Что такое Secure Boot для Windows 11, включить безопасную загрузку в BIOS

Что такое secure boot или безопасная загрузка

Использование Secure Boot защищает систему от внедрения вредоносного кода в загружаемые компоненты операционных систем. Такое внедрение, например, использовалось вирусом-вымогателем Petya, который распространялся в 2022 году. Также Secure Boot может использоваться для ограничения списка ОС, которые могут запускаться на компьютере.

На данный момент Secure Boot поддерживается такими операционными системами как Windows 8, Windows 10 и Windows 11, а также некоторыми дистрибутивами Linux, например, Fedora, openSUSE, RHEL, CentOS, Debian и Ubuntu.

В еще не выпущенной Windows 11 протокол Secure Boot является обязательным условием и указан в системных требованиях. Хотя, с помощью небольших ухищрений текущие сборки Windows 11 можно установить без TPM и Secure Boot.

Основные способы защиты от вирусов

Я решил разделить способы защиты от вирусов и угроз безопасности на основные – обязательные для каждого, и дополнительные – по желанию пользователя. В этом разделе мы рассмотрим основные способы защиты, а в следующем поговорим о дополнительных.

Современные вирусы представляют собой высокотехнологичные программы с комплексом маскировки и самозащиты, которые сложно обнаружить и обезвредить. Поэтому для защиты от них также нужно использовать комплексные меры. Это антивирусная программа, перекрытие всех возможных способов проникновения вирусов и следование принципам безопасности при работе на компьютере. Все это не так сложно, достаточно один раз хорошо настроить компьютер и не нарушать определенные правила.

Пути проникновения вирусов

Вирусы могут проникать на компьютер несколькими путями – с зараженной флешки, CD/DVD-диска, из интернета и локальной компьютерной сети. При этом могут использоваться различные уязвимости в операционной системе, программах, социальная инженерия и фишинг.

Флешки

Многие вирусы распространяются с помощью файлов на флешках и внешних дисках. Достаточно вставить флешку в зараженный компьютер и вирус сразу же окажется на ней. Затем при вставке флешки в здоровый компьютер вирус переносится на него. После этого вновь зараженный компьютер начинает заражать другие флешки.

CD/DVD-диски

Вирусы могут переноситься через CD/DVD-диски. Это могут быть как зараженные файлы пользователя, так и вирусы проникшие через программу записи дисков.

Интернет

В интернете множество зараженных файлов и программ, после их скачивания и открытия компьютер заражается вирусом. Кроме этого на современных сайтах для повышения интерактивности используются скрипты и другие технологии на основе программного кода. Злоумышленники создают скрипты, предназначенные для распространения вирусов.

Локальная сеть

Если один из компьютеров, объединенных в локальную сеть с другими компьютерами, окажется зараженным, то вирусы с него могут передаваться на другие компьютеры через общедоступные папки или при помощи сетевых атак. Если у вашего провайдера кроме услуги интернета есть еще и локальная сеть, то интенсивность сетевых атак и вероятность заражения будет высокой.

Уязвимости в системе

На компьютеры пользователей постоянно производятся сетевые атаки, которые возможны как из локальной сети, так и из интернета. Они используют различные уязвимости в операционной системе, сетевых службах и драйверах. На компьютер пользователя посылаются специальные сетевые пакеты, которые приводят к сбоям в работе программных компонентов с целью перехватить над ними контроль.

Уязвимости в программах

Вирусы также могут проникать на компьютер через различные уязвимости в программах. Это могут быть как сетевые атаки на программы использующие интернет, так и различные зараженные файлы. Например, вредоносный код может быть внедрен в файл Word, Excel, PDF или в любой другой. При открытии зараженного файла происходит перехват контроля над программой и дальнейшее внедрение вируса в систему.

Социальная инженерия

Многие вирусы распространяются с помощью электронной почты и интернет-сайтов путем убеждения пользователя в том, что он получит что-то полезное, ценное или интересное, если откроет определенный файл или перейдет на какой-то сайт. Если пользователь этому поверит и осуществит предлагаемое действие, то его компьютер будет заражен вирусом.

Также пользователям отправляются электронные письма, сообщения в соцсетях, скайпе, SMS и даже поступают звонки с просьбой сообщить какие-то личные данные. При этом злоумышленник может представляться сотрудником банка, службы поддержки какого-то сайта и даже другом или родственником.

Фишинг

Фишинг это подмена адреса какого-то популярного сайта с целью заразить компьютер вирусом или получить конфиденциальную информацию.

Пользователям приходят сообщения якобы от имени администрации сайта или соцсети где он действительно зарегистрирован, с предложением перейти на сайт для решения какого-то вопроса и предлагается ссылка очень похожая на официальный адрес сайта. Если пользователь переходит по этой ссылке, то его компьютер заражается вирусом.

Автозагрузка вирусов

После того как вирус проник на компьютер, он прописывается в автозагрузку, чтобы запускаться при каждом включении компьютера. Вот основные способы автозагрузки вирусов:

• Папка Автозагрузка
• Планировщик задач
• Реестр Windows
• Службы Windows
• Плагины и панели интернет-браузеров
• Плагины проводника Windows
• Зараженные системные файлы
• Загрузочный сектор или раздел диска
• Альтернативные потоки NTFS
• Сетевой стек
• Пул печати

Кроме этого существуют еще сотни так называемых точек автозапуска. Один и тот же вирус может использовать сразу несколько из них. Это значительно усложняет выявление и удаление вредоносных программ.

