_start_oj.png[/img]


[b][color=Blue]免疫防護設定:[/color][/b]
由上到下分別為 "應用程式行為分析" , "應用程式行為控制" , "註冊表防護"
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_pdm.png[/img]

[color=Blue]應用程式行為分析[/color]
KIS的行為判斷功能雖然只是一個附屬子程式
但功能非常強大,尤其是偵測Rootkit以及Keylogges的能力非常強悍,很難會被遺漏!
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_app_aa.png[/img]


雙重保護,不能由緝毒引擎偵測的部分交由PDM來偵測[size=2](圖片取自KAV 7.0
Overview of technologies)[/size]
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_rootkit_2.png[/img] [img]http://i126.photobucket.com/albums/p97/yanzilme/k7_rootkit_1.png[/img]

[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_rootkit_4.png[/img] [img]http://i126.photobucket.com/albums/p97/yanzilme/k7_rootkit_3.png[/img]


KIS的免疫防禦中的應用程式行為控制功能預設是不開啟的
因為一般人不太會操作這個子系統,我這裡稍為說一下簡單的設定跟排除方法

首先這個功能的原理很簡單,在電腦裡的任何操作都會受到KIS的監控
不同於緝毒引擎的偵測方式,它是直接對程序的行為進行分析
目前使用這種發式的防毒軟體除了KIS還有Panda , F-Secure等

其中Panda還用來當作它的進階型啟發式引擎
如此一來對於未知威脅的防禦比起最強啟發式的NOD32還要強悍不少
KIS 7雖然比起KIS 6加入了whiter list,但依然屬於比較困難且缺乏智慧的這種類型
所以人然需要一點專業知識,跟自己排除一些不是"威脅"的程式行為

已下只是很簡單的例子,由於每個人電腦安裝的軟體不盡相同
所以會遇到的情況也不一樣,要是出現問題,依照下面的方式依樣畫葫蘆就可以了


[color=Red][color=Blue]排除的程式:[/color][/color]
wuauclt.exe , msiexec.exe , iexplorer.exe
wuauclt.exe 為windows系統自動更新的程式, msiexec.exe 則是用來安裝副檔名為*.msi 的安裝檔
跟iexplorer.exe 一樣執行時會有修改註冊表的必要,由於這些都是信任的程式,所以可以排除註冊表監控
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_tz_ta.png[/img]

以下為合法的應用程式以及系統程序
[color=Blue]alg.exe [color=Black],[/color] csrss.exe [color=Black],[/color] lsass.exe [color=Black],[/color] smss.exe [color=Black],[/color] [/color][color=#ee1111][color=Blue]winlogon.exe[/color][/color][color=Blue] [color=Black],[/color] svchost.exe [color=Black],[/color] services.exe [color=Black],[/color] msnmsgr.exe [color=Black],[/color] msmsgs.exe[/color]

[color=Blue]alg.exe[/color]:它負責處理系統網路以及防火牆之間的聯結
[color=Blue]csrss.exe[/color]:它是負責處理系統圖形相關的服務
[color=Blue]lsass.exe[/color]:負責OS的系統安全策略
[color=Blue]smss.exe[/color]:會話系統,處理系統會話
[color=Blue]winlogon.exe[/color]:為[color=#ee1111][color=Black]OS登入管理器,如果發現有不明程式添加啟動項到這邊請注意![/color][/color]
[color=Blue]svchost.exe[/color]:它會常常調用*.dll 檔案,有時會有傳送封包等的需求所以設為不受網路監控
[color=Blue]services.exe[/color]:為系統服務管理原件,有時會修改註冊表,所以設為不受註冊表監控
[color=Blue]msnmsgr.exe[/color]:跟msmsgs.exe 常會有很多連網動作,由於MSN是信任程式所以也設為不受網路監控


[color=Blue]應用程式行為控制範例[/color]
這裡教大家用應用程式行為控制來讓小紅傘更新時永遠不會彈出廣告
加入avnotify.exe 然後把execute action (執行動作)設為block,
Content modification (修改內容) 設為block,run as child process (執行子程序) 設為block
[img]http://i126.photobucket.com/albums/p97/yanzilme/kav_aic_set.jpg[/img]

把avnotify.dll 這個檔案加進來,設為block
設置完之後小紅傘更新就再也不會跳出廣告了
[img]http://i126.photobucket.com/albums/p97/yanzilme/kav_aic_set2.jpg[/img]

[color=Blue]
應用程式行為分析說明[/color]
拿木馬來舉例,假設現在有一隻木馬緝毒引擎本身偵測不到
我們執行它,藉由木馬本身的行為告訴我們它要做的是什麼事情
它可能會開啟某個port 對外傳送封包,或是連上其它網站下載病毒
行為模式就是木馬調用svchost.exe傳送封包,或是調用iexplorer.exe下載病毒
這時候發現了這樣的行為,KAV它就會提示

