Защита дисков от перезаписи с помощью UWF (Unified Write Filter) Windows 10
Виртуальные машины, несомненно, один из лучших способов избежать изменений на хост-системе. Использование, так называемых, снимков помогает восстановить предыдущую конфигурацию виртуальной машины, чтобы быстро отменить внесенные изменения.
Если вы не хотите использовать виртуальные машины или использовать новую «песочницу» Windows 10, полезно знать, что операционная система Microsoft предлагает «стандартную» функция под названием UWF (Унифицированный фильтр записи).
Это программный компонент, который активирует защиту от записи на жестких дисках и твердотельных накопителях: все попытки записи, сделанные, например, установленными приложениями пресекаются, но данные автоматически сохраняются в защищенной области. Когда машина перезагружается, вся информация, записанная на устройствах хранения при включенном UWF, автоматически удаляется.
UWF интегрирован не только в версии Windows 10 для предприятий и учебных заведений, но и в версию Pro операционной системы.
Перед использованием UWF, который следует понимать как программный компонент, предназначенный для профессионалов, разработчиков и тестировщиков, мы предлагаем провести тесты на тех компьютерах, которые не используются в рабочих целях.
Установите UWF, чтобы включить защиту от записи
Установить и настроить UWF на компьютере с Windows 10 довольно просто. Вы можете воспользоваться одним из трёх способов, предложенных ниже:
- Нажмите комбинацию клавиш Win + R , затем введите optionalfeatures и нажмите Enter .
Разверните раздел «Блокировка устройства», затем активируйте «Объединенный фильтр записи». Для запуска автоматической установки UWF и нажмите кнопку ОК .
Затем введите команду dism /online /enable-feature /FeatureName:client-DeviceLockdown /FeatureName:client-UnifiedWriteFilter
Как защитить от записи диск, содержащий Windows 10
На этом этапе – после установки UWF на компьютере с Windows 10 – можно защитить блок операционной системы от записи (предположим, что это C: ), но также возможно защитить и другие блоки, помеченные разными идентификационными буквами.
Для этого просто откройте командную строку или PowerShell с правами администратора, как показано выше, затем выберите место, где будет создаваться так называемый оверлей, т.е. область, в которой будут записывать изменения от приложений и операционной системы. Вы можете выбрать оперативную память или жесткий диск:
Чтобы использовать RAM, вам понадобится ПК с хорошим запасом энергозависимой памяти.
Следующая команда позволяет вам определить, сколько памяти (энергозависимой или энергонезависимой) выделить под оверлей:
Если вы выбрали диск, команда выделит 20 ГБ дискового пространства (или SSD) для временной записи изменений (значение 20480 получается из простого умножения 1024 МБ × 20).
Наконец, следующие команды позволяют вам получать предупреждение, когда пространство, предназначенное для оверлея начнёт переполняться:
Следует помнить, что когда весь оверлей заполнен, система он начнёт работать нестабильно или перезапустится.
Следующие команды являются необязательными и позволяют дополнительно активировать исключения или разрешить определенные операции записи в некоторых областях файловой системы и реестра (источник: документация Microsoft ):
Добавьте эти исключения в UWF:
- Исключения файлов
- C:«Файлы программы»-Windows Defender
- C:-ProgramData-Microsoft-Windows Defender
- C:-WindowsUpdate.log
- C: »Окна»Темп-MpCmdRun.log
- Исключения из реестра
- HKEY_LOCAL_MACHINE»-SOFTWARE-Microsoft-Windows Defender
- HKEY_LOCAL_MACHINE-SYSTEM-CurrentControlSet-Services-WdBoot
- HKEY_LOCAL_MACHINE-SYSTEM-CurrentControlSet-Services-WdFilter
- HKEY_LOCAL_MACHINE-SYSTEM-CurrentControlSet-Services-WdNisSvc
- HKEY_LOCAL_MACHINE-SYSTEM-CurrentControlSet-Services-WdNisDrv
- HKEY_LOCAL_MACHINE-SYSTEM-CurrentControlSet-Services-WinDefend
На данный момент, для того, чтобы активировать защиту от записи на диске C: системы Windows 10, просто введите следующие команды:
Чтобы прервать защиту от записи и применить «окончательные» изменения на компьютере, необходимо выполнить команду uwfmgr filter disable. После того, как требуемые действия были применены, вам придётся снова использовать команду uwfmgr filter enable из командной строки или окна PowerShell, открытого с правами администратора.