1. Защита от файловых вирусов

Для того чтобы защититься от вирусов заражающих файлы, достаточно установить любой антивирус.

Платные антивирусы обеспечивают высокий уровень защиты и от других угроз безопасности. Приобретать их есть смысл, если вы имеете дело с ценной конфиденциальной информацией или осуществляете серьезные финансовые операции. Лучшим для русскоязычных стран является Kaspersky Internet Security. Если компьютер слабоват, то можно приобрести более быстрый и легкий Dr.Web Security Space.

Из бесплатных, для операционной системы Windows 7,8.1,10 я рекомендую Avast. Для Windows XP – 360 Total Security или Avira. Обе программы быстрые, легкие и хорошо подходят для слабых компьютеров. 360 Total Security имеет различные дополнительные функции – очистка диска, слежение за обновлениями Windows, защита веб-камеры и подходит больше для тех, кто любит во всем разбираться.

Никогда не отключайте антивирус и не открывайте подозрительные файлы как бы вам этого не хотелось. В подавляющем большинстве случаев вы не получите желаемого и только навредите себе.

Ссылки на антивирусные программы есть в разделе «Ссылки».

10. Отключение лишних служб

Другим общепризнанным способом защиты является отключение лишнего функционала. Если отключены потенциально уязвимые компоненты, то и атака на них невозможна. Прежде всего это касается служб Windows, которые работают на каждом компьютере и чаще всего становятся объектами для атак.

Жесткий диск A-Data Ultimate SU650 120GB

Для того чтобы отключить лишние службы, нужно зайти в консоль управления компьютера. Для этого нужно кликнуть правой кнопкой мыши на значке «Мой компьютер» или «Windows» (в Windows 8,10) и выбрать «Управление…».

Дальше я буду показывать на примере Windows 7, но в других версиях все делается аналогично.

Заходим в раздел Службы.

Теперь нужно кликнуть правой кнопкой мыши на службе, которую необходимо отключить, и выбрать «Свойства».

После этого установите «Тип запуска: Отключена» и нажмите «ОК».

Теперь при включении компьютера служба запускаться не будет.

12. Защита от сетевых атак

Лучший способ защититься от сетевых атак это отключение лишних служб, регулярное обновление операционной системы и программ с целью устранения уязвимостей, которые и используются при атаках.

Но есть также программы специально для защиты от сетевых атак, которые называются файрволами. Принцип файрвола заключается в том, что он не пропускает интернет-пакеты на компьютер, которые содержат данные не запрашиваемые пользователем. Например, если вы ввели адрес сайта в браузере, то в ответ получите интернет-пакеты с содержанием сайта и файрвол их пропустит. Зараженные интернет-пакеты поступают на компьютер без запроса пользователя и файрвол их блокирует.

В операционных системах Windows есть свой встроенный файрвол, который называется Брандмауэр. При грамотной настройке безопасности системы обычно его достаточно. Но есть и сторонние решения, которые являются более продвинутыми и надежными. Если на вашем компьютере есть ценная конфиденциальная информация или вы активно работаете с платежными системами, то дополнительная защита в виде хорошего файрвола не помешает.

Файрвол входит в состав платных антивирусов, лучшими из которых являются Kaspersky Internet Security и Dr.Web Security Space. Если у вас такой антивирус, то ваш компьютер надежно защищен от сетевых атак и отдельный файрвол вам не нужен. Кроме того, такое решение будет лучшим в плане совместимости антивируса с файрволом.

Из бесплатных самым популярным файрволом является Outpost Firewall Free, который можно установить из комплексного антивирусного пакета Outpost Security Suite FREE и использовать в дополнение к любому бесплатному антивирусу. Недостатком такого решение являются возможные конфликты между антивирусом и файрволом.

Самый лучший способ защититься от атак из интернета или локальной сети провайдера – подключение компьютера через роутер. Роутер обладает функциональностью аппаратного файрвола. Он скрывает компьютер от хакеров и надежно блокирует все незапрашиваемые интернет-пакеты еще до того, как они попадут на компьютер.

Но роутер не защищает от атак с зараженных компьютеров соединенных с помощью него в домашнюю или офисную локальную сеть, а только от тех, которые приходят из интернета. Поэтому программный файрвол все равно должен работать на каждом компьютере.

Ссылки на антивирусы и файрволы есть в разделе «Ссылки».

13. Резервное копирование системы

Даже качественная настройка компьютера и следование принципам безопасности не дает 100% гарантии, что какой-то хитрый вирус не проникнет в компьютер. Но есть средство, которое надежно защитит вас от последствий заражения. Это создание резервной копии операционной системы.

Встроенное средство восстановления Windows является недостаточно эффективным. Во-первых, оно защищает только самые важные системные файлы, а вирус может быть и в другом месте. Во-вторых, вирусы часто проникают в хранилище резервных копий и восстанавливаются вместе с восстановлением системы, что сводит на нет всю систему резервного копирования.

Для того, чтобы создать надежную копию системы, нужно качественно с нуля настроить компьютер и сделать полный образ диска «C» с помощью программы стороннего разработчика. Дополнительно это защитит вас и от любых сбоев в системе или программном обеспечении.

