Kaip veikia „Windows Defender“ apsaugos nuo debesies funkcija „Blokuoti iš pirmo žvilgsnio“?

„Windows Defender“ arba „Microsoft“ apsaugos nuo kenkėjiškų programų platforma apsaugo namų kompiuterius, serverius ir internetines paslaugas, tokias kaip „Office 365“. Turėdamas daugybę grėsmių žvalgybos ir telemetrijos duomenų, „Defender“ debesies programa yra stulbinanti apsaugos nuo kenkėjiškų programų paslauga.

Kai gamtoje pasirodo nauja kenkėjiška programa, „Microsoft“ kovos su kenkėjiškomis programomis komanda (arba bet kuri kita antivirusinė ar kenkėjiška programa) gali užtrukti kelias valandas. įmonė) išanalizuoti, apgręžti ir atlikti failo susprogdinimą su kenkėjiška programa, kol jis gali išleisti parašą. atnaujinti. Ir, jau nekalbant apie QC, parašo atnaujinimas turi praeiti.

Kalbant apie apsaugą nuo kenkėjiškų programų, negalima paneigti fakto, kad parašu pagrįsta apsauga yra svarbiausia. Tačiau to nepakanka, nes tai ne visada gali padėti – ypač visiškai naujos ar nežinomos kenkėjiškos programos atveju. Remiantis „Microsoft“ ataskaita, kai pasirodo nauja kenkėjiška programa, 30% kompiuterių yra užkrėsti per pirmąsias keturias valandas. Parašo atnaujinimai paprastai ateina po kelių valandų.

Kita vertus, patikima „Windows Defender“ debesimis pagrįsta apsauga naudoja euristiką, mašininio mokymosi modelį ir atlieka išsamią analizę, kad nustatytų, ar failas yra kenkėjiška programa.

Pagal numatytuosius nustatymus įjungta „Windows Defender“ debesies apsauga arba „blokuoti iš pirmo žvilgsnio“ funkcija. Jei „Windows Defender“ išjungėte apsaugos nuo debesies parinktį dėl „privatumo“ problemų, geriau žiūrėkite „Windows Defender Engineering“ komandos demonstracinę versiją, kuri parodo, kokia efektyvi gali būti apsauga nuo debesies.

Įsitikinkite, kad įjungta apsauga nuo debesies „Blokuoti iš pirmo žvilgsnio“.

Spustelėkite Pradėti, Nustatymai. (Arba paspauskite WinKey + i)

Puslapyje „Nustatymai“ spustelėkite „Atnaujinti ir sauga“, tada „Windows Defender“.

Įsitikinti, kad Debesis pagrįsta apsauga ir Automatinis pavyzdžių pateikimas nustatymai įjungti.

Kai „Windows Defender“ nustatymuose įjungtos „Windows Defender“ apsaugos nuo debesies ir pavyzdžių pateikimo parinktys „Blokuoti iš pirmo žvilgsnio“, jei sistema aptinka įtartiną failą, kuris kitu atveju perduoda parašu pagrįstą aptikimą, „Defender“ siunčia įtartino failo metaduomenis į debesį backend. Atminkite, kad debesis ne visada prašo viso failo.

Debesų sistemos kompiuteriai analizuoja metaduomenis, naudodamiesi įvairia logika, URL reputacija ir telemetrijos duomenimis, kad nustatytų, ar failas yra kenkėjiška programa.

Pavyzdžiui, jei kenkėjiškos programos failo pavadinimas sutampa su pagrindinio „Windows“ modulio pavadinimu, debesies užpakalinė programa patikrina modulio skaitmeninį parašą. Jei jis nepasirašytas arba nepasirašytas „Microsoft“, o „klasifikacija“ yra kenkėjiška programa (pasitikėjimo lygis 85 %), debesis nustato, kad failas yra kenkėjiška programa.

„Klasifikavimo“ ir „pasitikėjimo“ vertinimai, kurie yra svarbiausia pagrindinės analizės dalis, gaunami naudojant mašininio mokymosi modelį.

Jei debesies užpakalinė programa nepateikia jokio sprendimo, ji prašo viso failo išsamiai analizei. Kol failas nebus įkeltas ir debesis nepatvirtins to paties gavimo, „Windows Defender“ užrakina failą ir neleidžia paleisti kliento. Tai pagrindinis pakeitimas, kurį „Windows Defender“ komanda padarė „Windows 10“ jubiliejaus naujinime (v1607).

Anksčiau buvo leista paleisti įtartiną failą, kol vyksta įkėlimas, sinchroniškai. Net nepasibaigus įkėlimui, kenkėjiška programa būtų baigusi veikti ir pati save sunaikintų.

Kalbant apie „Windows Defender Engineering“ komandos demonstracinę versiją, buvo aptarti du scenarijai. 1 scenarijuje debesies užpakalinė programa klasifikuoja failą kaip kenkėjišką programą, tik pagal metaduomenis. Įrenginys Nr. 1, kai apsauga iš debesies išjungta, užsikrečiama paleisdamas failą. 2 įrenginys su įjungta apsauga nuo debesies yra akimirksniu apsaugotas.

2 scenarijuje pirmasis vartotojas paleidžia nežinomą kenkėjišką programą. Debesis nepriėmė jokio sprendimo pagal metaduomenis, todėl visas failas buvo automatiškai pateiktas.

Pateikimo laikas buvo 19:48:59 val. – backend baigė automatinę analizę 19:49:01 val. (~ 2 sekundės nuo tada, kai įkėlimas pasiekė debesies vidinę programą) ir nustatė, kad failas yra kenkėjiška programa.

Nuo pat akimirkos „Windows Defender“ blokuos bet kokius būsimus to failo susidūrimus, taip apsaugodama milijonus kitų įrenginių, kuriuose įjungta „Windows Defender“ debesies apsauga.

„Microsoft“ taip pat turi bandymų svetainę pavadinimu „Windows Defender“ testavimo laukas kur galite patikrinti Defender apsaugos nuo debesies efektyvumą įkeldami pavyzdžius.

Nors antroji demonstracinė versija nepavyko dėl kai kurių debesies ryšio problemų, apskritai ji yra naudinga pristatymas, kuriame paaiškinama „Windows Defender“ „blokavimo iš pirmo žvilgsnio“ debesimi pagrįstos apsaugos svarba funkcija. Jei būtumėte išjungę šią funkciją, manau, dabar turėtumėte kitą mintį.

Nuorodos ir kreditai

Įgalinkite funkciją Blokuoti iš pirmo žvilgsnio, kad per kelias sekundes aptiktumėte kenkėjiškas programas
Naršykite „Windows Defender“ momentinę apsaugą | Microsoft Ignite 2016 | 9 kanalas