Поиск по сайту:

Как защитить Windows от вирусов и программ-вымогателей с помощью встроенных инструментов

В последние годы программы-вымогатели стали серьезной проблемой для отдельных пользователей или целых организаций. Cryptolocker — это тип программы-вымогателя, которая шифрует ценные файлы (документы, фотографии, изображения) на жестких дисках пользователей и отображает сообщение с требованием выкупа за восстановление данных.

В этой статье мы рассмотрим некоторые ключевые встроенные инструменты Windows и организационные приемы, которые могут помочь защитить ваш компьютер от программ-вымогателей и вирусов.

Включите базовые встроенные инструменты безопасности в Windows

Сначала убедитесь, что основные инструменты безопасности Windows включены и правильно настроены:

  • Убедитесь, что у вас установлен встроенный Защитник Windows или стороннее антивирусное программное обеспечение;

    Как использовать антивирусную программу Microsoft Defender на Windows Server?

  • Брандмауэр Защитника Windows должен быть включен;

  • Должна быть включена защита контроля учетных записей пользователей (UAC).

Среди организационных мер, которые вы можете предпринять для защиты вашего компьютера, мы рекомендуем следующие:

  • Регулярно устанавливайте обновления безопасности Windows;

  • Обновите сторонние приложения, установленные на вашем компьютере;

  • Пользователи не должны использовать учетные записи с правами локального администратора на своих компьютерах (ограничивайте список локальных администраторов с помощью объекта групповой политики или регулярно меняйте пароль локального администратора с помощью Windows LAPS);

  • Регулярно создавайте резервные копии важных данных (при резервном копировании всегда используйте правило 3-2-1).

Это основные советы, которые помогут снизить риск заражения и облегчить восстановление после программ-вымогателей. В следующих разделах мы рассмотрим другие инструменты безопасности, предназначенные для защиты от вирусов и программ-вымогателей.

Включение защиты от программ-вымогателей Microsoft Defender с контролируемым доступом к папкам

Во встроенном антивирусе Microsoft Defender доступна отдельная функция безопасности для защиты пользователей от вредоносного программного обеспечения. Контролируемый доступ к папкам (CFA) является частью Exploit Guard в Защитнике Windows и позиционируется как инструмент предотвращения программ-вымогателей.

Функция контролируемого доступа к папкам отслеживает изменения в защищенных папках. Если ненадежное приложение пытается изменить файлы в защищенных папках, оно блокируется, а пользователь уведомляется об этом.

В Windows 10/11 контролируемый доступ к папкам отключен по умолчанию. Откройте приложение «Безопасность Windows» -> «Защита от вирусов и потоков» -> «Управление защитой от программ-вымогателей».

Включите параметр Доступ к папке контроллера.

Как исправить Центр безопасности Windows не запускается?

По умолчанию контролируемый доступ к папкам защищает только папки по умолчанию в профиле пользователя («Документы», «Изображения», «Музыка», «Видео» и «Рабочий стол»). Чтобы добавить больше папок, нажмите «Защищенные папки» и добавьте новые пути.

Вы можете добавить доверенные приложения в разделе Разрешить приложению через папку.

Контролируемый доступ к папкам работает только в том случае, если включена антивирусная программа «Защитник Windows». Если установлен сторонний антивирус или отключена служба Защитника Windows, защита папок от программ-вымогателей работать не будет.

Вы также можете включить контролируемый доступ к папкам и добавить защищенные папки и доверенные приложения с помощью PowerShell:

Set-MpPreference -EnableControlledFolderAccess Enabled
Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\Share"
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files (x86)\Notepad++\notepad++.exe"

В домене Active Directory вы можете использовать объект групповой политики для включения и настройки защиты от программ-шантажистов с помощью CFA Microsoft Defender (Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Антивирусная программа Защитника Windows -> Exploit Guard в Защитнике Windows -> Контролируемый доступ к папкам).

Как заблокировать вирусы и программы-вымогатели с помощью политик ограничения программного обеспечения (AppLocker)?

В Windows имеется несколько встроенных механизмов для предотвращения запуска сторонних программ на компьютерах пользователей: Управление приложениями Защитника Windows (WDAC), AppLocker, Политики ограничения программного обеспечения (SRP) и т. д.

Политики ограничения программного обеспечения чаще всего используются в корпоративных средах. Эти политики позволяют создавать правила, которые разрешают запуск только определенных типов исполняемых файлов (программ).

Например, типичное правило SRP может выглядеть следующим образом:

  • Разрешить запуск любого исполняемого файла из указанных папок:

    %Windir%

    ,

    C:\Program Files

    ,

    C:\Program Files x86

  • Запретить выполнение любых других файлов.

