- Microsoft krepi varnost sistema Windows z dodajanjem zelo pomembnega pravila svojemu protivirusnemu programu.
- V Microsoft Defender se uvaja novo pravilo ASR, zasnovano pa je tako, da prepreči zlonamernim aplikacijam, da izvlečejo gesla, uporabljena v osebnem računalniku.
- Uvedba novega pravila ASR je del Microsoftovih prizadevanj za večjo varnost svojega operacijskega sistema, zlasti pred napadi zlonamerne programske opreme.
Če tečete Windows 11 ali najnovejšo različico Windows Server, lahko protivirusni program Microsoft Defender, ki je del operacijskega sistema, zdaj prepreči krajo vaših gesel.
Nova funkcija je bila uvedena s pravilom Antimalware Scan Interface (ASR), ki je niz pravil, ki jih uporablja Microsoft Defender za pregledovanje datotek in blokiranje zlonamerne programske opreme.
Pravilo uporablja strojno učenje za prepoznavanje zlonamernih procesov, ki ne potrebujejo dostopa do funkcij LSA v sistemu Windows, a vseeno poskušajo dostopati do njih.
Kako deluje LSASS
Podsistemska storitev lokalnega varnostnega organa (LSASS) je proces v sistemu Windows, ki obravnava prijave in drugo nalog, povezanih z varnostjo, tako da lahko zlonamerna programska oprema, ko ima dostop do funkcij LSA, ukrade poverilnice iz pomnilnika ali drugih metode iz
Varnostne funkcije sistema Windows.Microsoftov Credential Guard preverja pristnost uporabnikov, ki se prijavijo v računalnik, in ščiti sistem s komponento Defender. Težava pri tem je, da v vseh okoljih ne bo omogočen Credential Guard, saj ni združljiv z vsemi programi.
Datoteka pomnilnika, ki se ustvari, ko je napadalec vdrl v uporabnikov računalnik, lahko vsebuje uporabniško geslo in uporabniško ime. Ta datoteka je omogočena z uporabo Mimikatza, posebnega orodja, zasnovanega za ta namen.
Napadalci lahko uporabijo zakonit proces, ki obstaja v operacijskem sistemu, da dobijo popoln dostop do sistema in prenesejo izpise pomnilnika, ki vsebujejo poverilnice, na oddaljene lokacije.
Defender ne bo blokiral tega dejanja, ker je postopek legitimen in dejanje ni škodljivo. Defender zazna samo zlonamerno uporabo procesov in ne more preprečiti njihovega ustvarjanja ali prenosa.
Posodobitve programa Microsoft Defender
Microsoft je to varnostno težavo rešil z uvedbo novega varnostnega pravila, imenovanega Zmanjšanje površine napada (ASR).
To pravilo bo preprečilo, da bi programi odpirali LSASS, hkrati pa jim bo preprečilo tudi ustvarjanje pomnilnika. Blokira dostop do LSASS, tudi če poskuša program, ki ima povišane pravice, odpreti postopek.
Ker lahko LSASS odprejo samo programi s skrbniškimi pravicami, jim ta blok tudi preprečuje dostop do drugih zaščitenih procesov, ki se morda izvajajo v računalniku.
Pravilo blokira tudi sam zaščiteni proces, da ne odpre lastne slike, zaradi česar je nemogoče zajemati ali spreminjati podatke v zaščitenem pomnilniku.
Ta privzeta nastavitev povzroči, da je to pravilo ASR omogočeno, medtem ko vsa druga pravila, povezana z njim, ostanejo v privzetem stanju.
Prednosti in slabosti
Microsoft Defender uporablja sistem za odkrivanje, ki zazna tako znano kot neznano zlonamerno programsko opremo, vendar ni varen. Pisci zlonamerne programske opreme vedno iščejo nove načine za zaščito svoje zlonamerne programske opreme pred odkrivanjem.
Če pa v računalniku uporabljate protivirusno programsko opremo drugega proizvajalca, pravilo ASR ni na voljo. Pomanjkanje pravila ASR hekerjem omogoča, da zaobidejo omejitve Microsoft Defenderja in njegove izključitvene poti.
Število Raziskovalci varnosti Windows so že zaobšli pravilo ASR za Defender in izkoristili njegove izključitvene poti za dostop do datoteke Lsass.exe.
Poročilo omenja, da ker ima Defender že vzpostavljenih več izključitev – na primer dovoljuje določene administrativne uporabniki, da sprašujejo in odgovarjajo na zahteve ASR – to hekerjem omogoča, da ta pravila izkoristijo, medtem ko odkrivajo nove načine ciljanja računalniki.
To pomeni, da bodo samo uporabniki v različicah Enterprise in Pro sistema Windows 11 zaščiteni z izboljšanim pravilom ASR.
Vendar pa so varnostni raziskovalci pozdravili novo pravilo ASR. Ker je Windows nekoliko bolj varen, manj ko je ukradenih gesel, tem bolje, saj bodo vsi imeli koristi od tega.
Najnovejša različica Microsoft Defender, znan kot Microsoft Defender Preview, ponuja nadzorno ploščo, na kateri lahko upravljate varnost svojih naprav.
Ali je po vašem mnenju nova nadgradnja Microsoftovega defencerja obetavna v smislu varnosti Windows? Povejte nam svoje misli v spodnjem razdelku za komentarje.
