Общие рекомендации и помощь по использованию OSSS

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Данный материал еще не закончен и будет пополняться постепенно.

Что обязательно нужно знать перед установкой программы

Помните о том, что это первая БЕТА версия программы и она не является окончательной.
Мы не рекомендуем устанавливать её пользователям, которые имеют слабое представления о системных процессах, реестре, файлах, сетевых соединениях. Так как программа контролирует все события, происходящие в системе (не зависимо от того, "плохой" или "хороший" процесс осуществляет это действие), и пользователь будет вынужден принимать решения "Заблокировать" или "Разрешить" - самостоятельно.
Не продвинутым пользователям рекомендуется подождать окончательного релиза, в котором интерфейс будет более простым и дружелюбным.

Общие рекомендации по использованию программы

Будьте готовы к тому, что во время своей первой загрузки программа будет задавать вам очень много вопросов.
Старайтесь создавать правила (а не выбирать варианты Allow Once/Deny Once), чтобы уменьшить количество этих вопросов в будущем.
Если вы не уверены по поводу события, вы можете разрешить его временно (кнопкой Allow Once). А далее, загрузив систему, уточнить на форуме, чтобы в последствии создать нужное правило.
Помните, что если вы однажды потратите время на создание правил для своей системы, то в будущем вы получите надежную и полноценную защиту вашего компьютера (которая будет "беспокоить" вас только в действительно опасных ситуациях).
Старайтесь не отключать, не передвигать и не изменять правила с префиксом Preset, которые есть в программе по умолчанию. Большая часть таких правил необходима для нормальной работы системы и в случае бездумного отключения (без понимания того, для чего они нужны), никто не может гарантировать вам то, что система будет работать стабильно.
Будьте осторожны, создавая запрещающие правила (это в первую очередь касается системных процессов), так как если вы запретите критичные для Windows события - последствия могут быть не предсказуемы.

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Основные действия, которые можно выбрать в запросах программы

Allow Once - разрешить действие однократно
Deny Once - запретить действие однократно

Disable network access for the process until it is restarted - заблокировать данному процессу доступ в сеть до тех пор, пока он не будет перезапущен. Данная опция позволяет лишний раз обезопасить себя от утечки каких-либо данных, если вы до конца не доверяете программе, которая проявляет какую-либо активность в системе.

Create Rule - создать правило для этого действия

Примечение

Allow

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Правила (общая информация)

Дерево процессов (Process Group Tree)

В дереве процессов находятся:

отдельные процессы
группы процессов
группа Default Rules for Processes (правила для всех процессов системы)

Процессы

Любой процесс, для которого создается правило по запросу программы, автоматически добавляется в дерево, как отдельный процесс (т.е. вне любой из созданных групп), если он там еще не присутствует.

Также вы можете добавить любой желаемый процесс вручную (с помощью кнопки Add или через контекстное меню: Add Process).

Группы

Группа объединяет в себя несколько процессов и дает возможность создать для них общие правила. При этом для каждого процесса внутри группы могут быть созданы его собственные правила, которые не будут влиять на работу других процессов группы.

Группы полезны в случае, если на компьютере установлено несколько приложений, которые выполняют однотипные действия (например, браузеры: Internet Explorer, FireFox, Opera). И создать правила для всех подобных процессов одновременно гораздо удобнее и быстрее, чем создавать набор правил для каждого из них по отдельности.

Add Group

Add

Add Process

Также обратите внимание на группы Trusted Applications и Blocked Applications. В них можно заносить безусловно доверенные (недоверенные) процессы, которым разрешены (запрещены) любые действия.

Примечание

Firewall

Firewall Rules

Trusted Applications

Allow network connections

Apply

Группа Default Rules for Processes

Правила, созданные для этой группы будут влиять абсолютно на все процессы системы. Однако лишь в том случае, если контролируемое действие не подпадает ни под одно из правил отдельных процессов или других групп (подробнее см. Приоритет обработки правил).
Эта группа не может быть удалена.

Примечание

Создание и редактирование правил (общая информация)

Правила проактивной защиты находятся: Protection > Application Rules
Правила сетевого экрана: Firewall > Firewall Rules

Чтобы создать правило вручную (т.е. не автоматически при запросе программы), мышкой выберите нужный процесс или группу, для которого или которой вы хотите создавать правило. После чего нажмите кнопку Add New Rule. Откроется диалог создания правила.

