Tôi đã thử nghiệm Windows 11 25H2 chống lại ransomware thực sự – Đây là những gì đã xảy ra

Bài kiểm tra được thiết lập như thế nào

Thử nghiệm ransomware trên Windows 11 thực sự là thử nghiệm bốn lớp riêng biệt chứ không phải một lớp chống vi-rút. Trong video, thử nghiệm chạy trên Windows 11 25H2 bên trong một phòng thí nghiệm cách ly hoàn toàn, trên một máy dùng một lần và được xóa sạch sau đó - cách an toàn duy nhất mà thử nghiệm như vậy có thể được thực hiện. Câu hỏi đang được trả lời không chỉ đơn giản là "liệu phần mềm chống vi-rút có bắt được nó không?" mà là cách mỗi lớp tích hợp hoạt động theo thứ tự khi bộ mã hóa thực sự được thả lỏng.

Lớp 1 - SmartScreen đánh giá tệp ngay tại cửa

Hầu hết các ransomware đều không xuất hiện một cách kỳ diệu. Nó đến dưới dạng bản tải xuống, tệp đính kèm email hoặc tệp được sao chép từ ổ USB - và nó thường giả vờ là một thứ khác: hóa đơn, sơ yếu lý lịch, bản crack phần mềm, hóa đơn. SmartScreen là trạm kiểm soát ở cánh cửa đó. Khi bạn chạy một tệp đến từ internet, Windows sẽ kiểm tra danh tiếng của tệp đó. Một tập tin mà hàng triệu PC đã chạy một cách an toàn được truyền đi một cách lặng lẽ; một tệp hoàn toàn mới hoặc không xác định sẽ kích hoạt màn hình cảnh báo màu xanh khiến rất nhiều người nhấp vào mà không đọc.

Cảnh báo đó không phải là trang trí - đó là lớp hoạt động chính xác như thiết kế, cho bạn biết tệp này không có hồ sơ theo dõi. Giới hạn trung thực: SmartScreen đánh giá danh tiếng chứ không phải ý định. Một tệp mới nhưng vô hại sẽ được cảnh báo và một tệp đã lan truyền rộng rãi trước khi có người báo cáo có thể vượt qua. Đây là bộ lọc đầu tiên mạnh mẽ, không phải là bản án.

Lớp 2 - Hậu trường kiểm tra danh tiếng và đám mây

Defender không chỉ dựa vào cơ sở dữ liệu chữ ký được lưu trữ trên PC của bạn. Khi bật tính năng bảo vệ do đám mây cung cấp, một tệp đáng ngờ cũng được kiểm tra dựa trên thông tin đám mây được cập nhật liên tục của Microsoft và gửi mẫu tự động có thể gửi tệp đáng ngờ để phân tích sâu hơn. Đây là cách mà một mối đe dọa đã xuất hiện ở đâu đó trên thế giới một giờ trước có thể được nhận ra trên PC của bạn ngay hôm nay, thay vì sau lần cập nhật cơ sở dữ liệu tiếp theo.

Hai nút chuyển đổi này có tại Bảo mật Windows > Bảo vệ khỏi mối đe dọa và vi-rút > Cài đặt bảo vệ khỏi mối đe dọa và vi-rút > Quản lý cài đặt. Trên nhiều PC, chúng được bật theo mặc định - nhưng trên những PC mà ai đó đã từng "tối ưu hóa" Windows hoặc tắt các tính năng của Defender, chúng sẽ lặng lẽ tắt. Sự khác biệt duy nhất đó giải thích tại sao cùng một bài kiểm tra có thể kết thúc khác nhau trên hai máy có vẻ giống hệt nhau.

Lớp 3 - Defender theo dõi hành vi, không chỉ các tệp

Công việc chống vi-rút cổ điển là đối chiếu các tệp dựa trên các chữ ký xấu đã biết. Ransomware đánh bại công việc đó một cách dễ dàng vì mọi chiến dịch đều có thể sử dụng các tệp được đóng gói mới mà chưa ai từng thấy trước đây. Vì vậy, Defender cũng theo dõi hành vi: một chương trình đột nhiên bắt đầu mở và viết lại hàng trăm tài liệu, ảnh và bảng tính trong vài giây đang hoạt động giống như phần mềm ransomware bất kể tên tệp của nó nói gì - và việc giám sát hành vi cùng với tính năng bảo vệ theo thời gian thực tồn tại để làm gián đoạn chính xác kiểu đó.

Việc quan sát hành vi có tác dụng mạnh mẽ nhưng không hoàn hảo. Nó cần hoạt động có giá trị của một vài tệp trước khi không thể phủ nhận mẫu và bộ mã hóa nhanh trên ổ SSD nhanh sẽ nhanh chóng. Đây là lý do trung thực mà không có chuyên gia trung thực nào hứa hẹn rằng chỉ riêng phần mềm chống vi-rút sẽ giúp bạn an toàn - và tại sao lớp tiếp theo lại tồn tại.