Конфигурация UWF проверяется в любое время с помощью команды get-config uwfmgr.
Наконец, стоит помнить, что в системах, защищенных UWF-защитой, для установки обновлений Microsoft через Центр обновления Windows необходимо использовать следующий синтаксис, а затем перезагрузить компьютер:
После перезагрузки обновления будут автоматически загружены и установлены, после чего система будет перезагружена снова.
Дополнительные сведения о параметрах, которые можно использовать с командой uwfmgr, доступны в этом документе поддержки Microsoft.
Как настроить Контролируемый доступ к папкам в Windows 10
Контролируемый доступ к папкам — новая функция безопасности Windows 10, представленная в Fall Creators Update. Она является частью Exploit Guard Защитника Windows.
Функция безопасности защищает файлы от несанкционированного доступа со стороны вредоносных программ. Microsoft позиционирует новую функцию как механизм защиты от троянов-шифровальщиков.
Для работы данной функции требуется Защитник Windows и активная защита реального времени. Впервые “Контролируемый доступ к папкам” представлен в Windows 10 версии 1709 (Fall Creators Update) и не является частью более старых версий операционной системы.
Системные администраторы и обычные пользователи могут управлять функцией “Контролируемый доступ к папкам” с помощью групповых политик, PowerShell или приложения Центр безопасности Защитника Windows.
Контролируемый доступ к папкам
Корпорация Майкрософт описывает функцию безопасности доступа к управляемым папкам следующим образом:
Все приложения (любой исполняемый файл, включая файлы .exe, .scr, .dll и другие) оцениваются антивирусной программой «Защитник Windows», которая определяет, является ли приложение вредоносным или безопасным. Если приложение признается вредоносным или подозрительным, ему будет запрещено вносить изменения в любые файлы во всех защищенных папках.
Это означает, что функция использует Защитник Windows для идентификации процесса в качестве злонамеренного. Если проверки Защитника Windows не распознают процесс как вредоносный или подозрительный, доступ к защищаемым файлам будет предоставлен.
Принцип работы данной функции отличается от других инструментов для защиты от программ-вымогателей, в частности Hitman Pro Kickstart, Bitdefender Anti-Ransomware, или WinPatrolWar. Последние используют более проактивный подход при защите важных файлов и папок.
Центр безопасности Защитника Windows
Пользователи Windows 10 могут включать и управлять “Контролируемым доступ к папкам” с помощью приложения Центр безопасности Защитника Windows.
- Используйте сочетание клавиша Windows + I для запуска приложения «Параметры».
- Перейдите в «Обновление и безопасность», затем выберите пункт «Защитник Windows» и нажмите кнопку Открыть Центр безопасности Защитника Windows.
- Выберите панель Защита от вирусов и угроз.
- На открывшейся странице выберите ссылку Параметры защиты от вирусов и других угроз.
- Убедитесь, что «Защита в режиме реального времени» включена.
- Активируйте переключатель Контролируемый доступ к папкам.
После активации функции станут доступны две новые ссылки: “Защищенные папки” и “Разрешить работу приложения через контролируемый доступ к файлам”.
Защищенные папки
Список защищенных папок отображается, когда вы нажмете по одноименной ссылке. По умолчанию Защитник Windows защищает некоторые папки:
- Пользователь (User): Документы, Изображения, Видео, Музыка, Рабочий стол и Избранное
- Общие (Public): Документы, Изображения, Видео, Музыка, Рабочий стол
Вы не можете удалить стандартные папки, но можете добавить любые другие папки для защиты.
