LnrR#fF]Z
}c%QF
Vk@u|6U'
Mcafee（麦咖啡）与Norton（诺顿）、Kaspersky（卡巴斯基）并称为世界三大杀毒软件，是一款非常优秀的杀软。其监控能力和保护规则相当强大，是同类软件中最好的。是我非常推崇的一款杀软。 p24sWDf
Mcafee的精髓就在于规则设置。只要访问保护规则设置得好，几乎可以说是能够做倒百毒不侵。但它却是所有杀软中设置最为复杂，软件界面也不太符合我们的使用习惯的软件。不过由于它的异常优秀的防毒杀毒效果，却值得推荐。 Gzc{2"p
下面将逐步介绍McAfee VirusScan Enterprise 8.5i（最新的企业版本）的安装、使用、及规则设置。 SDDs}mV
&tHT6,Xv(
一、安装 ;:8_H0X'K
与其它软件的安装相似，双击安装包中的setup.exe可执行文件，一路下一步即可完成安装。其中有几点需要注意一下： c i_XcG
Pm7,Nq)<>n
a?M<r> n]6xrsE 图1
|Tf}8e
如（图1）所示，在这里“许可期限类型”可以选择使用期限，点击右侧倒三角型按钮，可以从下拉列表中进行选择“一年、二年或者永久”。在“请选择购买和使用的国家或地区”的下拉列表中可以选择所在国家。 n"(n*Hf7b
!gW$A-XD
%:YON,1b=7 S2;{)"mS 图2
4Y Xtl +G
可以选择典型安装或者自定义安装，典型安装默认进行所有功能组件的最大化安装。自宝义安装，可以选择安装相关的组件，如（图2）所示。两种安装方式都可以自定义安装目录。 K:46 5r:
{KdC5 1"Nv
C W7E2
^P$ q !EJs:AS 图3
% * oz~,i
如（图3）所示，安装过程到这一步的时候，可以选择按访问保护的级别，标准保护或者最大保护。在这里推荐选择标准保护，在软件安装成功后，访问保护规则仍然可以自行定义和修改的。 [o*u!2 r
HJ !)D~M{
>Y1?` bqs b (C 图4
8rGW G
该软件安装完成后，不需要重新启动电脑，即能使用。这是我第一个次碰到安装完成无需重启是杀毒软件，觉得这真是一个进步。之前的8.0i版本安装完成后需要重启。如（图4）所示，显示的是“VirusScan Enterprise 8.5i”。 LCyci1\@
h<Yn0(.
Y
H
2i V awHfd5nRS 图5
E,c ~.jYc
推荐安装与之配套的Anti-Spyware Enterprise 8.5i 反间谍插件。安装过程比较简单，双击安装包中的setup.exe一路点击“下一步”即可完成安装。成功安装其反间谍插件后，查看软件相关信息界面，如（图5）所示，已经显示为“VirusScan Enterprise ＋Anti-Spyware Enterprise 8.5i”。 .sbU-_ij@U
( |' w$
二、设置 <^~Xnstl
Mcafee的最大特点就是可以设置规则来防病毒（包括未知病毒）。 d#ya"e>
~9kvC&/{[
l
YH={jJ Gxi;h=J2)> 图6 vEtogkFA" K[~Wj8W0 
c`doR(oZ v
0rX/ mj 图7
Se0/ysVB
右击Mcafee屏幕右下角图标，选择“VirusScan控制台（图6），打开mcafee的控制台（图7）。 AU87cqq
g+ 2SB5 2D
1、访问保护 3C_g)5
_:
]3d&S5zU
<( BA ws(X B{)Du
:) 图8
X@~s IUXx9
右击“访问保护”，选择属性，打开访问保护属性对话框。如（图8）所示。从上至下共计八条。 ,l0s(Cg
M\`6H8aLn
⑴防间谍标准保护 }Ecm
