Δοκίμασα τα Windows 11 25H2 ενάντια σε πραγματικό Ransomware – Δείτε τι συνέβη

Πώς ρυθμίστηκε η δοκιμή

Μια δοκιμή ransomware έναντι των Windows 11 είναι πραγματικά μια δοκιμή τεσσάρων ξεχωριστών επιπέδων, όχι ενός antivirus. Στο βίντεο, η δοκιμή εκτελείται στα Windows 11 25H2 μέσα σε ένα πλήρως απομονωμένο εργαστήριο, σε ένα μηχάνημα μιας χρήσης που σκουπίζεται στη συνέχεια - ο μόνος ασφαλής τρόπος που μπορεί να γίνει ποτέ μια τέτοια δοκιμή. Το ερώτημα που απαντάται δεν είναι απλώς "το έπιασε το antivirus;", αλλά πώς συμπεριφέρεται κάθε ενσωματωμένο επίπεδο, με τη σειρά, όταν ένας πραγματικός κρυπτογραφητής αφήνεται ελεύθερος.

Επίπεδο 1 - Η SmartScreen κρίνει το αρχείο στην πόρτα

Τα περισσότερα ransomware δεν φτάνουν δια μαγείας. Φτάνει ως λήψη, συνημμένο email ή αρχείο που αντιγράφεται από μια μονάδα USB - και συνήθως προσποιείται ότι είναι κάτι άλλο: ένα τιμολόγιο, ένα βιογραφικό, μια ρωγμή λογισμικού, ένας λογαριασμός. Το SmartScreen είναι το σημείο ελέγχου σε αυτήν την πόρτα. Όταν εκτελείτε ένα αρχείο που προέρχεται από το Διαδίκτυο, τα Windows ελέγχουν τη φήμη του. Ένα αρχείο που έχουν τρέξει εκατομμύρια υπολογιστές με ασφάλεια περνάει αθόρυβα. ένα ολοκαίνουργιο ή άγνωστο αρχείο ενεργοποιεί την μπλε οθόνη προειδοποίησης στην οποία κάνουν κλικ τόσοι πολλοί άνθρωποι χωρίς να το διαβάσουν.

Αυτή η προειδοποίηση δεν είναι διακόσμηση - είναι το επίπεδο που λειτουργεί ακριβώς όπως έχει σχεδιαστεί, λέγοντας ότι αυτό το αρχείο δεν έχει ιστορικό. Το ειλικρινές όριο: Το SmartScreen κρίνει τη φήμη και όχι τις προθέσεις. Ένα αρχείο που είναι νέο αλλά ακίνδυνο λαμβάνει προειδοποίηση και ένα αρχείο που έχει διαδοθεί ευρέως πριν το αναφέρει κάποιος μπορεί να περάσει. Είναι ένα ισχυρό πρώτο φίλτρο, όχι μια ετυμηγορία.

Επίπεδο 2 - Έλεγχοι φήμης και Cloud πίσω από τις σκηνές

Το Defender δεν βασίζεται μόνο στη βάση δεδομένων υπογραφών που είναι αποθηκευμένη στον υπολογιστή σας. Με ενεργοποιημένη την προστασία από σύννεφο, ένα ύποπτο αρχείο ελέγχεται επίσης με τη συνεχώς ενημερωμένη ευφυΐα cloud της Microsoft και η αυτόματη υποβολή δειγμάτων μπορεί να στείλει ένα αμφίβολο αρχείο για βαθύτερη ανάλυση. Αυτός είναι ο τρόπος με τον οποίο μια απειλή που εμφανίστηκε κάπου στον κόσμο πριν από μια ώρα μπορεί να αναγνωριστεί στον υπολογιστή σας σήμερα, αντί μετά την επόμενη ενημέρωση της βάσης δεδομένων.