Нажмите кнопку “Добавить защищенную папку”, затем выберите папку на локальной машине и добавьте ее в список защищенных папок.
Разрешить работу приложения через контролируемый доступ к файлам
Данная опция позволяет добавлять приложения в исключения, чтобы они могли взаимодействовать с защищенными папками и файлами. Белые списки будут полезны для ситуаций, когда приложения неправильно идентифицируются Защитником Windows (ложные срабатывания).
Просто нажмите кнопку “Добавление разрешенного приложения” на странице и выберите исполняемый файл из локальной системы, чтобы разрешить доступ к защищенным файлам и папкам.
Групповые политики
Вы можете настроить функцию “Контролируемый доступ к папкам” с помощью групповых политик.
Примечание: данный способ подходит для пользователей Windows 10 Pro. Пользователям Windows 10 Домашняя редактор групповых политик недоступен, но можно использовать сторонние решения.
- Нажмите клавишу Windows , введите gpedit.msc и выберите объект, предлагаемый службой поиска Windows.
- Перейдите в Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Антивирусная программа “Защитник Windows” > Exploit Guard в Защитнике Windows > Контролируемый доступ к папкам.
- Выберите политику “Настройка контролируемого доступа к папкам” и щелкните по ней дважды.
- Выберите опцию “Включено”.
Вы можете выбрать следующие режимы:
- Выкл (по умолчанию) — аналогично отключению. Контролируемый доступ к папкам будет неактивен.
- Блокировать — Контролируемый доступ к папкам будет активен и защитит объекты от несанкционированного доступа.
- Проверять — доступ будет разрешен, но каждое событие будет записано в журнал событий Windows.
Для настройки функции доступно две дополнительные политики:
- Настроить разрешенные приложения — включите данную политику, чтобы добавить приложения в список исключений.
- Настройка защищенных папок — включите данную политику, чтобы добавить папки для защиты.
PowerShell
Вы можете использовать PowerShell для настройки “Контролируемого доступа к папкам”.
- Нажмите клавишу Windows , введите PowerShell и, удерживая клавиши Ctrl + Shift , выберите объект PowerShell, предлагаемый службой поиска Windows. В результате будет запущена командная строка PowerShell с правами администратора.
- Чтобы изменить статус функции, запустите команду: Set-MpPreference -EnableControlledFolderAccess Enabled
Можно устанавливать три различных статуса: enabled, disabled или AuditMode.
Чтобы добавить папки в список защищенных папок, запустите команду: Add-MpPreference -ControlledFolderAccessProtectedFolders » «
Чтобы добавить приложение в список исключений, запустите команду: Add-MpPreference -ControlledFolderAccessAllowedApplications » «
События функции “Контролируемый доступ к папкам”
Система Windows создает записи в журнале событий при изменении настроек, а также при срабатывании событий в режимах “Проверить”и “Блокировать”.
- Загрузите Exploit Guard Evaluation Package с сайта Microsoft и извлеките его на локальную систему.
- Нажмите на клавишу Windows , введите Просмотр событий и выберите одноименный объект, предлагаемый службой поиска Windows.
- Выберите Действие > Импорт настраиваемого представления.
- Выберите извлеченный файл cfa-events-xml, чтобы добавить его как пользовательское представление.
- Нажмите ОК на следующем экране.
В пользовательском представлении отображаются следующие события:
- Event 1123 — события режима “Блокировать”
- Event 1124 — события режима “Проверить”
- Event 5007 — изменение настроек.
Как отключить Контроль учетных записей (UAC) в Windows 10?
Доброго времени суток, уважаемые читатели!
Контроль учётных записей — это системный компонент Windows, который впервые появился еще в Висте, пережил испытание временем, поскольку и в Windows 10 он также присутствует. Многим пользователям не нравилась высокая назойливость окошка с просьбой разрешить внесение изменений на компьютере при установке любой программы. Поэтому чаще всего пользователи спрашивают, как отключить Контроль учетных записей Windows или UAC. (Обновлено: 24 декабря 2017 г.)