Далее выберете нужный тип правила:

И задайте требуемые параметры (помощь по каждому типу правил см. ниже).

Примечание

Кнопка Duplicate дублирует выделенное вами правило. Эта функция может быть полезной в случае, когда вам нужно создать два похожих правила, и вы не хотите вносить несколько раз одни и те же данные (просто создайте дубликат пурвого, как основу, и внесите в него необходимые изменения).

Кнопка OK в редактируемом правиле не будет гореть, если вы в нем ничего не меняли (эта функция может быть очень полезной в случае, когда вы, открыв правило, случайно внесли туда изменения).

Любое правило при желании может быть временно отключено.

Apply

Приоритет обработки правил

Правила обрабатываются в определенном порядке.

Если правила относятся к одному и тому же процессу, то работает правило, расположенное выше в списке.
Используйте кнопки Move Up и Move Down, чтобы изменить положение и, соответственно, приоритет исполнения правила.
Также существует определенный порядок обработки правил отдельных процессов, процессов в группах и правил групп. Этот порядок следующий:
- правила для отдельных процессов
- правила для процессов внутри группы
- правила для группы процессов
- правила группы Default Rules for Processes
Т.е. приоритет отдаётся правилам, созданным для отдельных процессов.

Примечания

Любые изменения, сделанные в программе вручную (добавление, удаление, отключение, изменение, перемещение чего-либо) нужно сохранять с помощью кнопки Apply (пока вы её не нажмете - изменения в силу не вступят):

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Политики

В случае, если вы хотите отключить защиту на время, вы можете просто изменить действующую политику.

Это может пригодиться, например, при установке новой программы, которой вы полностью доверяете, и выдача большого количества запросов в этот момент нежелательна. Или наоборот, при подозрении на заражение компьютера и необходимость блокировать сетевую активность для максимального количества процессов.

Переключить политику можно через контекстное меню иконки OSSS

в трее (как показано выше на скриншоте).
Или через настройки программы:

Protection

Protection Settings

Firewall

Firewall Settings

Политики проактивной защиты

На данный момент существует две политики проактивной защиты:

Learning Mode - режим обучения или работа по правилам (включено по умолчанию)
Allow All - любые действия в системе разрешаются

Помимо изменения политики, в закладке Protection Settings вы можете также отключить отдельные виды контроля.

Для отключения снимите галочку возле соответствующей опции и нажмите на Apply.

Process Execution Protection – отключает контроль запуска процессов
Process Termination Protection – отключает контроль уничтожения процессов
Registry Protection – отключает контроль реестра
Registry Hives Protection – отключает контроль сохранения и восстановления кустов реестра
Files and Folders Protection – отключает контроль над файловыми объектами и ADS
Executable Files Protection – отключает контроль над созданием и модификацией исполняемых файлов
System Drivers Protection – отключает контроль над операциями с драйверами
System Services Protection – отключает контроль над операциями со службами
Keyboard and Mouse Protection – отключает контроль над перехватом мыши и клавиатуры
DLL Inject Protection – отключает контроль над внедрением динамических библиотек в другие процессы
Process Threads Protection – отключает контроль над потоками в других процессах
Process Memory Protection – отключает контроль над работой с памятью в адресном пространстве других процессов
Physical Disks Protection – отключает контроль прямого доступа и низкоуровневых операций с физическими дисками
Physical Memory Protection – отключает контроль доступа к физической памяти
Windows Scheduled Tasks Protection – отключает контроль над созданием заданий для Windows Task Scheduler
Windows HOSTS File Protection – отключает контроль над изменениями файла HOSTS

Примечание: правила, относящиеся к отключенному виду контроля, будут отображаться курсивным шрифтом серого цвета (чтобы вы могли видеть то, что правило на текущий момент неактивно):

Политики сетевого экрана

Существуют следующие политики сетевого экрана:

Learning Mode - режим обучения (работа по правилам)
- Allow before service starts - разрешать события, возникающие до того, как была запущена служба OSSS
- Deny before service starts - запрещать события, возникающие до того, как была запущена служба OSSS
Allow All - разрешается любая сетевая активность
Block All - любая сетевая активность полностью блокируется
Allow Most - разрешается сетевая активность, которая не запрещена существующими правилами
Block Most - запрещается сетевая активность, которая не разрешена существующими правилами

Примечание. Если для сетевого экрана была выбрана одна из политик Block, все текущие соединения замораживаются, а не обрываются совсем (т.е. при желании вы можете их восстановить).

