1. 关于咖啡的内存占用:
请看下面的图片附件, 我的系统是win2000 Server, SP4,
大家可以用 Process Explorer 看到咖啡的两个主要进程
(题外话: Process Explorer 是一个极好的任务管理器, 比系统自带的那个强多了, 进程间的关系一目了然, 强烈推荐)
Mcshield.exe 进程 (实时保护进程) 的 Working Set (工作集, 也就是 内存占用 ) 只有32M左右,
而且随时间变化最低会减少到8M上下,
Shstat.exe 进程 (系统托盘图标) 占用的内存更少, 仅在2.2M左右, 最小可在0.6M上下.
之所以说这些 是因为在某个帖子里看到有人说咖啡需要1G内存才玩得转,
其实没那么夸张, 我的内存256, 咖啡一样跑得很好.
2. 咖啡可以优化的进程:
如同卡饭的教程所述, 一般优化后可留下2个进程,
一个 Mcshield.exe, 做实时保护用,
一个 Shstat.exe, 用于在系统托盘中显示图标,(理论上来说其实也可以杀掉,但是不方便)
还有个进程 VsTskMgr.exe, 我觉得其实也可以保留,
尤其是初期需要做大量排除工作的时候, 保留这个进程启动咖啡的控制台可以少花点时间,
占用内存也不多, 在 800K~700K上下.
一般的来说,我只保留咖啡的这三个进程.
3. extra.dat的作用
原先一直觉得 extra.dat 没什么太多用处, 放在那只是心理安慰,
今天看看隔离管理器里发现以往认识有误: 里面有2个木马都是extra.dat抓到的.(见附件图片)
当然如果规则定义的好,相信木马一样也不能得逞,
所以如果对自己写的规则没信心, 勤快点手动更新 extra.dat 也算防患于未然.
4. 最后聊聊规则的排除,
我认为, 规则的排除应该用带绝对路径的进程名比较的可靠些,
(但是这样也有问题: 就是导出后的规则在别的机器上导入使用时, 也许要改动绝对路径, 通用性差了些, 真是鱼和熊掌啊, )
这里举个反例, 比如在某条规则中使用进程名 "procexp.exe" 排除了 Process Explorer 进程,
此时有个恶意程序或是病毒木马之类的把自己也改名也叫做 "procexp.exe", 那么这条规则对它而言也就形同虚设了.
就如小邪邪版主说的: 规则本身是严厉的, 但是因为有了排除进程, 也就有了风险, 排除的进程越多, 风险越大.
所以我们在自定义规则的时候, 排除进程的个数, 也是应该权衡一下的,
记得咖啡区里有个帖子, 有位卡饭说他把排除框填满了, 这样的规则风险应该很大, 算是一个极端了.
我们编写规则时应当避免这种情况.
题外话,不知坛子里面有没有人喜欢看美剧 CSI (犯罪现场调查) 的, 而且还是边吃饭边看, 如果有的话, 握个爪,
咱们的心理素质可不是盖的啊