Jeg testede Windows 11 25H2 mod ægte ransomware – her er hvad der skete

Sådan blev testen sat op

En ransomware-test mod Windows 11 er i virkeligheden en test af fire separate lag, ikke ét antivirus. I videoen kører testen på Windows 11 25H2 inde i et fuldt isoleret laboratorium, på en engangsmaskine, der tørres af bagefter - den eneste sikre måde, sådan en test nogensinde kan udføres på. Spørgsmålet, der besvares, er ikke blot "fangede antivirusprogrammet det?", men hvordan hvert indbyggede lag opfører sig, i rækkefølge, når en rigtig kryptering slippes løs.

Laag 1 - SmartScreen bedømmer filen ved døren

Det meste ransomware ankommer ikke ved et trylleslag. Det ankommer som en download, en vedhæftet fil i e-mail eller en fil, der er kopieret fra et USB-drev – og det foregiver som regel at være noget andet: en faktura, et CV, et softwareknæk, en regning. SmartScreen er kontrolpunktet ved den dør. Når du kører en fil, der kom fra internettet, kontrollerer Windows dens omdømme. En fil, som millioner af pc'er har kørt sikkert, passerer stille og roligt; en helt ny eller ukendt fil udløser den blå advarselsskærm, som så mange mennesker klikker igennem uden at læse.

Denne advarsel er ikke dekoration - det er laget, der fungerer nøjagtigt som designet, og fortæller dig, at denne fil ikke har nogen track record. Den ærlige grænse: SmartScreen bedømmer omdømme, ikke hensigter. En fil, der er ny, men harmløs, bliver advaret om, og en fil, der har spredt sig meget, før nogen har rapporteret den, kan passere. Det er et stærkt første filter, ikke en dom.

Laag 2 - Omdømme og skytjek bag kulisserne

Defender er ikke kun afhængig af signaturdatabasen, der er gemt på din pc. Med sky-leveret beskyttelse slået til, kontrolleres en mistænkelig fil også mod Microsofts konstant opdaterede cloud-intelligens, og automatisk prøveindsendelse kan sende en tvivlsom fil til en dybere analyse. Sådan kan en trussel, der dukkede op et sted i verden for en time siden, genkendes på din pc i dag i stedet for efter den næste databaseopdatering.

Disse to skifter live på Windows-sikkerhed > Virus- og trusselsbeskyttelse > Indstillinger for virus- og trusselsbeskyttelse > Administrer indstillinger. På mange pc'er er de tændt som standard - men på pc'er, hvor nogen engang har "optimeret" Windows eller deaktiveret Defender-funktioner, er de stille og roligt slukket. Den enkelte forskel forklarer, hvorfor den samme test kan ende forskelligt på to tilsyneladende identiske maskiner.

Laag 3 - Defender Watches adfærd, ikke kun filer

Det klassiske antivirusjob er at matche filer med kendte dårlige signaturer. Ransomware besejrer nemt det job, fordi hver kampagne kan bruge friskpakkede filer, som ingen har set før. Så Defender holder også øje med adfærd: et program, der pludselig begynder at åbne og omskrive hundredvis af dokumenter, fotos og regneark på få sekunder, opfører sig som løsepengeprogram, uanset hvad filnavnet siger - og adfærdsovervågning plus realtidsbeskyttelse findes for at afbryde præcis det mønster.

Adfærdsovervågning er kraftfuld, men ikke perfekt. Det kræver et par filers aktivitet, før mønsteret er ubestrideligt, og en hurtig kryptering på en hurtig SSD er hurtig. Dette er den ærlige grund til, at ingen ærlig ekspert lover, at antivirus alene gør dig sikker - og hvorfor det næste lag eksisterer.

Laag 4 - kontrolleret mappeadgang beskytter selv filerne

Kontrolleret mappeadgang ændrer spørgsmålet. I stedet for at spørge "er dette program dårligt?", spørger det "er dette program på den tilladte liste til at røre ved dine vigtige mapper?" Dokumenter, billeder, videoer, musik og skrivebord er beskyttet som standard, og du kan tilføje dine egne arbejdsmapper. Ethvert program, der ikke er tillid til og forsøger at ændre filer i disse mapper, er blokeret - inklusive en helt ny kryptering, som lag 1 til 3 aldrig har set.

Her er fangsten, der afgør de fleste resultater i den virkelige verden: Kontrolleret mappeadgang er FRA som standard på en normal Windows-installation, fordi en overstreng vagt af og til kan blokere et legitimt program. Du slår det til under Windows-sikkerhed > Virus- og trusselsbeskyttelse > Ransomware-beskyttelse > Administrer ransomware-beskyttelse. Af alle indstillingerne i denne vejledning er dette den, de fleste hjemme-pc'er mangler.

Sabotagebeskyttelse - vagten på vagterne

Hvert lag ovenfor afhænger af, at dets indstillinger forbliver på. Moderne malware ved dette, og et af dets første skridt er ofte stille og roligt at slukke for Defender. Sabotagebeskyttelse findes for at stoppe præcis det: Mens den er tændt, kan Defender's nøgleindstillinger ikke ændres af apps eller scripts - kun af dig i Windows Security-appen. Den sidder på den samme Administrer indstillinger-side, som skyen skifter til i trin 3.

I en test - og i en reel hændelse - er dette forskellen mellem forsvar, der kæmper tilbage, og forsvar, der lydløst blev fjernet, før kampen startede. Tjek at den er tændt; det tager ti sekunder.

Laget uden for Windows - Din offline backup

Hvert lag ovenfor forsøger at stoppe angrebet. Sikkerhedskopieringslaget antager, at angrebet lykkedes - og gør det ligegyldigt. Ransomware kan ikke kryptere en kopi, den ikke kan nå, så en sikkerhedskopi skal bo et sted, hvor den inficerede pc ikke kan skrive til: et eksternt drev, der er koblet fra efter sikkerhedskopieringen, eller cloud-lager med korrekt versionshistorik.

Dommen - en tjekliste, ikke et resultat

En laboratorietest viser, hvordan disse lag opfører sig i forhold til de valgte prøver den dag med disse indstillinger. Det kårer ikke en vinder for evigt: Angribere skifter konstant pakning og tricks, og Microsoft opdaterer intelligens konstant. Windows 11 25H2 fortsætter den samme lagdelte model i stedet for at erstatte den - den praktiske forskel for de fleste brugere er opdateret intelligens og standardindstillinger, ikke et helt nyt skjold.

Så den ærlige takeaway fra testen er en tjekliste, ikke en score. Få disse fem rigtige, og du har gengivet den stærkeste del af ethvert testresultat på din egen pc: (1) respekter SmartScreen-advarslen, (2) sky-leveret beskyttelse til, (3) Sabotagebeskyttelse aktiveret, (4) Kontrolleret mappeadgang aktiveret, (5) backup (5) Se hele videoen ovenfor for at se selve testen, og anvend derefter indstillingerne.