Одной из лучших программ резервного копирования является Acronis True Image, она является платной. Но есть отличная бесплатная альтернатива – Paragon Rescue Kit Free.

Для успешного резервного копирования системы с последующим быстрым восстановление нужно соблюдать несколько простых условий.

Файлы пользователя не должны храниться на диске «C», иначе при восстановлении системы они будут утрачены. Учтите, что файлы на «Рабочем столе» и в папке «Мои документы» физически находятся на диске «C». Поэтому храните все свои файлы на другом разделе, например на диске «D».

Не устанавливайте на диск «C» игры, так как они занимают очень большой объем, что будет затруднять резервное копирование и восстановление системы. Устанавливайте игры на другой раздел, например на диск «D».

Жесткий диск A-Data Ultimate SU650 240GB

Подробные инструкции по использованию программ резервного копирования есть на сайтах разработчиков из раздела «Ссылки».

14. Резервное копирование файлов

Резервная копия операционной системы предназначена для быстрого восстановления работоспособности компьютера и полной ликвидации вирусов. Но это не защитит ваши файлы в случае их удаления или зашифровки вирусом.

Для защиты личных файлов необходимо регулярно выполнять их резервное копирование. Можно просто копировать файлы на флешку или внешний диск стандартными средствами, но это не так удобно и может занимать много времени. Лучше использовать для этого эффективные алгоритмы синхронизации.

Например, в популярном файловом менеджере Total Commander есть функция синхронизации каталогов. Откройте в левой панели папку с вашими файлами на диске компьютера, а в правой панели папку на флешке.Transcend JetFlash 790 16Gb

Зайдите в меню «ИнструментыСинхронизировать каталоги».

Установите все параметры как на скриншоте выше и нажмите кнопку «Сравнить». После того как сравнение завершиться нажмите ставшую активной кнопку «Синхронизировать».

Одной из лучших бесплатных программ, предназначенных именно для синхронизации файлов, является Free File Sync. Принцип действия у нее похожий, но работает она еще лучше.

В левой панели задаются папки, которые вы хотите синхронизировать на диске вашего компьютера, а в правой папки на флешке или в другом месте, в которых будут храниться резервные копии. После этого сначала нажимается кнопка «Сравнить», а затем «Синхронизировать». Я, например, синхронизирую свои папки с диском на другом компьютере по локальной сети.

Синхронизация занимает значительно меньше времени, чем копирование файлов, так как копируются только новые и измененные файлы. Кроме того из резервной копии удаляются файлы, которые вы удалили у себя на компьютере.

Помните! Вопрос не в том потеряете ли вы ваши файлы если не будете делать резервные копии, а в том когда это произойдет…

Ссылки на программы синхронизации есть в разделе «Ссылки».

8. Защита от фишинга

Чтобы защититься от подмены сайта путем фишинга никогда не переходите по ссылкам, которые присылаются в электронных сообщениях. Откройте новую страницу браузера и перейдите на нужный сайт из закладок или введите адрес вручную.

Во всех современных браузерах есть встроенная защита от фишинга. Если сайт определяется как фишинговый, то доступ к нему блокируется.

Аналогичные окна блокировки могут отображаться при обнаружении на сайте вредоносного программного обеспечения.

Но браузеры умеют определять только подделки наиболее популярных сайтов или те сайты, которые попали в черный список.

Наиболее эффективно с фишингом борются комплексные платные антивирусы, такие как Kaspersky Internet Security и Dr.Web Security Space. В большинстве популярных бесплатных антивирусах также есть защита от фишинга.

9. Защита от уязвимостей в системе

Для защиты от уязвимостей в операционной системе необходимо регулярно устанавливать важные обновления, так как это в основном обновления безопасности. Перейдите в «Панель управленияСистема и безопасностьЦентр обновления WindowsНастройка параметров» и проверьте настройки обновлений. Советую включить установку обновлений в автоматический режим.

Рекомендуемые обновления, если не хотите засорять компьютер ненужными компонентами, устанавливать не обязательно.

Не смотря на то, что официальная поддержка Windows XP прекращена, для некоторых старых компьютеров это единственная система, которая обеспечивает достаточное быстродействие и функциональность. Есть способ продлить получение обновлений безопасности для Windows XP до апреля 2022г.

После этого установка обновлений безопасности в Windows XP продлится до апреля 2022г.

2. Плагин для защиты от фишинга

Если вы работаете с большим количеством социальных и платежных сервисов и хотите иметь дополнительную бесплатную защиту, то можно установить плагин для защиты от фишинга. Одним из наиболее популярных является McAfee SiteAdvisor, который поддерживает браузеры Firefox и Chrome. Он не требует никакой настройки, а просто блокирует фишинговые и некоторые другие вредоносные сайты.

Кроме того, плагин показывает рейтинги сайтов в поисковой выдаче Google и Яндекс, по которым пользователь заранее может определить стоит ли переходить на какой-либо сайт.

Подобные плагины добавляют в браузеры некоторые антивирусы, например Avast. Ссылка на плагин McAfee SiteAdvisor есть в разделе «Ссылки».

4. Работа из под ограниченной учетной записи

Если вас серьезно беспокоит безопасность работы за компьютером, то хорошей идеей будет создать ограниченную учетную запись пользователя и работать из-под нее. Делается это легко через «Панель управления/Учетные записи пользователя…».

