Documentație scrisă din cod, nu din broșura de vânzări.

1. 1

   Preferă excluderi pe hash sau pe cale completă, nu pe nume de fișier. Un nume se poate refolosi; un SHA-256 nu.

2. 2

   Pentru un folder de build, exclude subfolderul de artefacte, nu rădăcina proiectului. Rădăcina conține și scripturi pe care chiar vrei să le vezi.

3. 3

   Excluderile pentru motorul de rețea nu se moștenesc de la cel de fișiere. Sunt liste separate, intenționat — un URL nu e un fișier.

4. 4

   Revizuiește lista o dată pe trimestru. O excludere uitată e mai periculoasă decât una pe care ți-o amintești.

1. 1

   La detecție, fișierul e mutat în data/quarantine/ și criptat cu o cheie derivată din SHA-256 al conținutului, IV aleator de 12 bytes și tag de 16 bytes.

2. 2

   Metadatele (cale originală, hash, detecții) rămân în SQLite. Fișierul original e șters de pe disc, nu doar redenumit.

3. 3

   Restaurarea verifică tag-ul GCM înainte de a scrie ceva. Dacă blob-ul a fost modificat, operația e refuzată, nu „aproape reușită”.

4. 4

   Formatul vechi DQ1 (XOR) rămâne suportat la citire, ca instalările mai vechi să nu rămână cu fișiere inaccesibile.

1. 1

   chokidar parcurge arborii din Downloads, Desktop și Documents la pornire. Evenimentele apar după această fereastră de 10–12 secunde.

2. 2

   Alege acțiunea la detecție: report (doar notifică în dashboard) sau quarantine (mută fișierul în carantină criptată). Report e mai puțin distructiv, quarantine e mai sigur pe endpoint-uri partajate.

3. 3

   Evenimentele curg prin SSE către dashboard, deci nu e nevoie să reîncarci pagina. Monitorul live arată starea conexiunii.

4. 4

   Fișierele din folderele urmărite sunt scanate cu deep: false. Dacă vrei analiză profundă pe un anumit fișier, pornește o scanare explicită pe el.

1. 1

   Plantează canary files în folderele care contează. Sunt fișiere inofensive pe care niciun proces legitim nu ar trebui să le atingă.

2. 2

   Verificarea rulează la fiecare 60 de secunde. Un canary modificat sau șters declanșează un eveniment, nu o reacție oarbă.

3. 3

   Pragul de 40 de scrieri în fereastra scurtă e semnalul de „burst”. Sub el, comportamentul e considerat normal.

4. 4

   Rollback-ul se face manual, din copiile pre-scriere. Nu suprascriem automat fișierele tale pe baza unei euristici — restaurarea e o decizie a ta.

Atenție: Ransomware guard nu înlocuiește un backup. Este o plasă pentru primele minute, nu o strategie de recuperare.

1. 1

   Începe cu strings, nu cu condiții complexe. Un needle rar și lung valorează mai mult decât trei condiții ingenioase.

2. 2

   Folosește wide pentru binar Windows și nocase doar unde producătorul chiar variază majusculele. nocase pe tot stringul lărgește mult potrivirile.

3. 3

   Adaugă filesize ca filtru de ieșire, nu ca filtru de intrare. Prefilter-ul decide deja ce fișiere ajung la regulă.

4. 4

   Testează regula pe un corpus care include fișiere legitime. O regulă care prinde eșantionul dar și trei instalere semnate e o regulă pierdută.

5. 5

   Setează meta.severity corect: critical sau high ridică scorul peste prag. O regulă „medium” nu poate produce singură un verdict malițios.

6. 6

   Ciornele generate de analistul AI nu se instalează automat, niciodată. Le citești, le testezi, apoi le pui pe disc.

1. 1

   SIEM-ul e dezactivat implicit. Îl pornești explicit, cu destinație, protocol și format — nu există trimitere „în fundal” fără să știi.

2. 2

   Coada e mărginită la 512 evenimente. Dacă destinația nu răspunde, pierzi evenimente vechi, nu memoria procesului.

3. 3

   Jurnalul de audit e append-only: nu se poate edita sau șterge din aplicație. Pentru conformitate, exportă-l periodic.

4. 4

   Rolurile sunt admin, analyst și viewer. Token-urile sunt stocate ca SHA-256, nu în clar, iar parolele folosesc scrypt cu salt.

1. 1

   Deschide %ProgramData%\Malnox\logs\setup.log. Dacă folderul nu există încă, încearcă %TEMP%\MalnoxSetup.log.

2. 2

   Caută în jurnal codul de eroare Windows. 1639 înseamnă linie de comandă invalidă; 1072 înseamnă serviciu marcat pentru ștergere; 5 înseamnă acces refuzat.

3. 3

   Dacă portul e ocupat, installer-ul îți spune numele și PID-ul procesului. Închide-l sau lasă installer-ul să aleagă alt port din 4711–4730.

4. 4

   Rulează din nou cu --silent --keep-payload ca să păstrezi arhiva extrasă pentru diagnostic.

1. 1

   Copiază MalnoxSetup.exe pe mașina țintă. Nu are nevoie de internet: runtime-ul, motoarele și regulile sunt în interior.

2. 2

   Generează fișierul de activare din dashboard, pe o mașină conectată, și importă-l local. Fișierul e valabil pentru un singur dispozitiv.

3. 3

   Pachetele de intel sunt semnate HMAC-SHA256, cu staging atomic și rename. Path traversal e respins explicit.

4. 4

   Actualizările de semnături se aduc ca fișiere și se importă local. Nu există „îmi ia semnăturile de pe server când poate”.

1. 1

   Politica GDPR are prag 3 potriviri; PCI-DSS validează numerele de card cu Luhn și marchează critical când trece; secretele au prag 70, HIPAA 62.

2. 2

   Documentele confidențiale sunt o categorie separată, dezactivată implicit. O pornești doar dacă știi ce înseamnă pentru volumul de zgomot.

3. 3

   Rezultatele apar în dashboard ca detecții, nu ca acțiuni automate. DLP local raportează, nu blochează fluxuri de business.

4. 4

   Nu există un serviciu de clasificare în cloud. Toate potrivirile se calculează pe fișierul local, cu motorul de reguli inclus.