Αυτές οι δύο εναλλαγές βρίσκονται στη διεύθυνση Windows Security > Προστασία από ιούς και απειλές > Ρυθμίσεις προστασίας από ιούς και απειλές > Διαχείριση ρυθμίσεων. Σε πολλούς υπολογιστές είναι ενεργοποιημένοι από προεπιλογή - αλλά σε υπολογιστές όπου κάποιος κάποτε «βελτιστοποίησε» τα Windows ή απενεργοποίησε τις λειτουργίες του Defender, είναι αθόρυβα απενεργοποιημένοι. Αυτή η μοναδική διαφορά εξηγεί γιατί η ίδια δοκιμή μπορεί να τελειώσει διαφορετικά σε δύο φαινομενικά πανομοιότυπες μηχανές.

Επίπεδο 3 - Συμπεριφορά ρολογιών Defender, όχι μόνο αρχεία

Η κλασική εργασία προστασίας από ιούς είναι η αντιστοίχιση αρχείων με γνωστές-κακές υπογραφές. Το ransomware κερδίζει αυτή τη δουλειά εύκολα, επειδή κάθε καμπάνια μπορεί να χρησιμοποιεί πρόσφατα συσκευασμένα αρχεία που κανείς δεν έχει δει στο παρελθόν. Έτσι, το Defender παρακολουθεί επίσης τη συμπεριφορά: ένα πρόγραμμα που ξεκινά ξαφνικά να ανοίγει και να ξαναγράφει εκατοντάδες έγγραφα, φωτογραφίες και υπολογιστικά φύλλα σε δευτερόλεπτα, συμπεριφέρεται σαν ransomware ό,τι λέει το όνομα του αρχείου του - και υπάρχει παρακολούθηση συμπεριφοράς και προστασία σε πραγματικό χρόνο για να διακόπτει ακριβώς αυτό το μοτίβο.

Η παρακολούθηση της συμπεριφοράς είναι ισχυρή αλλά όχι τέλεια. Χρειάζεται δραστηριότητα λίγων αρχείων προτού το μοτίβο είναι αναμφισβήτητο και ένας γρήγορος κρυπτογράφησης σε γρήγορο SSD είναι γρήγορος. Αυτός είναι ο ειλικρινής λόγος που κανένας ειλικρινής ειδικός δεν υπόσχεται ότι το antivirus από μόνο του σας κάνει ασφαλείς - και γιατί υπάρχει το επόμενο επίπεδο.

Επίπεδο 4 - Η πρόσβαση σε ελεγχόμενο φάκελο προστατεύει τα ίδια τα αρχεία

Η πρόσβαση σε ελεγχόμενο φάκελο αλλάζει την ερώτηση. Αντί να ρωτήσει "είναι κακό αυτό το πρόγραμμα;", ρωτά "είναι αυτό το πρόγραμμα στην επιτρεπόμενη λίστα για επαφή με τους σημαντικούς φακέλους σας;" Τα έγγραφα, οι εικόνες, τα βίντεο, η μουσική και η επιφάνεια εργασίας προστατεύονται από προεπιλογή και μπορείτε να προσθέσετε τους δικούς σας φακέλους εργασίας. Κάθε πρόγραμμα που δεν είναι αξιόπιστο και προσπαθεί να αλλάξει αρχεία σε αυτούς τους φακέλους είναι αποκλεισμένο - συμπεριλαμβανομένου ενός ολοκαίνουργιου κρυπτογραφητή που δεν έχουν δει ποτέ τα επίπεδα 1 έως 3.

Αυτή είναι η σύλληψη που καθορίζει τα περισσότερα αποτελέσματα του πραγματικού κόσμου: Η πρόσβαση σε ελεγχόμενο φάκελο είναι ΑΠΕΝΕΡΓΟΠΟΙΗΜΕΝΗ από προεπιλογή σε μια κανονική εγκατάσταση των Windows, επειδή μια υπερβολικά αυστηρή προστασία μπορεί περιστασιακά να αποκλείσει ένα νόμιμο πρόγραμμα. Το ενεργοποιείτε στο Windows Security > Προστασία από ιούς και απειλές > Προστασία ransomware > Διαχείριση προστασίας ransomware. Από όλες τις ρυθμίσεις σε αυτόν τον οδηγό, αυτή είναι αυτή που λείπει από τους περισσότερους οικιακούς υπολογιστές.