Также опции в закладке Firewall Settings позволяют отключить контроль следующих действий:

Protocol Registration Control – отключает контроль регистрации протоколов
Protocol Binding Control – отключает контроль привязки протоколов к адаптерам

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Логгирование событий

OSSS позволяет логгировать все события, происходящие на вашей системе.
Просмотреть их можно в первой вкладке программы, Events:

По умолчанию логгируются события, по которым было принято решение Allow Once или Deny Once.
А также события, обработанные по правилам, для которых была включена опция Log this action:

Поиск событий

Чтобы логгирование легко помогало вам отслеживать различную активность процессов, была создана гибкая система сортировки и поиска.

Переключатели Start Date и Finish Date дают возможность задать период возникновения интересующих вас событий.
Если требуется вывести события определенного типа (например, только сетевые соединения), воспользуйтесь настройкой Event Types, благодаря которой можно отключить вывод ненужных типов событий (для отключения снимите галочки с соответствующего и нажмите OK):
Чтобы найти все действия, которые выполнял какой-либо конкретный процесс, используйте поле Process (просто введите в него имя интересующего вас процесса и нажмите на кнопку Search):
Поле Object позволяет найти все события, связанные с каким-либо конкретным объектом. Под объектом в данном случае может подразумевается любой конкретный файл, ключ реестра, IP адрес, драйвер, служба, динамическая библиотека, процесс, протокол, физический диск, физическая память, задание планировщика задач, файл HOSTS.
Опция Show user decisions дает возможность отображать (или не отображать) события, залоггированные по решению пользователя (т.е. решения Allow Once и Deny Once).

Примечание. Для более гибкого поиска в полях Process и Object поддерживаются маски. Так, символ звездочки (*) - заменяет любое количество символов:

Примечание. Для своего удобства вы можете перемещать панель поиска в любое желаемое место (это особенно может пригодится при просмотре записей с большим количеством данных - для "экономии" места):

Кнопки тулбара:

Refresh

Save

Примечание

Copy

Clear

Общий вид лога содержит:

Time – время обработки события
Process – процесс, вызвавший активность
Action – тип события (действие, которое выполнял данный процесс)
Object – объект действия (файл, ключ реестра, IP адрес, физический диск и т.д.)
Status – информация о том, было ли действие разрешено или запрещено.
Reason – источник решения, согласно которому было обработано действие (User - при выборе Allow Once/Deny Once; Application Rule - правила проактивной защиты; Firewall Rule - правила сетевого экрана, Integrity Control - система контроля целостности)

Расширенное логгирование

Каждый тип события может быть просмотрен в более детализированном виде.
Дважды кликните мышью по интересующему вас событию - и по нему откроется более подробная информация.

пример расширенного логгирования запуска драйвера

Также, для просмотра более детальной информацией по каждому из отдельных типов событий, можно воспользоваться опцией фильтра:

Ряд пояснений по детальному логгированию для отдельных типов событий

Network Connections Control (сетевые соединения)

Remote Address

Remote Port

Local Address

Local Port

Protocol

текущей

Sent

Received

Total Traffic

Duration

Direction

Adapter Group

Sequence

Registry Protection (контроль реестра)

Object

Value

Old Data

New Data

Description

такое описание

Files and Folders Protection (контроль файлов и ADS)

Object

Rename To

ADS

System Drivers Protection (контроль над операциями с драйверами)

Registry Key

Driver Type

System Services Protection (контроль над операциями со службами)

Registry Key

Service Type

Keyboard and Mouse Protection (контроль за перехватами мыши и клавиатуры)

Module

DLL Inject Protection (контроль за внедрением динамических библиотек)

Module

Integrity Control (контроль целостности)

Shared

Memory Hash

Base

Size

Process Memory Protection (контроль над работой с памятью в адресном пространстве других процессов)

Memory Type

Base Address

Size

Physical Disks Protection (контроль прямого доступа и низкоуровневых операций с физическими дисками)

Requested Access

Physical Memory Access (контроль доступа к физической памяти)

Requested Access

Protocol Binding Control (контроль привязки протоколов к адаптерам)

Adapter Friendly Name

Adapter Name

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Registry Protection - Контроль реестра

С помощью OSSS вы можете контролировать доступ приложений к реестру.