规则里仅有一项内容，设置如（图8）所示，不建议勾选“阻止”和“报告”。其中“阻止”的意思就是对右边所定义的规则进行保护，“报告”的意思就是当有操作触犯了该规则的时候，进行记录到报告，以方便我们查询。如果启用了该规则，虽然保护了IE收藏夹和设置不被更改，但同时也造成了另一个问题：那就是在浏览器的收藏夹管理中将不可管理IE收藏夹（添加或者删除其中的网址）。当然，如果到IE收藏夹文件夹中进行操作，是可以删除收藏夹中的网址的，不过却无法添加新的网址。是为遗憾！曾使用编辑对其规则的排除进程进行添加操作，添加IEXPLORE.EXE，无法解决如上问题。因此不推荐启用该规则，同时使用傲游浏览器，其能够保护IE首页不被修改，在一定程度上保证IE的安全。 PU -~7h+$
ioa 1n=j
⑵防间谍最大保护、防病毒标准保护 #(
k T
zcxG%? Q
{< kl)} (qPZEZKx 图9
YDmFR,047
这两项中的所有规则建议全部启用阻止，并同时启用报告。注意：其中防间谍最大保护中的“禁止用有程序从Temp文件夹运行文件”（图9）可能会阻止一些正常程序的运行。 n"d T^
g
97 Q!Ro t
7XwFO0== @NyCMe; ] 图10
|J6CH87>
例如，启用该阻止规则后，photoshop cs2不能启动运行，提示错误。这个时候，就会发现mcafee在系统栏的图标与之前相比，多了一层红色的背景。这种状态表示它是在提示，有操作触犯了规则。那么由此判断是由于mcafee的规则阻止了软件的正常运行。这个时候，我们可以右击mcafee图标，如（图10）所示。发现多出了一项“打开访问保护日志文件”（可与图6做个比较），选择它，打开访问保护日志可以看到如下内容： w EkW=
*sw$OnV b
“2006-12-27 16:14:01 1092 CHINA-BCB1B2709\chenjian D:\Program Files\Adobe\Adobe Photoshop CS2\Photoshop.exe G:\temp\Adobelm_Cleanup.0001 防间谍程序最大保护：禁止所有程序从 Temp 文件夹运行文件” 3ea6g5kX
$Z;0/\r%
依次是触犯规则的时间、系统用户、触犯规则的程序、触犯规则的程序试图何种操作、哪一个规则阻挡了程序。由此可以看出，是“防间谍程序最大保护：禁止所有程序从 Temp 文件夹运行文件”这一规则阻挡了photoshop的正常运行。 r-!8in2
5q8bM.k\7N
M"V?fn' | 9(uiWf 图11
l$zM|Z1wR`
为了能够正常使用photoshop，我们可以编辑规则，对进程进行排除。首先选择“防间谍程序最大保护：禁止所有程序从 Temp 文件夹运行文件”规则（图9），点击下面的编辑。在规则详细信息对话框中的“要排除的进程”中添加“photoshop.exe”如（图11）所示，确定返回访问保护属性并点击应用。至此排除进程设置完成。再运行photoshop一切正常。 |#MA?oz3T
提示：若其它的正常程序不能启动或者运行不正常，可参考上面的方法查看日志，在相应阻挡规则的进程排除项中给以排除即可。启用了哪一个阻挡规则，就应该启用对应的报告。这样的好处是在碰到问题的时候，方便查看和排除。若是不启用报告，就算有操作触犯了规则，也不会生成报告，那么就无法进行查看和准确的排除了。 #|gt(p]C
m"xw5aa>
⑶防病毒最大保护 %+`$Lb?{
g y
&B"`
3g} ]nj:N W**a\[~$ 图12
s{4|eYR
设置如（图12）所示，“保护缓存文件免受密码和电子邮件地址窃贼的攻击”这一规则，如果启用，可能会造成傲游浏览器等程序运行变慢，可以排除项中排除相关进程。 N.vt5WP
KuL2X@)}
⑷防病毒爆发控制、通用标准保护 )7l+\t
]h3<r8D_#
=UE /GTbl FAkjFgUJp 图13
RY3ANEu+
这两项中的规则建议全部启用阻止。Mcafee具有自我保护功能，如（图13）所示，“禁止修改mcafee……”这三项即是。如果希望更改mcafee的设置，需要首先禁用这三项阻止规则，否则某些设置可能设置完成后无却无法保存，甚至无法卸载mcafee。 ,K'>s<}
