Defender: antywirus Windowsa. Ile jest wart i jak go skonfigurować? Część II

W poprzedniej części zajmowaliśmy się optymalizacją mniej znanych funkcji Defendera, celem uruchomienia takich cudów, jak obowiązkowe ASLR, wirtualizacja weryfikatora integralności sterowników trybu jądra, ochrona przed oprogramowaniem PUA oraz piaskownica dla przeglądarki internetowej. Są to kwestie wykraczające poza typową rolę antywirusa i raczej nieznane większości użytkowników. Czy Defender oferuje cokolwiek interesującego w swojej "klasycznej" roli programu AV?

Patrząc na Defendera jak na typowy program antywirusowy, dostrzeżemy że pod tym akurat względem nie wyróżnia się szczególnie względem pozostałych: oferuje bowiem usługę systemową i interfejs użytkownika dla skanera opartego o definicje (próbkowe i behawioralne) oraz heurystykę. Dostępne jest także wspomaganie chmurowe: gdy plik jest podejrzany lub nieznany, Defender automatycznie wysyła próbkę do chmury celem szerszej analizy. Czasami analiza na końcówce byłaby zbyt wymagająca i skończyłaby się degradacją wydajności sprzętu. Defender nie pcha jednak w chmurę wszystkiego (a przynajmniej nie domyślnie), muszą zajść odpowiednie przesłanki wstępne.

Pliki do chmury możemy też przesyłać samodzielnie. Pozwala się to czasem przekonać, że wspomaganie chmurowe naprawdę działa: w przypadku wielu makrowirusów i złośliwych dokumentów, wynik skanu lokalnego nie zwraca wyników, ale skan chmurowy (na który trzeba poczekać) już sygnalizuje zagrożenie. Na jego podstawie przygotowywane są definicje, by końcówki były odporne na wirusa bez konieczności łączenia z chmurą.

Kiedyś członkostwo w chmurze (zwanej MAPS) było opcjonalne i podzielone na różne poziomy zaangażowania. Dziś jest ono oparte o podejście tak/nie, jest domyślnie włączone i działa najskuteczniej, gdy włączone jest także automatyczne przesyłanie próbek. Narzędzie przesyłania próbuje określić, czy próbka zawiera jakieś dane wrażliwe. Możemy ustawić Defendera by zawsze przesyłał wszystkie próbki, ale jest to niewskazane i nieco utrudnione w powodu funkcji Ochrony przed naruszeniami, o której później.

Zapewne chmura Defender Cloud Protection budzi wątpliwości w kwestii prywatności, należy jednak mieć na uwadze, że wspomaganie chmurowe jest stosowane przez większość bardziej rozbudowanych, płatnych antywirusów oraz narzędzi do zautomatyzowanych kopii zapasowych. Nie jest to wymysł Microsoftu, a standard branżowy.

Skaner Defendera oferuje także dwie dedykowane funkcje do ochrony przed ransomware. Jeżeli program nie wykryje go za pomocą definicji (a jest to bardzo prawdopodobne w przypadku nowych zagrożeń), ochrona ta pozwoli ocalić pliki przed zaszyfrowaniem lub ułatwić ich przywrócenie.

Pierwsza funkcja jest dość zabawna: polega dosłownie na przekierowaniu użytkownika na stronę zakupu dodatkowej przestrzeni dyskowej OneDrive. Subskrypcja OneDrive lub Microsoft 365 dostarcza funkcję cofania: jeżeli dokumenty były trzymane na chmurowym dysku i coś je zaszyfrowało, możliwe będzie cofnięcie zmian i odrzucenie synchronizacji z zainfekowanym komputerem. Jest to dość zuchwała definicja ochrony, niemniej bez wątpienia działa. Trudno jednak uznać zakup oddzielnego narzędzia do kopii zapasowych za "funkcję antywirusa".

Druga opcja jest ciekawsza i przeciwieństwie do poprzedniej, naprawdę coś robi. Mowa o funkcji Kontrolowany Dostęp do Folderu. Domyślnie jest wyłączona z powodu kompatybilności. Działa w następujący sposób: jeżeli jakiś program usiłuje pisać po Pulpicie, Danych Aplikacji innych programów, Bibliotekach, Dokumentach i folderze OneDrive, Defender sprawdza czy znajduje się on na liście "znanych aplikacji".

Jeżeli nie, zapis nie powiedzie się. Można dodawać programy do listy "znanych" i może się to okazać potrzebne. Niektóre aplikacje podchodzą do praw zapisu dość swobodnie i tworzą dedykowane katalogi w Dokumentach podczas uruchomienia (nie instalacji). Mniej znane programy o takich zapędach zostaną zablokowane. Dlatego owa funkcja jest domyślnie wyłączona. Warto rozważyć jej włączenie: mało który program powinien "chcieć" modyfikować zapisane dokumenty na szerszą skalę.

W następnej części omówimy, w jaki sposób Defender broni się przed wyłączeniem i jaki problem usiłowano rozwiązać, utrudniając to do takiego stopnia.