После этого на учетную запись Администратора устанавливается пароль и она используется в основном для установки новых программ и настройки компьютера.

Дело в том что вирус, попав на компьютер или только запустившись в браузере, получает полномочия того пользователя, который в данный момент работает за компьютером. Если пользователь работает с правами администратора, то и вирус запустится с правами администратора и сможет изменять любые системные файлы и параметры реестра.

Если вы будете работать под ограниченной учетной записью, то в случае если вирус все-таки просочится через хорошо настроенную систему защиты, то он не сможет заразить системные файлы и прописаться в автозагрузку, а антивирусной программе будет легче его нейтрализовать.

5. Очистка системы

Содержите вашу операционную систему в чистоте и порядке, тогда и вирусам в ней будет не так комфортно

Такую функциональность имеет, например, антивирус 360 Total Security. Я же могу порекомендовать отличную популярную программу CCleaner. Она следит за чистотой системы и удаляет временные файлы при каждой загрузке компьютера, ссылка на нее также есть ниже.

Acer aspire

Для отключения СБ на ноутбуках фирмы «Асер» в начале понадобится войти в БИОС. Пользователю необходимо попасть на панель под названием «Insyde H20 Setup Utility». Затем отыскать подпункт «Main». На его платформе высветится «Boot menu». Предварительно в «Security» потребуется задать пароль в подразделе «Set Supervisor Password» и сохранить его.

Как самостоятельно деактивировать Секьюрити Бут в «Асере»:

• через BIOS перейти в Бут меню;

• для «Boot Mode» активировать «Legacy»;

• предварительно в подпункте «Security» указать пароль через «Set Supervisor Password».

Важно! Все выполненные пользователем изменения активируются сразу после перезагрузки ПК. Деактивировав СБ, можно стереть ранее придуманный пароль. Его отключение выполняется тоже через «Set Supervisor Password».

Активация через редактор локальной групповой политики

Управление системой через редактор групповой локальной политики предусмотрено лишь в корпоративной версии «десятки» и в Windows 10 Pro. Активация среды «Безопасность Windows» с применением инструмента для администраторов gpedit.msc выполняется следующим образом:

1. С помощью утилиты «Выполнить» запустите редактор локальной групповой политики. Для этого наберите Gpedit.msc и нажмите Enter.
   

   

2. В левом поле консоли найдите и откройте папку «Антивирусная программа». Она находится по пути «Конфигурация компьютера»/»Административные шаблоны»/»Компоненты Windows». Нажмите «Выключить антивирусную программу».
   

   

3. В открывшемся окне поставьте «Отключено», запустив инструмент Endpoint Protection. Далее нажмите «Применить» и «ОК».
   

   

Закройте все программы и окна и перезагрузите ПК. Если защита всё так же отключена, попробуйте запустить её с помощью стороннего софта.

Включение защиты через «пуск»

Windows в любом случае не оставит без внимания отключенную защиту от вирусов. Система будет настойчиво извещать вас об этом через уведомления. Кроме того, значки службы безопасности в меню «Пуск» и системном трее будут содержать окрашенный в красный цвет символ. О наличие проблем также будет говорить жёлтый ярлык с восклицательным знаком.

Наиболее простым и очевидным решением является попробовать заново запустить защиту через стандартный графический интерфейс — «Безопасность Windows». Осуществить это можно через меню «Пуск»:

1. Запустите «Безопасность Windows», просто нажав на значок со щитом, либо активировав «Параметры» (значок с шестерёнкой).
   

   

2. В окне «Параметры» выберите «Обновление и безопасность».
   

   

3. «Защита от вирусов и угроз» требует действий. Нужно открыть службу «Безопасность Windows», щёлкнув мышкой по одноимённому полю.
   

   

4. Кстати, более коротким путём попасть в настройки защиты можно, набрав в поиске «Безопасность Windows» и нажав Enter.
   

   

5. Активируйте кнопку «Включить». Возможно, вам придётся нажать два или три раза, запустив все отключенные антивирусные службы, пока вместо значка с крестиком не появится символ зелёного цвета.
   

   

6. Теперь, если вы наблюдаете вот такую картину, можно закрыть центр безопасности.
   

   

Обычно по завершении данной настройки защита вновь работает безупречно, но не всегда. Если инструменты, отвечающие за безопасность, не хотят активироваться, скорее всего, служба отключена на уровне системы либо она административно управляется. Об этом может говорить также появление сообщения об ошибке при попытках перезапуска антивирусного приложения. И если это ваш случай, попробуйте следующие способы.

Возможные проблемы

Самостоятельно выключить СБ на любом компьютере удастся через BIOS. Разнятся только названия подпунктов этого сервиса. В любом случае, пользователю нужно отыскать слово «Boot». Обычно так называется один из разделов БИОС, из которого возможно выполнить отключение СБ.

На некоторых ПК система не дает пользователям возможность вносить какие-либо изменения в этот сервис без пароля. Предварительно потребуется выставить значения (придумать свой набор символов) в окошке параметра «Set Supervisor Password». Задать пароль должен сам пользователь.

Запуск «безопасности windows» с помощью редактора реестра

В редактор реестра проще всего попасть, воспользовавшись стандартными программными средствами Windows 10:

1. Щёлкните правой кнопкой мыши по иконке «Пуск». В строке открывшегося окна наберите Regedit и нажмите «ОК».
   