i `U:uwW`
⑸通用最大保护
Ir'(GB
4=!SG4~o
Fr_es x o!!";q%DX 图14
booth}M
该项中的规则设置如（图14）所示。“禁止程序注册为服务”规则，如果启用，需要在排除项中排除相关进程。相当部分的程序需要将自己注册为服务才能正常使用，我没有设置启用。“禁止HTTP通讯”规则，如果启用，同样需要在排除项中排除相关进程，否则，将不能进行浏览网页等很多网络操作。 QFt7
L
最后一个用户自定义规则，是mcafee的高级设置，将在后面与mcafee的常用语法和通配符一同介绍。 k]?M^jrm
U
?'$E\
2、缓冲区溢出保护 jR-DH]@y
?|!167 /O
7.g)_W{7} LoZ8;VU 图15
HgL*/d
建议开启保护模式。右击缓冲溢出保护，选择属性，打开属性设置对话框设置如（图15）所示。不建议安装两个杀毒软件，如果安装两个杀毒软件，造成冲突，在排除项中排除另外一个杀毒软件的程序名，可能可以解决问题。 rK&ofc]f$
5c6CH k`:
3、电子邮件传递扫描程序 2_Me
4
右击选择属性，可以进行相关设置。该项使用默认设置即可。 b(&~f@% |
bSH lR#!6
4、有害程序策略 T{=.mW^ x
%4QCUc*l r
A6w/X`([O [{3WHS. 图16
xo{f "8}^
建议全部开启。我们还可以自定义检测项。如（图16）所示，选择“用户自定义检测项”选项卡，点击添加按钮。在弹出的用户自定义有害程序对话框中的文件名处，输入病毒或者是流氓软件的可执行程序名（例如：3721.exe），描述处添加描述即可。 E \!: MCL
#u+BjuZo
5、按访问扫描程序 D Jgk"'
2 =tPxO')B
2 c fzLW( 'qLk"
图17
/:dVW" A|
这个就是mcafee的实时监控了。打开属性，选择常规设置“常规”选项卡，去掉“关机过程中扫描软盘”前的勾，其它设置保持默认即可，如（图17）。 G\h8 j *o
%kD WUJ
Z
g9
2M\5
x9 b 0LjNO@< 图18
E=g D{1,?
选择所有进程“检测项”选项卡，如果你的电脑不在局域网中，请去掉“在网络驱动器”前的勾，如（图18）所示。 Bt,qG1>$-
YkPz ~;
@&+ h3dV.V En6fmEn&;o 图19
dG7sY
O@U
选择所有进程“高级”选项卡，可以去掉压缩文件栏里两个项目前的勾，如（图19）所示。因这里的设置的时实时监控，我认为没有必要启用这两项，同时可以节省些系统资源。我将在后面的按需扫描设置时再将之开启。 !::k\}DS
XP2=x_"y
9[T#uh!DC w0/W=!_ 图20
}r^MXv ~(
选择所有进程“操作”选项卡，如（图20）所示。这里可以设置发现威胁时的主要操作和辅助操作（即发现威胁时的第一操作，及第一操作失效后执行的第二辅助操作）。“有害程序”选项卡设置同理。 ^D4 b\mF
w5n>hz_5
6、隔离管理器策略 3}twWnQZJ
Kyl(
&u= FLp5 38'H-]8q" 图21
H~V=TEj
右击隔离管理器策略，打开属性，选择“策略”选项卡，如（图21）。在这里点击浏览，可以自定义设置病毒隔离文件夹的路径以及被隔离多久的文件将被删除。 7H >dv'
T3?kabbF
czZ-C +}% EvECA,! i 图22
qob!!A1 4p
选择“管理器”选项卡，可以对隔离器中选定的项目进行重新扫描、检查误报、删除、查看属性等操作。也可以一次选择多个项目。方法是首先选择一个，然后按住“CTRL”键再单击另外的项目。若是需要选择连续的多个项目，可以首先选择一个，然后按下“SHIFT”键不放，在最后一个项目上点击即可。 jcG4h/A
\@F{Q-
7、完全扫描、目标扫描 [X=eCHB?
