我针对真正的勒索软件测试了 Windows 11 25H2 – 发生了什么

如何设置测试

针对 Windows 11 的勒索软件测试实际上是对四个独立层的测试，而不是对一个防病毒软件的测试。在视频中，测试在完全隔离的实验室内的 Windows 11 25H2 上运行，在一次性机器上运行，然后进行擦除——这是进行此类测试的唯一安全方法。要回答的问题不仅仅是“防病毒软件捕获到它了吗？”，而是当真正的加密器被释放时，每个内置层如何按顺序表现。

第 1 层 - SmartScreen 判断门口的文件

大多数勒索软件并不是凭空而来。它以下载、电子邮件附件或从 USB 驱动器复制的文件的形式出现，并且通常伪装成其他东西：发票、简历、软件破解、账单。 SmartScreen 就是那扇门的检查站。当您运行来自 Internet 的文件时，Windows 会检查其信誉。数百万台电脑安全运行的文件悄然通过；全新或未知的文件会触发蓝色警告屏幕，很多人都会点击而不阅读。

该警告不是装饰 - 它是完全按照设计工作的层，告诉您该文件没有跟踪记录。诚实的限制：SmartScreen 判断的是声誉，而不是意图。新的但无害的文件会受到警告，而在有人报告之前已广泛传播的文件可能会通过。这是一个强有力的第一过滤器，而不是一个结论。

第 2 层 - 声誉和幕后云检查

Defender 不仅仅依赖于您 PC 上存储的签名数据库。启用云提供的保护后，还会根据 Microsoft 不断更新的云情报检查可疑文件，并且自动样本提交可以发送可疑文件以进行更深入的分析。这样，一小时前出现在世界某个地方的威胁今天就可以在您的 PC 上识别出来，而不是在下一次数据库更新之后识别。

这两个开关位于Windows 安全 > 病毒和威胁防护 > 病毒和威胁防护设置 > 管理设置。在许多 PC 上，它们默认处于打开状态 - 但在有人曾经“优化”Windows 或禁用 Defender 功能的 PC 上，它们会悄悄关闭。这个单一的差异解释了为什么相同的测试在两台看似相同的机器上会以不同的方式结束。

第 3 层 - Defender 监视行为，而不仅仅是文件

经典的防病毒工作是将文件与已知的错误签名进行匹配。勒索软件很容易击败这项工作，因为每个活动都可以使用以前没有人见过的新打包文件。因此，Defender 还会监视行为：一个在几秒钟内突然开始打开和重写数百个文档、照片和电子表格的程序，无论其文件名称如何，其行为都像勒索软件 - 行为监控和实时保护的存在可以准确地中断这种模式。

行为观察很强大，但并不完美。在该模式变得不可否认之前，需要几个文件的活动价值，并且快速 SSD 上的快速加密器速度很快。这就是没有诚实的专家承诺仅靠防病毒软件就能保证您安全的诚实原因 - 也是为什么存在下一层的原因。

第 4 层 - 受控文件夹访问保护文件本身

受控文件夹访问改变了问题。它不会问“这个程序是坏的吗？”，而是问“这个程序是否在允许访问您的重要文件夹的列表中？”默认情况下，文档、图片、视频、音乐和桌面受到保护，您可以添加自己的工作文件夹。任何不受信任并尝试更改这些文件夹中的文件的程序都会被阻止 - 包括第 1 层到第 3 层从未见过的全新加密器。

这里是决定大多数现实世界结果的问题：在正常的 Windows 安装中，受控文件夹访问默认处于关闭状态，因为过于严格的防护有时会阻止合法程序。您可以在Windows 安全 > 病毒和威胁防护 > 勒索软件防护 > 管理勒索软件防护 中将其打开。在本指南中的所有设置中，这是大多数家庭电脑所缺少的一项。

篡改保护 - 守卫中的守卫

上面的每一层都取决于其保留的设置。现代恶意软件知道这一点，它的第一个动作通常是悄悄关闭 Defender。 篡改保护的存在就是为了阻止这种情况：当它打开时，Defender的关键设置不能由应用程序或脚本更改 - 只能由您在Windows安全应用程序中更改。它位于与第 3 步中云切换相同的管理设置页面上。

在测试中以及在真实事件中，这就是反击防御与战斗开始前悄然移除的防御之间的区别。检查它是否已打开；需要十秒钟。

Windows 之外的层 - 您的离线备份

上面的每一层都试图阻止攻击。备份层假设攻击成功，并使其变得无关紧要。勒索软件无法加密它无法访问的副本，因此备份副本必须位于受感染电脑无法写入的位置：备份后拔下的外部驱动器，或具有正确版本历史记录的云存储。

结论 - 清单，而不是分数

实验室测试显示了这些层在当天使用这些设置时针对所选样本的表现。它不会永远成为胜利者：攻击者不断改变包装和技巧，微软不断更新情报。 Windows 11 25H2 延续了相同的分层模型，而不是取代它 - 对于大多数用户来说，实际的区别是最新的智能和默认设置，而不是全新的防护罩。

因此，测试中诚实的收获是一份清单，而不是分数。正确执行这五点，您就可以在自己的 PC 上重现任何测试结果中最强的部分：(1) 遵守 SmartScreen 警告、(2) 启用云提供的保护、(3) 启用防篡改、(4) 启用受控文件夹访问、(5) 一份备份副本保持脱机状态。观看上面的完整视频以查看测试本身，然后应用设置。