   

2. В открывшемся редакторе найдите папку Policy Manager, пройдя по пути HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows Defender. Откройте её. Дважды щёлкните по параметру DisableAntiSpyware. В поле «Значение» поставьте «0». Нажмите «ОК»
   

   

3. Здесь же обратите внимание на папку Real-Time Protection, открыв её. Если значения в скобках (в конце каждой строчки) отличны от нуля, измените их на «0» так же, как вы делали это в пункте 2.
   

   

По окончании всех операций закройте окна и перезагрузите компьютер. Если защита Windows не включилась, переходите к следующему пункту.

Не забывайте, что выполняя манипуляции с реестром, вы рискуете повредить системные файлы.

Как включить secure boot в bios

Для работы Secure Boot диск должен быть в формате GPT. Посмотрите раздел о конвертации диска (выше).

Процесс включения Secure Boot отличается в зависимости от производителя. Точные инструкции по работе с вашим BIOS можно получить в инструкции к материнской плате или ноутбуку. Здесь мы покажем настройку BIOS на примере материнской платы от ASUS.

Чтобы включить Secure Boot на материнской плате ASUS нужно войти в настройки BIOS, активировать режим «Advanced mode (F7)» и перейти в раздел «Boot». Здесь нужно открыть подраздел «CSM (Launch Compatibility Support Module)», который отвечает за эмуляцию старого BIOS.

Если функция «CSM» включена, то ее нужно отключить.

После этого нужно вернуться в раздел «Boot» и перейти в подраздел «Меню безопасной загрузки».

Здесь нужно поменять параметр «Тип ОС» на «Режим Windows UEFI».

После этого сохраняем настройки BIOS и загружаемся в Windows 10. Если диск был сконвертирован в GPT, то загрузка должна пройти без проблем.

Настройка Secure Boot на других платах:

Как выключить безопасную загрузку на windows 10

Самостоятельно отключить SB можно в момент включения ПК. Необходимо лишь войти в БИОС и деактивировать эту функцию. Во всех новых вариантах Windows (от 8 и выше) выполнить деактивацию данного элемента удастся через UEFI. Для входа в этот сервис потребуется нажать на определенную кнопку (согласно спецификации своего ПК).

Как самостоятельно выключить СБ:

• в момент запуска ПК зайти в БИОС;

• перейти в Боот (Бут) меню;

• выключить SB и сохранить все проделанные изменения.

Как самостоятельно отключить Секьюрити Боот (Бут) через «Параметры»:

• активировать опцию под названием «Параметры»;

• через «Обновление и безопасность» перейти в подпункт «Восстановление»;

• найти опцию «Особые варианты загрузки»;

• активировать «Перезагрузить сейчас»;

• выполнится перезагрузка ПК;
• всплывет окошко «Выбор действия»;

• активировать «Диагностика»;
• найти подпункт «Дополнительные параметры»;
• выполнить активацию «Параметры встроенного…»;

• перезагрузить ПК;
• зайти в Боот меню;

• отключить «SB» (выставить «Disabled») и сохранить проделанные изменения.

Важно! Если нужно установить нелицензированный Виндовс, безопасную загрузку лучше деактивировать. Стандартная защита СБ, установленная на ПК, препятствует запуску ОС, например, с флешки. Разработчики специально снабдили новые версии Виндовса защитным протоколом, который не дает загрузить на устройство старый Win 7 или операционку, принадлежащую к другому семейству Windows. К тому же активированная (включенная) СБ блокирует возможность подключения к компьютеру шпионского или вредоносного ПО.

Как добавить исключения

В силу разных причин иногда бывает необходимо, чтобы антивирус не проверял на наличие угроз тот или иной файл. Отключить сканирование объекта можно, добавив его в исключения:

1. Для этого откройте «Безопасность Windows». Нажмите «Добавление и удаление исключений».
   

   

2. Щёлкните на плюсик и из выпадающего списка выберите тип объекта, который необходимо занести в исключения.
   

   

3. В появившемся окне проводника выберите искомый объект, нажав «Открыть».
   

   

Выполняйте вышеописанные действия, только если вы твёрдо уверены в безопасности исключаемого объекта. Удаление файла, папки или процесса из исключений производится на той же странице настроек их выделением и нажатием кнопки «Удалить».

Как правильно настроить «безопасность windows»

Использование системной защиты Windows 10 требует постоянного обновления антивирусных сигнатур (определений). По умолчанию «десятка» совершает эти действия в автоматическом режиме (так же, как выполняет по расписанию сканирование ПК на потенциальные угрозы, обновляет непосредственно антивирус и осуществляет другие действия, связанные с безопасностью), поэтому пользователю ничего делать не нужно.

Здесь же можно:

• запустить проверку компьютера на вирусы (кнопка «Быстрая проверка»);
• изменить настройки антивируса («Управление настройками»);
• управлять защитой от программ-шантажистов;
• обратиться в «Техническую поддержку» при возникновении вопросов;
• изучить и настроить другие параметры и службы, связанные с безопасностью компьютера.

В окне «Параметры защиты от вирусов и других угроз» можно активировать или деактивировать:

• защиту в режиме реального времени,
• облачную защиту,
• автоматическую отправку образцов подозрительных файлов,
• добавление или удаление исключений.

