Вопрос или проблема
Я часто загружаю файлы либо с помощью браузера, либо через торрент. Несколько раз я сталкивался с атакой, когда скачанный файл назывался что-то вроде movie.mp4.lnk, и цель была установлена на выполнение скрипта PowerShell с помощью cmd.exe /c "powershell.exe -ExecutionPolicy Bypass ...". К счастью, я всегда замечал расширение перед его запуском, но мне может не всегда везти.
Я хотел бы настроить Windows (я использую Windows 10 Education), чтобы показывалось всплывающее окно с подтверждением всякий раз, когда я пытаюсь запустить любой потенциально вредоносный файл (exe, msi, cmd, bat и ps1 для начала) вне списка определенных папок. Я знаком с GPO и PowerShell и хотел бы избежать решений с использованием сторонних программ, если это возможно.
Я уже пытался настроить AppLocker, но
- он просто блокирует файл, что, как правило, не является моим намерением, так как я часто загружаю легитимные программы,
- по какой-то странной причине он позволяет .lnk файлам с целевыми скриптами.
Идеальный сценарий:
-
Я запускаю notepad.exe, расположенный в C:/Windows/System32, который занесен в белый список как системная папка, и он запускается без какого-либо подтверждения.
-
Я загружаю файл через торрент, названный
awesomeMovie.mp4.exe, в медиапапку, возможно, D:/Movies/Downloaded. После нажатия на него появляется диалоговое окно с подтверждением, и мне нужно явно нажатьДа, прежде чем программа запустится. Если файл был названawesomeMovie.mp4, он открывается в моем медиаплеере без всплывающего окна.
Вам придется осторожно подходить к тому, где вы загружаете и храните файлы, но может быть простое решение.
В вашей папке загрузок отредактируйте параметры безопасности (правый клик, Свойства, вкладка Безопасность, кнопка Дополнительно) и добавьте запрет на выполнение для всех. Сделайте то же самое для любых папок, где вы будете хранить эти файлы.
Медиафайлы только читаются, не исполняются – сам плеер исполняется, но он исполняется из своей папки установки.
Если вы загружаете легитимные исполняемые файлы, вам просто нужно переместить их в другую папку, где выполнение разрешено. Если вы предпочитаете AppLocker, он также должен уметь ограничивать выполнение на основе путей к каталогам.
Слово предостережения: любое из этих решений может не работать правильно или последовательно с *.lnk файлами, поскольку Windows, похоже, имеет какое-то странное, не задокументированное поведение с ними в некоторых случаях. Вам все равно нужно быть осторожным.
Ответ или решение
Для обеспечения безопасности при выполнении загруженных файлов в Windows 10 Education, вы можете воспользоваться несколькими методами, не прибегая к сторонним приложениям, а используя системные настройки и возможности, такие как управление правами доступа и создание правил через GPO (Group Policy Object).
Подход с использованием управления правами доступа (NTFS)
-
Создание папок для загрузок: Убедитесь, что у вас есть отдельные папки для загрузки файлов. Например, используйте
D:\Movies\Downloadedдля загрузок с торрентов и других источников. -
Настройка прав доступа:
- Щелкните правой кнопкой мыши на папке, куда вы загружаете файлы, и выберите «Свойства».
- Перейдите на вкладку «Безопасность» и нажмите на кнопку Дополнительно.
- Нажмите на кнопку Добавить, выберите «Выбор объекта» и добавьте Все.
- Установите Запретить для выполнения (Execute) и сохраните изменения. Это предотвратит выполнение любых исполняемых файлов (.exe, .msi, .cmd, .bat, и .ps1) в этой папке.
-
Перемещение доверенных файлов: Загружая легитимные приложений, перемещайте их в отдельную папку, где у вас будут разрешения на выполнение. Например, вы можете создать папку
D:\TrustedApps.
Создание правил с помощью GPO или PowerShell
Вы можете применять более сложные настройки через политику групп (GPO):
-
Настройка AppLocker:
- Если вы хотите контролировать доступ на уровне приложений, вы можете настроить AppLocker для определения путей к файлам. Однако с учетом проблем с .lnk-файлами, также убедитесь, что вы используете другие методы (например, ограничение на уровне NTFS).
-
Настройка PowerShell:
- Вы можете использовать PowerShell для создания скриптов, проверяющих загружаемые файлы, и формирования предупреждений. Это потребует углубленного программирования и тестирования, чтобы не мешать легитимным приложениям.
Обратите внимание:
- Помните, что .lnk файлы обрабатываются Windows несколько иначе, чем обычные исполняемые файлы, и могут вызвать проблемы, если вы только полагаетесь на стратегии управления доступом.
- Регулярно выполняйте обновления антивирусного программного обеспечения и проверяйте загружаемые файлы на наличие угроз перед их запуском.
Резюме
Эти шаги помогут вам создать безопасную среду для загрузки и выполнения файлов. Они требуют некоторого ручного вмешательства для перемещения доверенных файлов и мешают выполнению потенциально вредоносных программ в указанных папках. Также важно сохранять осторожность при загрузке и запуске новых файлов, даже если это не абсолютно защитит вас от всех угроз.