لقد قمت باختبار Windows 11 25H2 ضد Real Ransomware - وإليك ما حدث

كيف تم إعداد الاختبار

إن اختبار برامج الفدية ضد نظام التشغيل Windows 11 هو في الواقع اختبار لأربع طبقات منفصلة، وليس برنامج مكافحة فيروسات واحد. في الفيديو، يتم إجراء الاختبار على نظام التشغيل Windows 11 25H2 داخل معمل معزول تمامًا، على جهاز يمكن التخلص منه ويتم مسحه بعد ذلك - وهي الطريقة الآمنة الوحيدة التي يمكن بها إجراء مثل هذا الاختبار على الإطلاق. السؤال الذي تتم الإجابة عليه ليس ببساطة "هل اكتشفه برنامج مكافحة الفيروسات؟"، ولكن كيف تتصرف كل طبقة مدمجة، بالترتيب، عندما يتم إطلاق برنامج تشفير حقيقي.

الطبقة 1 - تقوم SmartScreen بالحكم على الملف عند الباب

لا تصل معظم برامج الفدية عن طريق السحر. يصل كتنزيل أو مرفق بريد إلكتروني أو ملف منسوخ من محرك أقراص USB - وعادةً ما يتظاهر بأنه شيء آخر: فاتورة، أو سيرة ذاتية، أو كسر برنامج، أو فاتورة. SmartScreen هي نقطة التفتيش عند هذا الباب. عندما تقوم بتشغيل ملف من الإنترنت، يقوم Windows بالتحقق من سمعته. يمر الملف الذي تم تشغيله بأمان على ملايين أجهزة الكمبيوتر الشخصية بهدوء؛ يؤدي ظهور ملف جديد أو غير معروف إلى ظهور شاشة تحذير زرقاء ينقر عليها الكثير من الأشخاص دون القراءة.

هذا التحذير ليس زخرفة - بل هو طبقة تعمل تمامًا كما تم تصميمها، وتخبرك أن هذا الملف ليس له سجل حافل. الحد الصادق: تحكم SmartScreen على السمعة، وليس النوايا. يتم التحذير بشأن ملف جديد ولكنه غير ضار، وقد يتم تمرير ملف انتشر على نطاق واسع قبل أن يبلغ عنه أي شخص. إنه مرشح أول قوي، وليس حكمًا.

الطبقة الثانية - فحص السمعة والسحابة خلف الكواليس

لا يعتمد Defender فقط على قاعدة بيانات التوقيع المخزنة على جهاز الكمبيوتر الخاص بك. من خلال تشغيل الحماية المقدمة من السحابة، يتم أيضًا فحص الملف المشبوه مقابل ذكاء السحابة الذي يتم تحديثه باستمرار من Microsoft، ويمكن أن يرسل الإرسال التلقائي للعينات ملفًا مشكوكًا فيه لإجراء تحليل أعمق. هذه هي الطريقة التي يمكن بها التعرف على التهديد الذي ظهر في مكان ما في العالم قبل ساعة على جهاز الكمبيوتر الخاص بك اليوم، بدلاً من بعد التحديث التالي لقاعدة البيانات.

يوجد مفتاحا التبديل هذين في أمن Windows > الحماية من الفيروسات والتهديدات > إعدادات الحماية من الفيروسات والتهديدات > إدارة الإعدادات. يتم تشغيلها بشكل افتراضي على العديد من أجهزة الكمبيوتر - ولكن على أجهزة الكمبيوتر التي قام شخص ما "بتحسين" Windows أو تعطيل ميزات Defender فيها، يتم إيقاف تشغيلها بهدوء. ويفسر هذا الاختلاف لماذا يمكن أن ينتهي الاختبار نفسه بشكل مختلف على جهازين متطابقين ظاهريًا.

الطبقة الثالثة - يراقب المدافع السلوك، وليس الملفات فقط

وظيفة مكافحة الفيروسات الكلاسيكية هي مطابقة الملفات مع التوقيعات السيئة المعروفة. تهزم برامج الفدية هذه المهمة بسهولة، لأن كل حملة يمكن أن تستخدم ملفات حديثة لم يشاهدها أحد من قبل. لذلك يقوم Defender أيضًا بمراقبة السلوك: البرنامج الذي يبدأ فجأة في فتح مئات المستندات والصور وجداول البيانات وإعادة كتابتها في ثوانٍ، يتصرف مثل برنامج الفدية مهما كان اسم الملف الخاص به - وتتوفر مراقبة السلوك بالإضافة إلى الحماية في الوقت الفعلي لمقاطعة هذا النمط بالضبط.

إن مراقبة السلوك أمر قوي ولكنه ليس مثاليًا. فهو يحتاج إلى نشاط عدد قليل من الملفات قبل أن يصبح النمط لا يمكن إنكاره، ويكون التشفير السريع على SSD سريعًا. وهذا هو السبب الصادق وراء عدم وعود أي خبير نزيه بأن برنامج مكافحة الفيروسات وحده يجعلك آمنًا - وسبب وجود الطبقة التالية.

