ฉันทดสอบ Windows 11 25H2 กับแรนซัมแวร์จริง – นี่คือสิ่งที่เกิดขึ้น

วิธีการตั้งค่าการทดสอบ

การทดสอบแรนซัมแวร์กับ Windows 11 จริงๆ แล้วเป็นการทดสอบสี่เลเยอร์ที่แยกจากกัน ไม่ใช่โปรแกรมป้องกันไวรัสตัวเดียว ในวิดีโอ การทดสอบทำงานบน Windows 11 25H2 ภายในห้องปฏิบัติการที่แยกจากกันโดยสิ้นเชิง บนเครื่องที่ใช้แล้วทิ้งซึ่งจะถูกเช็ดหลังจากนั้น - วิธีเดียวที่ปลอดภัยที่สามารถทำการทดสอบดังกล่าวได้ คำถามที่ได้รับคำตอบไม่ใช่แค่ "โปรแกรมป้องกันไวรัสจับได้หรือไม่" แต่ยังรวมถึงวิธีการทำงานแต่ละเลเยอร์ในตัวตามลำดับเมื่อปล่อยตัวเข้ารหัสจริง

เลเยอร์ 1 - SmartScreen ตัดสินไฟล์ที่ประตู

แรนซัมแวร์ส่วนใหญ่ไม่ได้มาด้วยเวทย์มนตร์ โดยจะมาในรูปแบบการดาวน์โหลด ไฟล์แนบในอีเมล หรือไฟล์ที่คัดลอกมาจากไดรฟ์ USB และมักจะปลอมแปลงเป็นอย่างอื่น เช่น ใบแจ้งหนี้ ประวัติย่อ ซอฟต์แวร์แคร็ก ใบเรียกเก็บเงิน SmartScreen คือจุดตรวจที่ประตูนั้น เมื่อคุณเรียกใช้ไฟล์ที่มาจากอินเทอร์เน็ต Windows จะตรวจสอบชื่อเสียงของไฟล์นั้น ไฟล์ที่พีซีหลายล้านเครื่องทำงานอย่างปลอดภัยส่งผ่านอย่างเงียบๆ ไฟล์ใหม่หรือไฟล์ที่ไม่รู้จักจะเรียกใช้หน้าจอคำเตือนสีน้ำเงินซึ่งมีผู้คนจำนวนมากคลิกผ่านโดยไม่ได้อ่าน

คำเตือนนั้นไม่ใช่การตกแต่ง แต่เป็นเลเยอร์ที่ทำงานตรงตามที่ออกแบบไว้ทุกประการ โดยบอกคุณว่าไฟล์นี้ไม่มีประวัติ ข้อจำกัดที่ตรงไปตรงมา: SmartScreen ตัดสินชื่อเสียง ไม่ใช่ความตั้งใจ ไฟล์ที่ใหม่แต่ไม่เป็นอันตรายจะได้รับคำเตือน และไฟล์ที่แพร่กระจายอย่างกว้างขวางก่อนที่จะมีใครรายงานว่ามันอาจผ่านไปได้ เป็นตัวกรองแรกที่แข็งแกร่ง ไม่ใช่คำตัดสิน

เลเยอร์ 2 - เบื้องหลังการตรวจสอบชื่อเสียงและคลาวด์

Defender ไม่เพียงพึ่งพาฐานข้อมูลลายเซ็นที่จัดเก็บไว้ในพีซีของคุณเท่านั้น เมื่อเปิดการป้องกันที่ส่งผ่านระบบคลาวด์ ไฟล์ที่น่าสงสัยจะถูกตรวจสอบโดยเทียบกับข่าวกรองระบบคลาวด์ที่อัปเดตอย่างต่อเนื่องของ Microsoft และการส่งตัวอย่างอัตโนมัติสามารถส่งไฟล์ที่น่าสงสัยเพื่อการวิเคราะห์เชิงลึกยิ่งขึ้น นี่คือวิธีที่ระบบสามารถจดจำภัยคุกคามที่ปรากฏที่ไหนสักแห่งในโลกเมื่อหนึ่งชั่วโมงก่อนบนพีซีของคุณในวันนี้ แทนที่จะตรวจพบหลังจากการอัพเดตฐานข้อมูลครั้งถัดไป