{M
EU|9@
Y
}}x R?+4A Uis
P
8/k 图23
#,9 | Hr%
这两项都属于按需扫描。打开完全扫描属性对话框，选择“位置”选项卡，如（图23）。这里可以设置需要扫描的位置。 xAO ]u[J
7xcYM
lGz0K5P{ 0qZ)$ YKq 图24
INT2i8oU
选择“检测”选项卡如（图24）。因这里是按需扫描，请勾选压缩文件下两个项目前的勾。 .e dZ KmC6
@88 efF
,jWd?-NH IY:O? M 图25
yKI.TR#
“高级”选项卡设置如（图25）。在系统利用率那里可以拖动拉杆调节扫描时对系统资源的占用率，使其在扫描时不至于占用过多系统资源，导致其它程序运行变慢。 0_EF7`T
“操作”和“有害程序”这两个选项卡可以设置检测到威胁和有害程序时执行的主要操作和辅助操作。 [:'n+D=T3M
5HN<*u % z
Y P c< s*f.` A*) 图26
A] 9JbNV
“报告”选项卡，如（图26）。勾选记录到文件，即是记录到报告日志。点击浏览，可以设置报告日志的保存位置。勾选记录到文件的同时，应勾选限制日志文件大小，并设置一个数值。如不勾选，那么日志文件的大小将是没有限制。随着记录的日志内容越来越多，这个日志文件将会越来越大。（目标扫描与按访问扫描中的报告设置，与它是完全一样的。） ,LZ:y1z'V-
D3{lyi|8
j%;)CV
G" @45 H8|:k 图27 ][nUPl 0Q >|s_ 
S$52KOo ]F;]<_ 图28
?w/
nZQWi
按需扫描，我们是可以定制的。可以让它在我们设定的时间里执行扫描任务。如（图26），点击右侧的“计划”按钮，打开如（图27）对话框，勾选“启用”后点击“计划”选项卡，即可定制任务，如（图28）。 \ST vBI?
yQ{_\t 1Wd
8、AutoUpdata ~#_$? _/(
-_DiD^UcXn
,7j iHF E)wT+\ 图29 */dh_P<Yj +1jqCW 
JS?l?~ gc7:Rb^E5t 图30 ZX6=D>)u mRnzP[7-\) 
Doc'7P )7
"DR+;: 图31
xKLcd+h CZ
这个就是mcafee的升级设置。右击AutoUpdata选择属性，打开升级对话框如（图29）。点击“立即更新”按钮，mcafee将马上更新。这与右击mcafee屏幕右下角图标，选择立即更新是一样的。点击“计划”按钮，勾选“启用”（如图30），再点击“计划”选项卡，从运行任务的下拉列表中，可以定制自动更新的时间（如图31）。 _ KhEwd
lyH X#]
三、mcafee常用通配符及语法 grfd vN
:f
!=_^}
1、? ：表示单个的任意字符。例如，S??表示以S开头的三个字符。可以表示STX、SSY、SYS……而不能表示STMP、SU、SSSSS…… lp 0T\
%
2、 * ：当它做为通配符使用的时候，表示任意的多个字符。例如，ST*表示以ST开头的任意个字符。可以表示STMP、STK、STUUPO……S*.*表示以 S开头的所有文件。可以表示SETUP.EXE、SKY.REG、SYS.BMP……等等。同时它还具有另外一层含义，表示所有的操作（所有的进程）。 `_g?y)
3、**\*\** ：表示硬盘里的所有文件。 `ToRkk&&>{
4、System:Remote ：表示所有的远程操作控制。 [cL U *:
5、** ：表示在反斜杠（\）字符前后任意多个层级目录。例如，**\*.EXE表示本地所有的.EXE可执行文件，C:\WINDOWS\**表示C盘WINDOWS目录下的所有文件。 "G-0i KW;
6、那么C:\WINDOWS\**与C:\WINDOWS\有什么区别呢？这里需要特别注意一下。C:\WINDOWS\**表示的是C盘WINDOWS目录下的所有文件，包括子文件夹中的文件。而C:\WINDOWS\仅表示C盘WINDOWS目录中的文件，并不包括子目录中的文件。仔细想想即可明白。 CMxj X
$7gB&T.x
四、用户自定义规则设置 ND55`KT4
_Dcc<-.