Однако трогать настройки «Безопасности», установленные по умолчанию, без надобности, особенно если вы не понимаете, к чему может привести отключение или изменение той или иной функции, настоятельно не рекомендуется.

Как узнать включен ли secure boot

Для того чтобы узнать включен ли Secure Boot на вашем компьютере можно воспользоваться средствами встроенными в Windows 10. Для этого нажмите Win-R на клавиатуре и выполните команду «msinfo32».

В результате должно появиться окно «Сведения о компьютере». Здесь в строке «Режим BIOS» будет указано, в каком режиме работает BIOS – UEFI или Устаревший (Legacy), а в строке «Состояние безопасной загрузки» – состояние Secure Boot (включено или отключено).

Если у вас Secure Boot включен и все готово к установке Windows 11, то должно быть так, как на скриншоте внизу:

• Режим BIOS – UEFI;
• Состояние безопасной загрузки – Вкл.

Также возможен следующий вариант:

• Режим BIOS – UEFI;
• Состояние безопасной загрузки – Откл.

В этом случае для обновления до Windows 11 нужно будет включить безопасную загрузку в BIOS.

Еще один вариант:

• Режим BIOS – Устаревший (Legacy);
• Состояние безопасной загрузки – не поддерживается.

В этом случае возможно 2 варианта, либо у вас старый компьютер без поддержки UEFI и Secure Boot, либо в настройках BIOS включена эмуляция старого BIOS (режим совместимости). Во втором случае для обновления до Windows 11 нужно будет отключить эмуляцию старого BIOS и включить Secure Boot. Функция эмуляции обычно называется CSM (Launch Compatibility Support Module).

Подробней в статье:

Когда стоит отключить встроенную защиту

По мнению Microsoft, служба безопасности Windows 10 и, в частности, встроенный «Защитник», являются эффективным инструментом для решения многих задач, связанных с защищённостью компьютера от вредоносных программ, однако независимые тесты показывают несколько иную картину.

Это первая причина, по которой многие пользователи отказываются от использования среды «Безопасность Windows», отдавая предпочтение сторонним антивирусам.

Также встроенную защиту стоит отключить, если компьютер не отличается высокой производительностью. Постоянные обновления и сканирования в этом случае могут сильно нагружать устройство, мешая работать пользователю.

Однако следует помнить, что отключение защиты может привести к заражению ПК вредоносным кодом, повреждению операционной системы, потере файлов и даже выходу из строя аппаратных компонентов.

Компания Microsoft позиционирует свой антивирусный продукт, распространяемый вместе с операционной системой Windows 10, как надёжное и мощное решение по защите и борьбе с вредоносными программами. В ряде случаев его вполне хватает обычным пользователям. И если по какой-то причине защита от уязвимостей вдруг оказалась отключена, теперь вы знаете, как запустить её вручную.

Конвертация диска с mbr в gpt

Если включить Secure Boot для уже установленной Windows 10, то система может не загрузиться, а вы получите сообщение о том, что «Загрузочное устройство не найдено». Это происходит из-за того, что на диске используется таблица разделов MBR. Для решения этой проблемы диск нужно предварительно конвертировать из формата MBR в GPT.

Конвертацию диска из MBR в GPT можно выполнить непосредственно в процессе установки Windows 11, вызвав командную строку с помощью комбинации клавиш Shift-F10 (или Shift-Fn-F10), либо заранее, из рабочей Windows 10.

Итак, для начала нужно открыть меню «Параметры» (комбинация клавиш Win-i), перейти в раздел «Обновление и безопасность – Восстановление» и нажать на кнопку «Перезагрузить сейчас».

После этого появится меню с дополнительными действиями. Здесь нужно выбрать «Поиск и устранение неисправностей», а потом «Командная строка». Также может понадобиться выбор пользователя и ввод пароля.

В результате перед вами появится командная строка. Сначала нужно выполнить команду, которая проверит возможность конвертации диска:

mbr2gpt /validate

Если все нормально и конвертация возможна, то вы получите сообщение «Validation completed successfully». Чтобы запустить конвертацию выполните команду:

mbr2gpt /convert

Если же проверка диска выдала сообщение «Failed», то нужно попробовать вручную указать номер диска. Для этого нужно добавить параметр «/disk:0», где 0 – это номер диска.

mbr2gpt /disk:0 /validate

Чтобы узнать номер диска выполните следующие команды:

diskpart
lis dis
exit

В результате в консоль будет выведен список дисков и их объем. Используя эту информацию, можно определить номер диска, который необходимо конвертировать.

После успешной проверки можно запускать конвертацию диска. Для этого нужно выполнить следующую команду:

mbr2gpt /disk:0 /convert

Где 0 – это номер диска.

После конвертации диска с MBR в GPT нужно зайти в BIOS и выполнить следующие настройки:

• Отключить эмуляцию старого BIOS;
• Включить безопасную загрузку.

Подробней в статьях:

На материнской плате asus

Для деактивации SB пользователю в момент запуска ПК через Del или F2 потребуется войти в UEFI. Важно попасть на платформу под названием «UEFI BIOS Utility». Из нее через «Advanced Mode» удастся выйти в «Boot» и выключить СБ.

