（原第三方规则）实用改进

KomeijiReimu

https://bbs.trustsing.com/forum. ... d=10&extra=page%3D1
这个里面居然也有我的规则

以sanhu35最后的规则为蓝本，仔细检查了一遍，以*包围命令行，以应对执行规则里面变形指令（比如加空格等），然后添加了更多情况

添加反stealer
增加更多文件关联，右键菜单与系统配置的注册表规则（比如电源计划、sessionmanager、首选语言等）
添加了一些规则以更好地辅助内置规则（感谢GDHJDSYDH的思路）

一切从简，拦截靠后。不能盲目把狩猎思路的sigma规则搬到Hips上来，否则会导致麻烦的误报。

注意阅读各种规则和规则组的说明（尤其是文件防窃取），比如更新的时候要关闭注册表防护> 持久化启动> 内核初始化规则（我的做法是更新系统的时候停止冰盾）

更新或安装软件的时候，必定会出发这里的文件规则中的修改程序重要文件，因此可以新建一个工作区，安装程序的时候切换到新的关闭此条规则的工作区后，再切换回来

kanglehao

感谢分享

赵世哲

谢谢楼主分享

suspiro

感谢分享