comodo v5最新版设置教程_01

如何走进comodo的世界【规则篇】一楼：本帖在征得柯大同意后根据/thread-628777-1-1.html此文更新为V5，及部分地方的改动所作。

本文写给新手做参考，依据所接触的资料及个人经验进行整理，文中错误之处，请大家多多批评指正。

为了简明扼要地说明，本文用五个小篇章来阐述如何使用comodo，主要是规则方面的说明。

对于comodo各个界面上各种选项的说明，不是本文的内容，请参阅论坛上的相关教程贴。

文中所述以V5为例子，基本原理是各个版本都适用的，至于各个版本的差别所带来的变化，只需作相应的变更即可。

第一章：基本介绍comodo如何用？这个问题取决于你的安全需要。

如果你的安全需要不高，直接用默认的安全模式再搭配一款像样的杀软即可。

如果你的安全需要有点高，那么还是自己打磨吧。

怎么打磨？就是把规则按照自己的需要进行规划布局和修改完善。

如何规划布局?这个由个人的全局统筹安排能力及逻辑思维能力来体现,，说白了就是根据自己掌握的知识以及对HIPS的相关了解，构思一个防御方案后进行编辑调整。

多余的话就不扯了，就从人人都会的地方开始吧——选择一个comodo自带的防御方案（或者叫做策略），在它的基础上经过一些简单的修改和规则的添加，打磨出自己的规则来。

就选proactive这个策略吧。

点击COMODO-proactive Security，再点击“激活”，当策略名后面出现“活动”字样时，就表示启用了这套方案（见下图）：选这个，是因为它的监控项目很全面（见下图）【图中打勾的就是监控的项目】:动手之前先做个简明的分析：1、comodo的监控是如何起作用的？一切HIPS都是依据规则进行判断和过滤的，comodo也不例外。

请打开“D+高级设置”的“计算机安全规则”，这里面是D+规则的总监控室和指挥中心，一切程序行为的判断都是以这里面的规则为依据的。

当一个程序行为发生，如果处于comodo的监控范围内，comodo就会调用这里面的规则来加以比对和执行——有规定的就按规定处理，无规定的由全局规则处理。

所谓全局规则，就是这里面垫底的那条“所有应用程序*”的规则，因为*代表任何程序，所以它是对所有程序都起作用的规则。

当我们打开这条全局规则进行查看时，会发现里面全部选项都是询问，这样，当comodo调用这条规则来进行判断的时候，就会弹出询问窗口给用户选择。

当用户勾选弹窗上的“记住我的选择”，comodo就把它当作用户的设定自动在“计算机安全规则”里添加一条规则；如果不勾选“记住我的选择”，则用户的选择只对本次操作有效，comodo将不会在“计算机安全规则”里添加规则，下次面对同样问题时，comodo依然会弹出窗口让用户选择。

（相关图片如下）：D+的操作判断，是以“计算机安全规则”里面的规则为依据的。

里面的规则是以程序为单位的，每个程序一条规则。

每一条应用程序规则都包含了3D的内容——毛豆的HIPS 是把3D行为全部集中到一个程序规则里面进行管理的。

每一条应用程序规则打开后，显示如下画面：单击那个自定义出现下面这个窗口“访问权限”是对程序的授权——允许它做什么和不允许它做什么。

“保护设置”是对程序的保护——不允许其它程序对它做这些事情，相当于放进“保险箱”。

一般来说，对于系统主要进程、杀毒软件等重要的进程，可以进行“保护设置”把它们放进“保险箱”，防止恶意程序对它们的破坏。

现在，让我们暂时忘记“保护设置”，集中精力于“访问权限”的设置——绝大部分的操作设置都是在这里面进行的。

点击“访问权限”，弹出编辑画面，上面显示了3D的各项内容。

如果你习惯了其它HIPS 把3D分开进行设置的话，到了comodo这里就要转变习惯。

所有的3D规则设置，全部在一条程序规则的编辑画面上进行完成，实际上也很方便。

细看编辑画面，你会发现，大部分都是AD的项目，FD和RD的项目各有一项：AD设置里面的“受保护的com接口”和RD设置里面的“受保护的注册表”以及FD 设置里面的“受保护的文件/目录”，是援引D+“常规设置”里面的“我的受保护文件”、“我的受保护的注册表”、“我的受保护的COM接口”里面设定的保护项目来作规则内容的（见下图）：可以通过计算机安全规则里面的受保护文件、受保护注册表、受保护COM接口来加大监控范围。

注意，当你添加相关保护设置的时候，一定要注意，仅仅在“组（G）...”里面添加是不起作用，必须要引入受保护的项目里面才有用。

新手刚开始学用comodo的时候，沿用官方给定的默认保护内容即可。

这里注意一下，我们自己设置程序分组以便在“计算机安全规则”里面进行使用时，程序分组是在“受保护的文件和文件夹”里面进行添加设置的（见下图）：关于程序分组加以引用的问题，后面再说，这里暂且放下。

2、comodo的规则流程及逻辑关系是怎样的？Comodo的D+执行规则判定时，会首先检查“计算机安全规则”中的“被拦截的文件”里有无设置需要保护的文件，若有，则禁止任何程序访问那些文件——禁止读取、修改、创建、删除。

Comodo基本上是不防读取的，只有“被拦截的文件”里面的东西除外。

如果你有私密的文件需要保护，请放入“被拦截的文件”里。

注意，放入该区里面的文件禁止任何程序访问，包括你自己也不能访问，你若想访问它们，请把里面的相应规则删除，或者暂时禁用D+。

检查过“被拦截的文件”后，转入“Defense+规则”里进行规则的查找和匹配。

依据从上到下的顺序加以查找匹配，依据程序路径快速查找规则，找到就加以检查，有适合的规定的就加以执行，无则继续向下查找，如果一直找不到就由全局规则（所有应用程序*）来处理（见下图）：找到合适的应用程序规则之后，按照该条程序规则里面设定的内容进行处理。