การสลับทั้งสองนี้ใช้งานได้ที่ ความปลอดภัยของ Windows > การป้องกันไวรัสและภัยคุกคาม > การตั้งค่าการป้องกันไวรัสและภัยคุกคาม > จัดการการตั้งค่า บนพีซีหลายเครื่อง พวกเขาจะเปิดใช้งานตามค่าเริ่มต้น - แต่บนพีซีที่ครั้งหนึ่งเคย "เพิ่มประสิทธิภาพ" Windows หรือปิดใช้งานคุณสมบัติ Defender พวกเขาจะปิดอย่างเงียบ ๆ ความแตกต่างเพียงประการเดียวนั้นอธิบายว่าทำไมการทดสอบเดียวกันถึงสิ้นสุดต่างกันในเครื่องสองเครื่องที่ดูเหมือนเหมือนกัน

เลเยอร์ 3 - Defender เฝ้าดูพฤติกรรม ไม่ใช่แค่ไฟล์

งานป้องกันไวรัสแบบคลาสสิกคือการจับคู่ไฟล์กับลายเซ็นที่ไม่ดี แรนซัมแวร์เอาชนะงานนั้นได้อย่างง่ายดาย เพราะทุกแคมเปญสามารถใช้ไฟล์ที่เพิ่งแพ็กใหม่ซึ่งไม่มีใครเคยเห็นมาก่อน ดังนั้น Defender ยังเฝ้าดูพฤติกรรม: โปรแกรมที่จู่ๆ ก็เริ่มเปิดและเขียนเอกสาร รูปภาพ และสเปรดชีตหลายร้อยรายการในไม่กี่วินาทีนั้น มีพฤติกรรมเหมือนกับแรนซัมแวร์ไม่ว่าชื่อไฟล์จะระบุไว้ก็ตาม - และมีการตรวจสอบพฤติกรรมพร้อมการป้องกันแบบเรียลไทม์เพื่อขัดขวางรูปแบบนั้น

การดูพฤติกรรมมีประสิทธิภาพแต่ไม่ได้สมบูรณ์แบบ มันต้องมีกิจกรรมที่คุ้มค่าก่อนที่จะปฏิเสธรูปแบบนั้นได้ และตัวเข้ารหัสที่รวดเร็วบน SSD ที่รวดเร็วนั้นก็รวดเร็ว นี่คือเหตุผลที่ตรงไปตรงมาไม่มีผู้เชี่ยวชาญคนใดสัญญาว่าแอนตี้ไวรัสเพียงอย่างเดียวจะทำให้คุณปลอดภัย - และเหตุใดจึงมีเลเยอร์ถัดไป

เลเยอร์ 4 - การเข้าถึงโฟลเดอร์ที่ควบคุมจะปกป้องไฟล์ด้วยตนเอง

การเข้าถึงโฟลเดอร์ที่มีการควบคุมเปลี่ยนคำถาม แทนที่จะถามว่า "โปรแกรมนี้แย่หรือเปล่า" กลับถามว่า "โปรแกรมนี้อยู่ในรายการที่อนุญาตให้แตะโฟลเดอร์สำคัญของคุณหรือไม่" เอกสาร รูปภาพ วิดีโอ เพลง และเดสก์ท็อปได้รับการป้องกันตามค่าเริ่มต้น และคุณสามารถเพิ่มโฟลเดอร์งานของคุณเองได้ โปรแกรมใดก็ตามที่ไม่น่าเชื่อถือและพยายามเปลี่ยนไฟล์ในโฟลเดอร์เหล่านั้นจะถูกบล็อก - รวมถึงตัวเข้ารหัสใหม่ล่าสุดที่เลเยอร์ 1 ถึง 3 ไม่เคยเห็นมาก่อน

นี่คือสิ่งที่จับได้ซึ่งตัดสินผลลัพธ์ในโลกแห่งความเป็นจริงส่วนใหญ่: การเข้าถึงโฟลเดอร์ที่ควบคุมจะถูกปิดโดยค่าเริ่มต้น ในการติดตั้ง Windows ปกติ เนื่องจากเจ้าหน้าที่รักษาความปลอดภัยที่เข้มงวดเกินไปสามารถบล็อกโปรแกรมที่ถูกต้องในบางครั้ง คุณเปิดใช้งานได้ที่ ความปลอดภัยของ Windows > การป้องกันไวรัสและภัยคุกคาม > การป้องกันแรนซัมแวร์ > จัดการการป้องกันแรนซัมแวร์ จากการตั้งค่าทั้งหมดในคู่มือนี้ นี่เป็นเครื่องพีซีที่ใช้ในบ้านส่วนใหญ่ที่ขาดหายไป