这里的设置就是mcafee的精髓之所在，设置得好，几乎能够做到百毒不侵。对系统的了解程度越高，就能够设置得越详细，安全程度也就越高。 Th;gps%b
（注：以上通配符、语法的含义需要大家深刻理解，在下面要说的用户自定义规则中非常有用。） hA1gkEM2o
qJFgbq4-
w1"gl0ga$ 6PQ Jgki 图35 %M;_(jda 9? l?G GmQ 
Q&.IlVB[ 9OQ0Yc!3 图36
\\2k}TsB
打开mcafee控制台，右击“访问保护”选择属性，打开访问保护属性对话框。选择“用户自定义规则”并点击“新建”按钮，弹出选择新规则类型对话框（如图35），新建一个自定义规则。对话框中共有三种规则类型，选择第一个端口阻止规则，并确定，打开网络端口访问保护规则对话框。这里就是 mcafee简单的防火墙功能。可以对端口进行相应的设置。经扫描，发现自己系统的135端口是开放在，因此在这里设置一了个端口阻止规则来屏闭掉135 端口，设置如（图36）。在要包含的进程中输入*，表示所有的操作、进程均不能由网络或者本地访问135端口。 Dc&9emKI
&Xn8o
e
oXQ<
9t1( >Tl W]st 图37 Mg a@JA" )O2Nlk~l& 
!Ig|m+ .0Iun+nUD 图38 \i fK~? J8u{K.( *7 
N"Qg\PS _ W.#}q K"
q 图39
V- K L%
接下来新建一个阻止远程对本地文件进行操作的规则。“用户自定义规则——新建”，选择第二项“文件/文件夹阻止规则”并确定（图37）。打开文件/ 文件夹访问保护规则对话框，设置如（图38）。在要包含的进程中输入System:Remote代表了所有的远程操作。因有时候需要用到QQ的远程协助功能，因此在要排除进程中输入QQ.exe, CoralQQ.exe将QQ和珊瑚虫给以排除。要禁止的文件操作下的五项全部勾选。 T3USNc51
我们再来新建一个规则，禁止在WINDOWS目录中创建、修改、删除文件。“用户自定义规则——新建”，选择“文件/文件夹阻止规则”并确定（图37）。打开文件/文件夹访问保护规则对话框，设置如（图39）。在要包含的进程中输入*，代表任何的操作、所有的进程都不可以在WINDOWS目录中创建、修改、删除任何文件。而有些正常的程序需要对该目录中的文件进行操作才能正常运行，因此我们需要把这些正常的程序在要排除的进程中输入，给以排除（比如 updata.exe是mcafee的病毒库升级程序，它需要将新的病毒为写入C:\Program Files\Common Files\Mcafee\Engine目录，不排除它，mcafee将无法成功升级病毒库）。勾选正在创建的新文件和正在删除的文件并确定。 ~ON1Zw[+
注意：在该规则中，要禁止的文件操作中共有五项内容（图39），它们的含义大家需要理解。为了便于说明，在这里仅以各项最末处的字母来表示各项的内容（增加一项内容，重命名文件＝A）。 >lD; 0EN
G＝G＋I＋K，H＝H＋A，J＝J＋A =jg#fdM
-
比如我们创建了一个规则：禁止在G盘的“档案.doc”写入数据。那么，在要禁止的文件操作项中，不仅需要勾选“I”，同时还需要勾选“H”或者“J”中任意一个，才能达到保护的目的。否则，其他的操作者仍然可以把数据写入该文件。方法是，先对该文件进行重命名，重命名之后，就可以在文件中任意增加内容，然后再重命名把文件名改回来。 YSR mt/
最后一个类型是注册表阻止规则。由于本人对注册表不甚了解，在些略过。 KQ G-2oW
A}t
%;V2
9R9__w; "$X YIu T 图40
bGbqfO`
mcafee的访问保护规则异常强大，希望大家能通过上面的介绍，定制出适合于自己的强大规则来保护心爱的电脑。当然，在我们自定义规则的时候，可能并不知道所定义的规则会阻止了哪些正常程序的运行（不可能一次性排除所有的正常程序）。在过后正常程序运行受阻时（触犯规则），通过查看访问保护日志，就需要在相就的阻止规则中对该程序给以排除。还好，规则是可以随时编辑的。在访问保护属性对话框中选中相应的规则，点击“编辑”按钮（图40），即可打开该规则的详细信息，然后在要排除的进程中添加程序。 rRB~=J"
`/#f?Hk=
\+-
zRR0 8wr8:( Y$ 图41 tAF]2VV(e u* 2fP]n 
I%oRvg|q KU-'+k2s;p 图42