Как самостоятельно отключить Секьюрити Бот (Бут) на Виндовсе:

• через «UEFI BIOS Utility» перейти в подпункт «Security»;

• отыскать «SB»;
• активировать параметр «Disabled».

Еще один вариант деактивации Секьюрити Боот (Бут) для «Асуса»:

• через БИОС, «Boot» выйти в «SB»;

• активировать «OS Type» и переключиться в «Other OS»;

• возвратиться в меню Боот (Бут);
• кликнуть на «CSM Compatibility Support Module»;
• отыскать «Launch CSM» и выставить для него значение «Enabled»;

• в «Boot Device Control» выполнить активацию «UEFI and Legacy OpROM»;
• для «Boot from Storage Devices» активировать «Legacy…»;

• выполнить сохранение и перезагрузку ПК.

Паранойя непродуктивна

Мы можем сколько угодно фантазировать на тему зарядов термита в батарейном отсеке и загрузке с внешнего жесткого диска, замаскированного под кофеварку. Нет, все это реально можно реализовать, но, как показывает практика, это довольно бессмысленно и сильно усложняет жизнь владельцу.

К сожалению, самые изощренные схемы часто разбиваются тем самым гаечным ключом за $5. Поэтому, сразу определим уровень защиты как разумно-сбалансированный, где для включения ноутбука не требуется собирать вшестером ключ из фрагментов Шамира.

Больше всего нас тревожит, что к ноутбуку могут получить физический доступ. Это чревато утечкой содержимого жестких дисков и бонусами в виде руткитов. Особенно это опасно в случае, если вы не заметили, что компьютер побывал в чьих-то руках.

Почувствуй себя волшебной принцессой

Проблема скрытого доступа решается до идиотизма просто. Только для начала надо будет научиться делать покер-фейс в магазине, который продает максимально дешевые накладные ногти, пластмассовые сережки и тому подобные радости для девочек лет 10. Да, нам понадобится лак с блестками.

Как ни странно, но практически невозможно замаскировать факт выкручивания винтов корпуса, если на них нанести каплю подобного разноцветного ужаса за 50 рублей. Структура лака будет нарушена и ориентация частиц изменится даже при попытке сгладить все каплей растворителя. Особенно удобно использовать для этого два разных лака с длинными частицами в форме волосков.

Помимо этого можно воспользоваться и штатными вариантами вроде kensington lock. Но это скорее не про защиту от скрытого доступа, а про пристегивание ноутбука к тумбе потяжелее, чтобы не утащили, пока вы отошли за кофе.

Прочие очевидные и не очень пункты

Своевременно обновляйтесь. Я сам иногда сижу подолгу на Ubuntu LTS, который уже ушел в oldstable. Но все-таки не затягивайте до окончания сроков security поддержки вашей ОС и ключевых компонентов. Каждая незакрытая CVE — потенциальный вектор атаки.

Никогда не подключайте неизвестные устройства. Банально, но это типовой вектор получения контроля, особенно, если ОС имеет уязвимости или используется zero-day. Если прям очень надо, то лучше воспользоваться live-cd любого дистрибутива linux.

Следите за софтом, который вы устанавливаете. Сейчас все кому не лень хотят покопаться в ваших файлах. От Microsoft спрятаться сложно, можно только уповать на то, что хоть какие-то галочки они не игнорируют. Ну и на эффективность фильтрации телеметрии на уровне DNS от локального pi-hole.

Но помимо системных утилит есть еще сторонние антивирусы, клиенты облачных хранилищ с мутным EULA и правами залить вам «ярлык для приложения видеоконференций» на 101 мегабайт. По возможности предпочтите свободные аналоги программ. Они, как правило, такой дичи не творят.

Разблокировка

Любая более или менее современная ОС предполагает автоматическую блокировку сеанса пользователя при закрытии крышки ноутбука, ручной блокировке или после некоторого таймаута. К сожалению, любая попытка сделать безопасно приводит к варианту «сделать неудобно». Поэтому есть смысл рассмотреть недостатки удобных и популярных способов упрощенной разблокировки.

Отпечаток пальца, если есть выделенный для этого сенсор ноутбука. Весьма неплох в большинстве ситуаций, но имеет несколько фундаментальных проблем, общих для любой биометрии. Его нельзя заменить, так как количество нескомпрометированных пальцев имеет тенденцию заканчиваться.

А еще его очень просто использовать по принуждению. Думаю, что не ошибусь, если предположу, что большинство использует отпечаток указательного пальца правой руки. К тому же стандартные сенсоры потребительского сегмента не контролируют косвенные параметры вроде наличия пульсации капилляров, что позволяет не только приложить палец отдельно от владельца, но и банальную реплику, снятую со стакана в баре.

Разного рода face unlock также стали достаточно популярны вслед за мобильными телефонами, но они в большинстве случаев абсолютно непригодны для контроля доступа. Обычная камера с радостью разблокируется в ответ на фотографию из социальной сети, которую показывают на экране мобильника.

Ну и все те же проблемы с недобровольным доступом.Доверенные устройства вроде фитнесс-браслета уже интереснее. Но у них другая проблема- неконтролируемый радиус действия. Вроде бы отошел от ноутбука за кофе, но связь с браслетом все равно сохраняется. Реально подобный метод подходит для защиты только от кражи компьютера.