Что такое UAC и зачем он нужен?
UAC (User Account Control) или Контроль учетных записей пользователей впервые появился в Vista и мигрировал оттуда во все последующие версии Windows. Его идея состоит в том, чтобы предотвращать несанкционированные изменения на компьютере без ведома пользователя. Разумеется, это сделано для повышения безопасности системы, уменьшения рисков заражения от вирусов. Это не панацея от всех бед, но включенный UAC устанавливает дополнительную линию обороны вашей системы и повышает защищенность, дополнительно ко всем остальным средствам защиты (антивирус, файерволл…)
Окошко уведомления выводится при попытке внесения изменений, которые требуют прав администратора, например, установка новой программы в Program Files. Если вы администратор то достаточно нажать Ок. Если у вас учетная запись обычного пользователя, то появится уведомление с предложением ввести пароль администратора для продолжения установки. Причем права администратора выдаются пользователю только на время установки программы, после завершения установки права отбираются.
Как отключить UAC?
Для доступа к окну настройки UAC, откуда этот контроль можно отключить, есть несколько путей. Опишу некоторые из них.
Первый — это просто совершить действие, которое вызовет уведомление. Например, запустить какую-либо программу-дистрибутив, скачанную недавно из интернета, даже если вы ее уже успели установить. Появится окно уведомления с запросом, где вам следует нажать на маленькую незаметную ссылку внизу справа под названием Настройка выдачи таких уведомлений.
Update 24-Dec-2017: если у вас выскакивает новое окошко, похожее на вот это:
то нажмите на Подробнее. Затем нажмите ссылку Настройка выдачи таких уведомлений.
Второй — поиск Windows. Нажмите на значок лупы справа от Пуска либо нажмите комбинацию клавиш Win+S. И в поиске снизу введите либо ‘uac‘ либо начните вводить ‘изменение параметров контроля…‘. Рекомендую именно первый вариант (uac), так как это гораздо быстрее и вы получите один точный результат. Сверху отобразится лучшее соответствие в виде пункта Изменение параметров контроля учетных записей. Нажмите его мышкой или клавишей Enter.
Еще один способ — контекстное меню Пуска. Нажмите правой кнопкой на кнопке Пуск и выберите Панель управления.
Update 24-Dec-2017: в новых версиях Windows 10 вы можете не найти пункта Панель управления, если решите попробовать этот вариант. Поэтому могу предложить альтернативу: откройте окно Выполнить (Win+R) и введите туда (а лучше скопируйте и вставьте) вот такую команду: UserAccountControlSettings.exe. (см. скриншот справа). Нажмите Enter и откроется окошко с параметрами UAC.
В панели управления измените режим просмотра на Крупные или мелкие значки и выберите пункт Учетные записи пользователей.
Затем нажмите ссылку Изменить параметры контроля учетных записей.
Update 24-Dec-2017: в свежих версиях Windows 10 вы можете не найти вышеописанные инструкции по старой Панели управления и загрустить. Вместо этого нажмите Win+I (откроются Параметры Windows). Чтобы вызвать Контроль учетных записей введите в поиске uac, нажмите стрелку вниз, чтобы выделить найденное и нажмите Enter. Ну или просто мышкой кликайте по результату;)
Когда мы добрались до настройки уведомлений, ползунок по умолчанию стоит на уровне 3. Переведите его в самое нижнее положение (никогда не уведомлять). Нажмите ОК.
Все, мы только что отключили UAC в Windows 10. И перезагрузки при этом не требуется, в отличие от Windows 7, например.
Как включить UAC обратно? Точно так же. Передвиньте ползунок на любой из трех уровней в настройках, кроме самого нижнего. Каждый из них будет означать включение UAC снова.
Если вы не против UAC, но затемнение рабочего стола при показе уведомления занимает много времени, попробуйте передвинуть ползунок на второе положение снизу:
А по каким причинам вы отключаете UAC на своем компьютере? Раздражает излишняя назойливость, частое появление? Поделитесь в комментариях.