الطبقة الرابعة - الوصول إلى المجلدات الخاضعة للتحكم يحمي الملفات نفسها

يغير التحكم في الوصول إلى المجلد السؤال. بدلاً من السؤال "هل هذا البرنامج سيء؟"، فإنه يسأل "هل هذا البرنامج مدرج في القائمة المسموح بها للمس مجلداتك المهمة؟" تتم حماية المستندات والصور ومقاطع الفيديو والموسيقى وسطح المكتب بشكل افتراضي، ويمكنك إضافة مجلدات العمل الخاصة بك. يتم حظر أي برنامج غير موثوق به ويحاول تغيير الملفات الموجودة في تلك المجلدات - بما في ذلك برنامج التشفير الجديد تمامًا الذي لم يسبق له مثيل من خلال الطبقات من 1 إلى 3.

هذه هي المشكلة التي تحدد معظم نتائج العالم الحقيقي: يتم إيقاف الوصول إلى المجلدات التي يتم التحكم فيها بشكل افتراضي عند التثبيت العادي لنظام التشغيل Windows، نظرًا لأن الحراسة المفرطة في الصرامة يمكنها أحيانًا حظر برنامج شرعي. يمكنك تشغيله على أمن Windows > الحماية من الفيروسات والتهديدات > الحماية من برامج الفدية > إدارة الحماية من برامج الفدية. من بين جميع الإعدادات الواردة في هذا الدليل، هذا هو الإعداد الذي تفتقده معظم أجهزة الكمبيوتر المنزلية.

الحماية من العبث - الحراسة على الحراس

تعتمد كل طبقة أعلاه على بقاء إعداداتها قيد التشغيل. تعرف البرامج الضارة الحديثة هذا الأمر، وغالبًا ما تكون إحدى خطواتها الأولى هي إيقاف تشغيل Defender بهدوء. توجد الحماية من العبث لإيقاف ذلك تمامًا: أثناء تشغيلها، لا يمكن تغيير إعدادات مفتاح Defender بواسطة التطبيقات أو البرامج النصية - بواسطتك فقط، في تطبيق Windows Security. وهو موجود في نفس صفحة إدارة الإعدادات حيث يتم تبديل السحابة في الخطوة 3.

في الاختبار - وفي الحادثة الحقيقية - هذا هو الفرق بين الدفاعات التي تقاوم والدفاعات التي تمت إزالتها بصمت قبل بدء القتال. تأكد من تشغيله؛ يستغرق الأمر عشر ثوان.

الطبقة خارج Windows - النسخ الاحتياطي دون اتصال بالإنترنت

تحاول كل طبقة أعلاه إيقاف الهجوم. تفترض الطبقة الاحتياطية أن الهجوم نجح، وتجعل الأمر غير مهم. لا يمكن لبرنامج الفدية تشفير نسخة لا يمكنه الوصول إليها، لذلك يجب أن تكون هناك نسخة احتياطية واحدة في مكان لا يستطيع الكمبيوتر المصاب الكتابة إليه: محرك أقراص خارجي يتم فصله بعد النسخ الاحتياطي، أو وحدة تخزين سحابية مع سجل الإصدارات المناسب.

الحكم - قائمة مرجعية، وليس نتيجة

يوضح الاختبار المعملي كيفية تصرف هذه الطبقات مقابل العينات المختارة، في ذلك اليوم، بهذه الإعدادات. إنه لا يتوج فائزًا إلى الأبد: فالمهاجمون يغيرون التعبئة والحيل باستمرار، وتقوم Microsoft بتحديث المعلومات الاستخباراتية باستمرار. يستمر Windows 11 25H2 في نفس النموذج متعدد الطبقات بدلاً من استبداله - والفرق العملي بالنسبة لمعظم المستخدمين هو الذكاء المحدث والإعدادات الافتراضية، وليس درعًا جديدًا تمامًا.

لذا فالخلاصة الصادقة من الاختبار هي قائمة مرجعية، وليس نتيجة. احصل على هذه الخمس بشكل صحيح وتكون قد قمت بإعادة إنتاج أقوى جزء من أي نتيجة اختبار على جهاز الكمبيوتر الخاص بك: (1) احترام تحذير SmartScreen، (2) تشغيل الحماية السحابية، (3) تشغيل الحماية من العبث، (4) تمكين الوصول إلى المجلدات الخاضعة للتحكم، (5) الاحتفاظ بنسخة احتياطية واحدة دون الاتصال بالإنترنت. شاهد الفيديو كاملاً أعلاه لمشاهدة الاختبار نفسه، ثم قم بتطبيق الإعدادات.