По поводу отключения всего сразу через трей, может и стоит обратиться к разработчикам через Кирилла Керценбаума, хотя лично на мой взгляд, такая фрагментарная защита, когда пользователь то включает, то отключает защитные системы, ничуть не лучше, чем если бы она все время была отключена. Нортом тем и хорош, что позволяет отразить практически любые угрозы бызопасности превентивно. Но это только мое мнение, вы, естественно, можете считать иначе. Атаки распознаются по сигнатурам. Да, к сожалению, пользователь изменить сигнатуру по своему усмотрению (но, кажется, для этого надо быть все-таки специалистом), но если вы уверены, что это фолсы, вы можете в списке этих сигнатур отключить те, что по вашему мнению фолсят. Тогда никаких сообщений о них не будет, да и блокироваться они также не будут.