Благодаря чему ни одна программа не сможет прописаться в автозапуск без вашего на то желания; не сможет испортить или изменить критичные настройки системы; или, к примеру, поменять домашнюю страницу Internet Explorer'а.

Соответствующие правила дают возможность следить за созданием и удалением ключей; созданием, изменением и удалением параметров; изменением данных в параметрах.

Поскольку многие приложения работают с реестром очень активно, доступ к его бо'льшей части по умолчанию разрешен. Предустановленными правилами контролируются только наиболее уязвимые его области и настройки системы, влияющие на безопасность компьютера (например, автозагрузка программ и их модулей, изменение настроек браузера и проводника, создание ограничений для текущего пользователя, создание COM-объектов и пр.). Т.е. контролируется только то, что наиболее часто используется вирусами в реальной жизни.

Тем не менее, при желании, вы можете создать правило для любого ключа или параметра, которое будет контролировать любые попытки внести туда изменения.

Откройте: Protection > Application Rules
Выберите процесс или группу, для которых будет действовать это правило (для всех процессов выбираем: Default Rules for Processes).
Нажмите кнопку Add New Rule.
В открывшемся окне создания правила выберите тип правила: Registry Protection:
В окне создания правила нажмите на кнопку Add, чтобы появилась форма добавления ключа:
В поле Registry Key введите желаемый ключ.
Если требуется контролировать все подключи для этого ключа, поставьте галочку рядом с опцией Include Subkeys.
Если требуется контролировать только параметры, выбранного ключа, отметьте опцию Monitor the registry key values only. И затем выберите один из следующих вариантов:
Выберете желаемые решения для каждого из типов действий (Create - создание ключа или параметра, Modify - изменение параметра, Delete - удаление ключа или параметра):
В поле Description можно ввести пояснение для себя.
Сохраняем созданное правило (OK и Apply).

Примечание. Для более гибкой работы в реестровых правилах поддерживаются маски. Так, звездочкой (*) может быть заменено любое количество символов. А знаком вопроса (?) заменяется один символ.

Примеры

Чтобы, например, запретить приложению доступ ко всему реестру, нужно создать два подправила. Отдельно для контроля ключей и отдельно для контроля параметров (такое разделение сделано из-за того, что во многих случаях контролировать нужно только конкретные параметры, а обращения к самим ключам не так важны).

контролировать все ключи

Registry Key

Include Subkeys

контролировать все параметры

Registry Key

Include Subkeys

Monitor the registry key values only

Any value of the key

Для запрета: везде, где возможно, выбираем Deny.

В одно правило можно добавить несколько ключей и/или параметров (подправил).
Приоритет обработки таких подправил будет таким же, как общий: более приоритетным является то, что находится выше. Таким образом, вы можете создать для процесса запрещающее или, наоборот, разрешающее правило на весь реестр, сделав исключения для определенных ключей, подняв эти ключи-исключения выше.

Для изменения порядка подправил используйте кнопки Вверх/Вниз:

Malware Analyst Joined: 08 Nov 2007 Posts: 121

Files and Folders Protection - Контроль файлов на диске

Благодаря файловому контролю ни один файловый вирус (такой как Sality, Virut, Hidrag, Parite и др.) не сможет заразить исполняемые файлы вашей системы; ни один троян, автоматически запущенный, к примеру, с флешки или через уязвимость в браузере, не сможет создать исполняемый файл на вашем диске и в последствии причинить какой-либо вред.

В OSSS реализовано два типа контроля над файлами:

Executable Files Protection – контроль над созданием и модификацией исполняемых файлов (.exe, .dll, .sys и любых других бинарных исполняемых файлов).
Files and Folders Protection – более расширенный контроль над любыми типами файлов, а также контроль над операциями с ADS (Alternate Data Streams).

По умолчанию контролируется: создание и модификация исполняемых файлов; операции с ADS; плюс для наиболее уязвимых файлов системы созданы предустановленные правила (например, правило для AUTORUN.INF).

Также, при желании, вы можете создать своё правило для любого необходимого каталога или отдельного файла, и настроить его по собственному усмотрению.

в процессе написания...