[color=Blue]示範:[/color]
偵測到有程式意圖存取註冊表的啟動項目
[img]http://i126.photobucket.com/albums/p97/yanzilme/pdm_1.png[/img]

點選拒絕
[img]http://i126.photobucket.com/albums/p97/yanzilme/pdm_2.png[/img]

按Rollback來恢復系統
[img]http://i126.photobucket.com/albums/p97/yanzilme/pdm_3.png[/img]


[color=Blue][color=Blue][b]防火牆設置:[/b][/color][/color]
KIS防火牆預設為Low Level,也就是黑名單模式或稱為安靜模式,預設下跟OS防火牆一樣不會理會由內到外的連線
如果將防護等級設為Training mode(學習模式),這是KIS最強的模式,也稱為白名單模式,我建議end user使用此模式
在學習模式下所有的新連線皆須由使用者決定是否放行,在此模式下KIS在LeakTest上分數可以超越ZoonAlarm
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_fw_fs.png[/img]

[color=Blue]網域設定:[/color]
Stealth mode為隱形模式,一般預設為開啟
如果網遇上還有其他的電腦需要進行溝通
請將Status油Intelnet更改為Local network,並取消隱形模式
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_fw_zones.png[/img]


[color=Blue]應用程式規則:[/color]
KIS 7加入了比KIS 6更多的應用程式規則
一般常用的程式幾乎都可以正常的運作
不過內建的P2P軟體規則就少,所以此項目以BitComet以及eMule作示範


[b]BitComet[/b]
首先用記事本打開ini檔案
[quote] App=D:\BitComet64\BitComet.exe[/quote]
把"D:\BitComet64\BitComet.exe" 改成你自己BitComet 的目錄

然後打開自己的BitComet 在選項>網路連接>監控連接阜
這邊看你自己的是哪個PORT
然後在ini檔裡搜尋"8854"
把"8854"改成你BitComet 所監控的連接阜
改好後儲存

然後把該ini規則檔放在非中文路徑的目錄底下
然後進入駭客防護程式(AntiHacker) 的設定頁面
在下圖的右下角按匯入(記得先刪除之前自訂的規則!)
[img]http://i126.photobucket.com/albums/p97/yanzilme/k7_fw_app_rule.png[/img]

完成後按確定並套用規則!
之後你使用BT的時候不但下載速度不會降低
而且也不用擔心安全性方面的問題!


[b]eMule[/b]
規則跟BT的一樣要修改一些地方
首先一樣要些改程式路徑
[quote]App=D:\eMule0.47a-EastShare_v11-bin\eMule.exe[/quote]

把"D:\eMule0.47a-EastShare_v11-bin\eMule.exe"
改成你自己eMuel 的目錄

再來打開自己eMule 並進入>選項>連線>客戶端連接阜
看一下你自己的TCP/UDP 各是哪一個PORT
然後在ini檔內容中搜尋"4661",把所有的"4661"改成你自己的TCP連接阜
改好後再搜尋"4672",全部改成你自己的UDP連接阜

修改好後儲存ini 檔案
並放置在非中文路徑的目錄裡頭
一樣在這個地方匯入(如原先已設有eMule 規則請刪除後再匯入!)

謝謝阿一大的好教學,今天也剛把kav6.0移掉換裝7.0,
剛好用得上!

稍後再換7.0
或許等我再洗一次電腦再裝7.0會比較爽
我最喜歡- -洗電腦...

阿一大大 先謝謝你PO這篇教學 讓我對KIS7.0的設定有所了解
想請問一個問題 我照著上面的設定方式後 發現當我點選桌面
的IE7要上網 都會停頓一下(約5秒鐘)才會有動作 之前並不會
只要1點選 馬上就會有動作 再麻煩你指導一下 謝謝^^
(P.S 心裡一直有個問題 希望你不要見怪 簽名檔上女孩子的相片是誰阿
如有冒犯 請別見怪^^"""")

[QUOTE=j60435977;982737]
(P.S 心裡一直有個問題 希望你不要見怪 簽名檔上女孩子的相片是誰阿
如有冒犯 請別見怪^^"""")[/QUOTE]
黑澀會美眉 洪詩..

阿一等於洪詩 0.0
OH MY GOD
COOL^^

[QUOTE=j60435977;982791]阿一等於洪詩 0.0
OH MY GOD
COOL^^[/QUOTE]

應該是阿一喜歡"黑澀會美眉 洪詩"吧~:fd:

學長寫得好
裝了7.0, 很爽唷