+b^ ]Pz5
如果定义了一条规则：禁止在D盘中安装程序。在防止别人将程序安装到D盘的同时，也阻止了自己将程序安装到D盘。那么我想安装程序到D盘的时候，怎么办呢？方法一，找到该规则，去掉规则前阻止那个勾。方法二，去掉访问保护属性对话框中“启用访问保护”前的勾（图40）。方法三，在控制台中，右击访问保护选择禁用（图41）。然后再安装程序即可。其中使用方法二和方法三，产生的作用是完全一样的，都是禁用访问保护规则。禁用访问保护后，mcafee屏幕右下角图标右键菜单中的“禁用按访问扫描”将被激活（图42）。 zh\ $t]d<I
U@'F%nHw
五、mcafee的进程和服务 Wm eK l
g+xw$A ou
mcafee8.5i安装完成后，共产生7个进程： ldGojnS
1、UpdaterUI.exe —— 自动升级进程 >{C\H.N
2、shstat.exe —— 系统栏里的图标进程 {CtR+4KD
3、frameworkservice.exe —— McAfee Framework Service服务（mcafee产品共享组件框架） >O#grDXb
4、naPrdMgr.exe —— McAfee Framework Service服务（mcafee产品共享组件框架） r3qf[?3`6
5、Vstskmgr.exe —— McAfee Task Manager服务（mcafee计划任务，包括计划扫描和计划升级） ib$nc2BP b
6、Mcshield.exe —— McAfee McShield服务（核心进程，为系统提供按访问扫描实时监控） & ze>X
7、Mctray.exe—— 描述为mcafee安全代理任务栏延长 2#
vv$YD
Mcafee8.5i安装完成后，生成三个服务： m} 3gZu]
1、McAfee McShield服务 uj r(K=E
mcafee的核心服务，为系统提供按访问扫描服务，即实时监控。 %g3
,qI
推荐设置：自动启动。 krB'9r<wa`
2、McAfee Framework Service服务 2&Jd f
这个是McAfee 产品的共享组件框架。 /KCPpER k{
设置：按情形自动或者手动 usFf MF X
注意：一定要启动这个服务才能升级病毒库。启动服务后，会连带启动些相关进程。为了节省资源，升级结束后可以在资源管理器中结束相关进程。如果设置为手动关闭的话，就不能够升级了。若想要升级，首先就得去操作系统的服务里手动启动它。 _:g&,2bc
相关进程：naPrdMgr.exe、frameworkservice.exe O(
z}H }Fv
3、McAfee Task Manager服务 ]y@F8$D!
推荐设置：手动关闭 _ [K"gu
这个是mcafee的计划扫描计划更新任务，如果需要计划扫描和自动升级，就打开它。在关闭它的情形下，实时监控和扫描病毒都不会受到任何影响，在需要升级的时候，右击任务栏图标，选择立即更新即可。在关闭它的情形下，控制台也会随之关闭。启动控制台，相关进程会随之启动。 !#2=\LUC
相关进程：Vstskmgr.exe ln!'_ \{
CZ<~3bEF
六、保存mcafee的规则文件 .w?(NZ2~
设置出一套适合于自己使用的强大规则，需要消耗掉相当的时间和精力。如果重新安装了系统，再安装mcafee的时候，再重新设置规则就显得相当的麻烦。难道就没有办法保存我们花了时间和精力去设置好的规则吗？ !v.9"!'
N
办法还是有的。运行——regedit打开注册表编辑器，找到［HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\VSCore\ On Access Scanner\BehaviourBIocking］项，在右边找到AccessProtectionUserRules。 G oM
ip8'u
里面的就是我们设置的自定义规则信息。选择该项，菜单命令“文件——导出”即可导出我们的自定义设置。如果要保存全部的规则设置，则导出 BehaviourBlocking整个子项。在重装mcafee后，只要双击导出的.reg文件，马上就可以将我们设置好的规则重新导入到mcafee 中。如果不能导入，请先禁用访问保护，再行导入。[ 此贴被睿智的熊在2007-12-19 02:35重新编辑 ]