Προστασία από παραβίαση - The Guard on the Guards

Κάθε επίπεδο παραπάνω εξαρτάται από τη διατήρηση των ρυθμίσεών του. Το σύγχρονο κακόβουλο λογισμικό το γνωρίζει αυτό και μια από τις πρώτες του κινήσεις είναι συχνά η αθόρυβη απενεργοποίηση του Defender. Η Προστασία από παραβίαση υπάρχει για να σταματήσει ακριβώς αυτό: ενώ είναι ενεργοποιημένη, οι βασικές ρυθμίσεις του Defender δεν μπορούν να αλλάξουν από εφαρμογές ή σενάρια - μόνο από εσάς, στην εφαρμογή Ασφάλεια των Windows. Βρίσκεται στην ίδια σελίδα Διαχείριση ρυθμίσεων με την εναλλαγή του cloud στο Βήμα 3.

Σε μια δοκιμή - και σε ένα πραγματικό περιστατικό - αυτή είναι η διαφορά μεταξύ άμυνες που αντεπιτίθενται και άμυνες που αφαιρέθηκαν σιωπηλά πριν ξεκινήσει ο αγώνας. Ελέγξτε ότι είναι ενεργοποιημένο. χρειάζονται δέκα δευτερόλεπτα.

Το επίπεδο έξω από τα Windows - Το αντίγραφο ασφαλείας εκτός σύνδεσης

Κάθε επίπεδο παραπάνω προσπαθεί να σταματήσει την επίθεση. Το εφεδρικό επίπεδο υποθέτει ότι η επίθεση πέτυχε - και δεν έχει σημασία. Το ransomware δεν μπορεί να κρυπτογραφήσει ένα αντίγραφο στο οποίο δεν μπορεί να φτάσει, επομένως ένα αντίγραφο ασφαλείας πρέπει να βρίσκεται σε σημείο όπου ο μολυσμένος υπολογιστής δεν μπορεί να γράψει: μια εξωτερική μονάδα δίσκου που έχει αποσυνδεθεί μετά το αντίγραφο ασφαλείας ή αποθήκευση cloud με το σωστό ιστορικό εκδόσεων.

Η ετυμηγορία - μια λίστα ελέγχου, όχι μια βαθμολογία

Μια εργαστηριακή δοκιμή δείχνει πώς συμπεριφέρονται αυτά τα στρώματα έναντι των δειγμάτων που επιλέχθηκαν, εκείνη την ημέρα, με αυτές τις ρυθμίσεις. Δεν στέφει έναν νικητή για πάντα: οι επιτιθέμενοι αλλάζουν βαλίτσες και κόλπα συνεχώς, και η Microsoft ενημερώνει συνεχώς τις πληροφορίες. Τα Windows 11 25H2 συνεχίζουν το ίδιο πολυεπίπεδο μοντέλο αντί να το αντικαθιστά - η πρακτική διαφορά για τους περισσότερους χρήστες είναι η ενημερωμένη ευφυΐα και οι προεπιλογές, όχι μια ολοκαίνουργια ασπίδα.

Έτσι, η ειλικρινής λήψη από το τεστ είναι μια λίστα ελέγχου, όχι μια βαθμολογία. Λάβετε σωστά αυτά τα πέντε και έχετε αναπαράγει το ισχυρότερο μέρος οποιουδήποτε αποτελέσματος δοκιμής στον δικό σας υπολογιστή: (1) σεβαστείτε την προειδοποίηση SmartScreen, (2) προστασία από το cloud ενεργοποιημένη, (3) Προστασία από παραβίαση ενεργοποιημένη, (4) Ελεγχόμενη πρόσβαση φακέλου ενεργοποιημένη, ένα αντίγραφο ασφαλείας εκτός σύνδεσης. Παρακολουθήστε το πλήρες βίντεο παραπάνω για να δείτε την ίδια τη δοκιμή και, στη συνέχεια, εφαρμόστε τις ρυθμίσεις.