การป้องกันการงัดแงะ - ผู้พิทักษ์

ทุกเลเยอร์ด้านบนขึ้นอยู่กับการตั้งค่าที่เปิดอยู่ มัลแวร์ยุคใหม่รู้เรื่องนี้ดี และหนึ่งในการเคลื่อนไหวแรกๆ ของมันมักจะเป็นการปิด Defender อย่างเงียบๆ Tamper Protection มีอยู่เพื่อหยุดสิ่งนั้นอย่างแน่นอน: ในขณะที่เปิดอยู่ การตั้งค่าคีย์ของ Defender จะไม่สามารถเปลี่ยนแปลงได้โดยแอปหรือสคริปต์ - มีเพียงคุณเท่านั้นในแอป Windows Security โดยอยู่ในหน้าจัดการการตั้งค่าเดียวกันกับที่ระบบคลาวด์สลับไปมาในขั้นตอนที่ 3

ในการทดสอบ - และในเหตุการณ์จริง - นี่คือความแตกต่างระหว่างการป้องกันที่ต่อสู้กลับและการป้องกันที่ถูกถอดออกอย่างเงียบ ๆ ก่อนที่การต่อสู้จะเริ่มขึ้น ตรวจสอบว่าเปิดอยู่ ใช้เวลาสิบวินาที

เลเยอร์ภายนอก Windows - การสำรองข้อมูลออฟไลน์ของคุณ

ทุกเลเยอร์ด้านบนจะพยายามหยุดการโจมตี ชั้นข้อมูลสำรองจะถือว่าการโจมตีสำเร็จ - และทำให้ไม่สำคัญ แรนซัมแวร์ไม่สามารถเข้ารหัสสำเนาที่ไม่สามารถเข้าถึงได้ ดังนั้นสำเนาสำรองหนึ่งสำเนาจะต้องอยู่ในตำแหน่งที่พีซีที่ติดไวรัสไม่สามารถเขียนถึงได้: ไดรฟ์ภายนอกที่ถอดปลั๊กออกหลังการสำรองข้อมูล หรือที่เก็บข้อมูลบนคลาวด์ที่มีประวัติเวอร์ชันที่เหมาะสม

คำตัดสิน - รายการตรวจสอบ ไม่ใช่คะแนน

การทดสอบในห้องปฏิบัติการแสดงให้เห็นว่าเลเยอร์เหล่านี้ทำงานอย่างไรกับตัวอย่างที่เลือกในวันนั้นด้วยการตั้งค่าเหล่านั้น มันไม่ได้ครองตำแหน่งผู้ชนะตลอดไป: ผู้โจมตีเปลี่ยนแพ็กเก็ตและลูกเล่นอย่างต่อเนื่อง และ Microsoft อัปเดตข่าวกรองอย่างต่อเนื่อง Windows 11 25H2 ยังคงเป็นรุ่นที่มีเลเยอร์เดียวกันแทนที่จะแทนที่ - ความแตกต่างในทางปฏิบัติสำหรับผู้ใช้ส่วนใหญ่คือความชาญฉลาดและค่าเริ่มต้นที่ทันสมัย ไม่ใช่เกราะป้องกันใหม่ล่าสุด

ดังนั้น สิ่งสำคัญที่ได้รับจากแบบทดสอบจึงเป็นรายการตรวจสอบ ไม่ใช่คะแนน รับสิทธิ์ห้าประการนี้และคุณได้จำลองส่วนที่แข็งแกร่งที่สุดของผลการทดสอบใดๆ บนพีซีของคุณ: (1) เคารพคำเตือน SmartScreen, (2) เปิดการป้องกันที่ส่งผ่านคลาวด์, (3) เปิดการป้องกันการงัดแงะ, (4) เปิดใช้งานการเข้าถึงโฟลเดอร์ที่ควบคุม, (5) สำเนาสำรองหนึ่งชุดถูกเก็บไว้แบบออฟไลน์ ดูวิดีโอเต็มด้านบนเพื่อดูการทดสอบ จากนั้นใช้การตั้งค่า