Политики SRP настраиваются в следующем разделе GPO: Конфигурация компьютера -> Настройки Windows -> Настройки безопасности -> Политики ограничения программного обеспечения -> Дополнительные правила.

Перейдите в раздел Уровни безопасности, нажмите Запрещено и выберите Установить по умолчанию, чтобы перевести SRP в режим белого списка (запретить все, кроме того, что разрешено). .

Затем перейдите в раздел Дополнительные правила и создайте Новые правила пути.

По умолчанию политики SRP разрешают запуск исполняемых файлов из системных каталогов:

%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%

Кроме того, добавьте правила для следующих путей

%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\CommonFilesDir%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\CommonFilesDir (x86)%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\CommonW6432Dir%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir (x86)%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramW6432Dir%

Также укажите путь ко всем исполняемым файлам в других каталогах, запуск которых вы хотите разрешить.

Обновите настройки объекта групповой политики на компьютере.

Если вы теперь попытаетесь запустить исполняемый файл из другого каталога, вы получите сообщение об ошибке.

This app has been blocked by your system administrator.

Защитите общие папки от программ-вымогателей с помощью FSRM на Windows Server

Вы можете использовать Диспетчер ресурсов файлового сервера (FSRM) как один из элементов защиты от вирусов и программ-вымогателей на файловом сервере под управлением Windows Server. Вы можете заблокировать возможность создания на файловом сервере файлов с расширениями, отличными от разрешенных типов файлов.

Установите роль сервера с помощью PowerShell или из диспетчера серверов:

Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools

Идея защиты от программ-вымогателей в этом случае заключается в предварительном определении групп файлов, которые разрешено создавать в общей сетевой папке. В FSRM уже есть предопределенные группы файлов для разных типов файлов.

Создайте новую группу Все файлы и введите

*.*

в поле Файлы для включения.

Примените ограничение к общей папке (Файловые экраны -> Создать файловый экран). Укажите локальный путь к папке и выберите «Пользовательские свойства». Выбирать:

Screening type: Active
File Groups: All files

Вы можете настроить уведомления при создании запрещенных типов файлов с помощью вкладок Уведомление по электронной почте и Журнал событий.

Теперь создайте исключение для этого пути (Экраны файлов -> Создать исключения экрана файлов). Выберите типы файлов, которые разрешено хранить в общей сетевой папке.

Теперь FSRM будет блокировать создание любых файлов, кроме файлов с разрешенными расширениями.

Защита файлов от атак программ-вымогателей с помощью снимков VSS

Убедитесь, что на компьютерах пользователей включены теневые снимки VSS, чтобы минимизировать влияние атаки программы-вымогателя. Вы можете восстановить файлы в теневую копию VSS, если программа-вымогатель проникла на компьютер пользователя и зашифровала файлы.

Для этого необходимо:

  1. Включите службу теневого копирования томов (VSS) на всех компьютерах;

    Вы можете включить эту службу с помощью групповой политики. Откройте консоль GPMC.msc, перейдите -> Конфигурация компьютера->Настройки Windows->Настройки безопасности->Системная служба -> Теневое копирование тома, установите Автоматический запуск.

  2. Скопируйте файл vshadow.exe из Windows SDK в папку

    windir%\system32\

    каталог на компьютерах пользователей (Как использовать GPO для копирования файла на компьютеры пользователей?);

  3. Используйте объект групповой политики для развертывания задачи планировщика, которая периодически запускает сценарий PowerShell, создающий снимки для всех томов:

    $HDDs = GET-WMIOBJECT -query "SELECT * from win32_logicaldisk where DriveType = 3"
foreach ($HDD in $HDDs) {
$Drive = $HDD.DeviceID
$vssadminEnable ="vssadmin.exe Resize ShadowStorage /For=$Drive /On=$Drive /MaxSize=10%"
$vsscreatess = "vshadow.exe -p $Drive"
cmd /c  $vssadminEnable
cmd /c  $vsscreatess

    }

Если программа-вымогатель зашифровала все документы пользователя на жестком диске, вы сможете извлечь их из теневой копии:

  1. Список доступных снимков:

    vssadmin.exe list shadows

  2. Монтировать снапшот по ID:

    vshadow -el={6bd123ac-4a12-4123-8daa-fabfab777c2ab},Z:

С помощью инструментов безопасности, встроенных в Windows, вы можете значительно повысить уровень защиты вашего компьютера и ваших данных от вирусов и атак программ-вымогателей.

Статьи по данной тематике