Lớp 4 - Quyền truy cập thư mục được kiểm soát bảo vệ chính các tệp

Quyền truy cập thư mục được kiểm soát sẽ thay đổi câu hỏi. Thay vì hỏi "chương trình này có tệ không?", nó hỏi "chương trình này có nằm trong danh sách được phép chạm vào các thư mục quan trọng của bạn không?" Tài liệu, Hình ảnh, Video, Nhạc và Màn hình nền được bảo vệ theo mặc định và bạn có thể thêm các thư mục công việc của riêng mình. Bất kỳ chương trình nào không đáng tin cậy và cố gắng thay đổi tệp trong các thư mục đó đều bị chặn - bao gồm cả bộ mã hóa hoàn toàn mới mà lớp 1 đến lớp 3 chưa từng thấy.

Đây là điểm quyết định hầu hết các kết quả trong thế giới thực: Quyền truy cập thư mục được kiểm soát bị TẮT theo mặc định trên bản cài đặt Windows thông thường, vì trình bảo vệ quá nghiêm ngặt đôi khi có thể chặn một chương trình hợp pháp. Bạn bật tính năng này tại Bảo mật Windows > Bảo vệ khỏi mối đe dọa và vi rút > Bảo vệ khỏi phần mềm tống tiền > Quản lý bảo vệ khỏi phần mềm tống tiền. Trong tất cả các cài đặt trong hướng dẫn này, đây là cài đặt mà hầu hết các máy tính gia đình đều thiếu.

Bảo vệ chống giả mạo - Người bảo vệ

Mỗi lớp ở trên phụ thuộc vào cài đặt của nó được duy trì. Phần mềm độc hại hiện đại biết điều này và một trong những động thái đầu tiên của nó thường là tắt Defender một cách lặng lẽ. Tamper Protection tồn tại để ngăn chặn chính xác điều đó: khi tính năng này được bật, các ứng dụng hoặc tập lệnh không thể thay đổi cài đặt chính của Defender - chỉ bạn, trong ứng dụng Windows Security. Nó nằm trên cùng một trang Quản lý cài đặt khi đám mây chuyển đổi ở Bước 3.

Trong một cuộc thử nghiệm - và trong một sự cố thực sự - đây là sự khác biệt giữa các biện pháp phòng thủ chống trả và các biện pháp phòng thủ bị loại bỏ một cách âm thầm trước khi trận chiến bắt đầu. Kiểm tra xem nó đã bật chưa; phải mất mười giây.

Lớp bên ngoài Windows - Bản sao lưu ngoại tuyến của bạn

Mọi lớp phía trên đều cố gắng ngăn chặn cuộc tấn công. Lớp sao lưu giả định cuộc tấn công đã thành công - và khiến nó không thành vấn đề. Ransomware không thể mã hóa một bản sao mà nó không thể tiếp cận, do đó, một bản sao lưu phải nằm ở nơi mà PC bị nhiễm không thể ghi vào: ổ đĩa ngoài được rút phích cắm sau khi sao lưu hoặc bộ lưu trữ đám mây có lịch sử phiên bản phù hợp.

Phán quyết - Danh sách kiểm tra, không phải điểm số

Thử nghiệm trong phòng thí nghiệm cho thấy các lớp này hoạt động như thế nào so với các mẫu được chọn vào ngày hôm đó với các cài đặt đó. Nó không trao cho người chiến thắng mãi mãi: những kẻ tấn công liên tục thay đổi cách đóng gói và thủ thuật, còn Microsoft thì liên tục cập nhật thông tin tình báo. Windows 11 25H2 tiếp tục mô hình phân lớp tương tự thay vì thay thế nó - sự khác biệt thực tế đối với hầu hết người dùng là trí thông minh và mặc định cập nhật chứ không phải là tấm khiên hoàn toàn mới.

Vì vậy, kết quả trung thực rút ra từ bài kiểm tra là một danh sách kiểm tra chứ không phải điểm số. Thực hiện đúng năm điều này và bạn đã tái tạo phần mạnh nhất của bất kỳ kết quả kiểm tra nào trên PC của chính mình: (1) tôn trọng cảnh báo SmartScreen, (2) bật tính năng bảo vệ do đám mây phân phối, (3) Bật Bảo vệ giả mạo, (4) Đã bật quyền truy cập thư mục được kiểm soát, (5) một bản sao lưu được giữ ngoại tuyến. Hãy xem toàn bộ video ở trên để biết nội dung thử nghiệm, sau đó áp dụng cài đặt.