什麼是 SSM？

System Safety Monitor (SSM) 屬於主機入侵防禦系統 (HIPS)，不同於傳統防火牆專注網絡流量，或防毒軟件依賴特徵碼。SSM 在核心層監控進程行為：檔案/登錄表變更、DLL 注入、驅動程式載入、進程創建鏈、記憶體修改、自啟動項異動 等，實現「防患於未然」。

核心功能矩陣

功能模組	說明
進程執行控制	首次執行彈窗詢問，支援 CRC32/MD5 完整性校驗，防止檔案被竄改後仍自動放行
DLL 注入與鍵盤記錄攔截	封鎖 SetWindowsHookEx、CreateRemoteThread 等常見注入手法
驅動程式安裝監控	攔截 Rootkit 類核心模組載入
登錄表關鍵分支保護	Run/RunOnce、服務、BHO、Shell 等自啟動點異動即時報警
視窗標題黑名單	阻擋廣告彈窗、釣魚網頁標題
雙模式運作	管理員模式 (密碼保護設定) / 用戶模式 (唯讀)，適合家庭與企業部署
插件擴充架構	可外掛調試器、反病毒引擎，功能無限延伸

安裝與首次配置流程

1. 下載安裝 (支援 9x/NT/2000/XP/2003)，重啟系統。
2. 啟動 SSM，介面語言切換為繁體中文。
3. 「進程監控器」→ 右鍵「信任所有正在運行的進程」，為現有合法程序自動建立規則。
4. 「選項」→「日誌」啟用：程序啟動、全域鉤子、驅動載入、模塊載入、顯示日誌視窗。
5. 「規則」頁籤 → 下拉選單「啟動所有規則」→「套用設定」，防護正式生效。

實測場景

1. 未知程序攔截

執行未建立規則的程式 (如 IE)，彈窗顯示父進程 (Explorer.exe)、子進程路徑、參數、PID。可選「允許一次」、「阻擋一次」或「建立永久規則」。

2. USB Autorun 病毒攔截

插入帶有 autorun.inf 的 USB 裝置，SSM 攔截 wscript.exe 嘗試啟動惡意腳本，並記錄完整調用鏈，有效阻斷離線傳播途徑。

優缺點評析

優點	缺點
行為級防禦，無需特徵碼即可阻擋零日惡意碼	初期訓練期彈窗頻繁，需使用者具備基本判斷力
極低資源佔用 (~3-5 MB 記憶體)，無網絡延遲	不具備掃描清除已感染檔案能力，需搭配防毒軟件
免費版功能完整，開源社群活躍	進階規則編寫門檻較高，非專業人員易誤配置

部署建議

• 個人用戶：安裝後完成「信任現有進程」→ 啟用規則 → 僅在彈窗時判斷信任與否。
• 企業環境：以管理員模式統一下發預置規則 (含核心系統程序、辦公軟件白名單)，鎖定設定密碼，端點僅運行用戶模式。
• 務必搭配防毒軟件 (掃描靜態檔案) + 網絡防火牆 (封鎖惡意連線)，構建三層防禦體系。

結語

SSM 以「行為審計+主動攔截」重新定義了端點防護邊界。對於深受流氓軟件、無檔案惡意碼困擾的用戶，它是極具性價比的「最後一道防線」。