Резюме: лучше всего ввод пароля из неизвлекаемого хранилища в сером веществе владельца. Но если очень раздражает, то отпечаток пальца, хотя это и снижает защиту. А еще правда не стоит вводить пароли под камерами наблюдения. Разрешения более чем достаточно для его восстановления.

Чек-лист

1. Защита должна быть соразмерна угрозе. Используйте простые и надежные методы, которые не мешают жить.
2. Обеспечьте защиту от скрытого вскрытия корпуса. Пара капель лака решат эту проблему.
3. Лучше всего разблокируйте устройство паролем. Если хочется менее безопасно, но удобно, то используйте отпечаток пальца.
4. Используйте шифрование. Если хотите гибко и надежно — LUKS и VeraCrypt помогут, но сожрут ресурсы CPU и уронят IOPS. Если надо быстро и прозрачно — TCG OPAL 2.0. Но могут быть проблемы с блокировкой во время гибернации.
5. Не забывайте про бэкапы. Данные можно потерять не только из-за ключа, но из-за банального отказа диска.
6. Ставьте security-патчи вовремя.
7. Не ставьте софт с непонятными привилегиями и доступом в сеть.
8. Не подключайте неизвестные устройства.

Шифрование

Это такой пункт, который не особо имеет смысл обсуждать. Шифровать однозначно надо. Да, формально это увеличивает риски необратимой потери данных. Но тут сразу есть два контраргумента:

Осталось определиться как лучше всего его реализовать. Наибольшее доверие традиционно отдается свободным вариантам реализации. LUKS с помощью dm-crypt для линуксоидов и полнодисковые варианты вроде VeraCrypt для всех вариантов ОС. Последний вариант хорош своей гибкостью в выборе алгоритмов шифрования диска и возможностью использования токенов и ключевых файлов на внешнем носителе.

Помимо этих вариантов я бы хотел еще предложить полнодискового шифрования с SED — Self-encrypting disk. На данный момент существует спецификация TCG OPAL 2.0, которой соответствует большинство современных SSD-дисков. Основной плюс этого подхода — нулевой оверхед на шифрование.

CPU даже не пытается занимать этой задачей, а все шифрование абсолютно прозрачно для операционной системы. Всем занимается непосредственно контроллер SSD. Более того, если мы посмотрим спецификацию на распространенные Samsung EVO серии, то будет понятно, что они в принципе из коробки выполняют AES шифрование всех данных зашитым ключом.

Важно не забывать, что все шифрование бесполезно в тот момент, когда компьютер находится в разблокированном состоянии. Поэтому важно позаботиться об автоматической блокировке через приемлемо короткий промежуток времени. В случае с Self-encrypting disk есть проблема.

Сброс ключей происходит в момент полного цикла включения-выключения. Так как процесс шифрования прозрачен для ОС, то обычный deauth не блокирует жесткий диск. Более того, на некоторых моделях ноутбуков не происходит обрыва питания SSD в момент перезагрузки, что потенциально делает всю систему уязвимой. Рекомендую прочитать презентацию с BlackHat на эту тему.

Также не забывайте организовать резервное копирование данных. Обычно оптимальным вариантом будет использование коммерческого облака с выгрузкой данных в шифрованном виде. Или можно поднять свой Nextcloud и организовать реплики данных на доверенных машинах.

Чем windows defender может быть полезен

От защиты операционной системы зависят удобство работы пользователя ПК и безопасность его файлов. Среди множества решений, призванных защитить компьютер от вирусов, выделяется «Защитник Windows», по умолчанию присутствующий в «десятке». Windows Defender содержит все инструменты, необходимые современному эффективному антивирусному приложению:

• защиту файлов в реальном времени,
• поиск и удаление вредоносного кода,
• выполнение заданий по расписанию и многое другое.

Вредоносные программы могут устанавливаться на компьютер без ведома пользователя через интернет и активироваться при каждом последующем подключении к сети. Часто вирусы могут попадать в систему путём инсталляции сторонних программ, в том числе и с внешних носителей. Особо вредоносные процессы пожирают ресурсы системы, удаляют папки и файлы, съедают интернет трафик.

«Защитник Windows» может бороться с угрозами двумя способами:

• защищая систему в реальном времени, предупреждая о троянах, руткитах, червях и т. п. во время попыток последних установиться, запуститься, либо поменять системные настройки;
• выполняя сканирование ПК на предмет присутствия вредоносного кода, в том числе по расписанию, и в автоматическом режиме лечит и удаляет вирусные файлы, извещая о проведённых операциях пользователя.

Между тем в новых версиях «десятки» вместо «Защитника» появилась «Безопасность Windows», но это не значит, что Defender исключён из системы. Напротив, на нём плотно завязаны многие функции и возможности новейшей антивирусной среды. Проще говоря, «Защитник» остался ядром безопасности, а «Безопасность Windows» является программной платформой на его основе.

1. Для запуска старой оболочки откройте «Этот компьютер», затем папку Program Files и далее Windows Defender. Запустите исполняемый файл MSASGui.exe.
   

   

2. В окне «Защитника» вы можете включать/отключать защиту в реальном времени, назначать определения вирусов и шпионских программ, активировать сканирование, а также выполнять другие задачи.
   

   

Всё же, исходя из того, что сам «Защитник Windows» сейчас не обладает максимальным функционалом, далее в первую очередь будет рассматриваться его надстройка, а именно — более глобальный инструмент «Безопасность».