每条应用程序规则里面同一项目的相关规定，它们之间的优先级别是：修改/允许的内容＞修改/阻止的内容＞允许/阻止＞询问（见下图）：同一项目的规则执行按照上图所示的优先级顺序加以执行。

“修改”里面的内容可以对前边设置的内容（询问，允许、阻止）进行覆盖，类似于例外排除。

例如，当我们设定阻止一个应用程序访问其它程序内存的时候，如果想添加几个允许它去修改内存的程序，就可以打开“修改”的编辑画面添加例外允许。

由于“修改”里面的内容优先级较高，习惯上称之为“优先允许”和“优先阻止”。

善于应用优先级关系进行组合，可以编制出满意的规则，这个问题留待后面讨论。

这里注意一下，优先级3的“允许”和“阻止”是同级的关系，不存在谁优先于谁的问题，选哪个就按哪个执行。

当我们开始制作一套简单的规则时，“计算机安全规则”里面实际上只有两条应用程序规则与该程序相关，对该程序起作用。

一条是该应用程序的规则，一条是全局规则，它们之间的关系及规则的执行顺序流程如下：小结一下：“计算机安全规则”里面的规则执行，是按照从上到下的顺序加以查找匹配的。

同一条应用程序规则里面，操作的优先顺序是“优先允许”＞“优先阻止”＞“允许/阻止”＞“询问”。

如果有两条或两条以上的规则涉及同一程序，那么，将会按照从上到下的关系，首先执行完上面规则的“优先允许/优先阻止”、“允许/阻止”的精确操作后，才会执行下面规则的相关操作。

如果上面的规则已经允许了相关行为，下面的规则再对同一行为设置阻止，下面这条规则就是废物。

认真领会些逻辑关系，将帮助你写出正确、有效的规则。

关于毛豆D+的优先级各位可参考/thread-1025421-1-1.html和/forum.php?mod=viewthread&tid=896273这两个帖子。

3、哪些项目影响方案的强度？在我们正式动手打磨规则之前，概览一下，看看有哪些方面会影响防御方案的强度。

大致上说，因素有这么一些：●所用模式：疯狂模式，安全模式，干净PC模式，学习模式，安全程度是逐次下降的，到禁用时D+就被关闭，一点防护都没有了。

刚开始入手打磨自己规则的，推荐使用安全模式。

●保护内容：常规设置里面的文件保护、注册表保护、COM接口保护，划定了这三个项目的监控范围。

在comodo支持的范围内，监控越广，显然安全系数越高，但也不是绝对成正比。

安全防护要考虑效率问题，成本过高实际上是不划算的，一般情况下只须对要害部位进行防御，处理重要问题即可。

新手沿用comodo自带的内容即可，以后再做修订。

●数字签名：盗用和假冒数字签名的事时有所闻，要追求高安全，这一项就尽量限制或不要使用。

可以在“计算机安全规则”的“信任软件供应商”名单里删除一些名单。

注意：在V5版本，如果删除了信任软件供应商，必须要关闭掉毛豆的云，否则还会加入这些名单，导致自定义的规则失效。

如何关闭云？如图设置：●可执行镜像控制设置：设置监控的可执行文件及控制级别，可以在可执行文件被加载到内存前实施拦截，也能拦截恶意程序读取缓存里面的内容。

刚开始时，控制级别和文件检查使用默认的即可。

打磨得差不多时再调高控制级别和添加文件检查项目。

注意：V5版本只能选择开启或禁用，不建议关闭。

●规则设置：规则强不强，安全不安全，好用不好用，最根本的因素，还是这个。

规则的防御思想，规则之间的逻辑关系及流程，规则的破绽及错误……所有这些都会影响规则的质量。

大致的轮廓就是这样，在我们制作规则和实施管理时，不要忘记了这些关系。

2楼：第二章：透过三种权限的实例来看对程序的授权双击一个程序运行它时，comodo弹出询问框，如果询问框上的“记住我的回答”是打勾的，comodo将依据用户的选择，自动在“计算机安全规则”里生成一条应用程序规则。

例如，当我双击桌面上资源搜索软件p2psearcher.exe的快捷图标，comodo弹窗询问，我选择允许后，comodo就自动生成了一条规则。

“Defense+规则”里双击这条规则，看到它的设置（授权）如下：上图显示，除了程序运行，其余的全部允许。

这样的授权，跟系统程序是一样的。

这样的权限合适吗？实际上，严格来说，这样的授权是不合适的，除了系统程序和安全软件（杀毒软件、防火墙、沙盘），一般的应用程序是不应该这样授权的。

想一想，如果浏览器之类的上网工具，也是这样的全部允许的权限，结果就是可以任意下载exe等可执行文件到任何地方，可以任意修改可执行文件，可以任意修改注册表，结果多恐怖！要是这样的程序被病毒感染或控制，突然发飙的话，后果不堪设想！——最简单的例子，比如它修改了QQ.exe，让QQ变成木马，又或者下载了一个自动运行的病毒放在磁盘根目录下，等我们双击磁盘时自动运行病毒……是不是所有程序都是这么授权的？当我双击桌面上的IE图标，运行IE浏览器，什么弹窗都没有，“计算机安全规则”里已经自动生成一条规则如下：上图可见，它限制了IE浏览器的RD和FD行为，不再允许无节制的进行任意的RD及FD操作了，相关操作要征询用户的意见了。