Защита от вредоносного программного обеспечения на примере Windows Defender

5.6. Лабораторная работа. Установка и использование Защитника Windows.

В этой лабораторной работе вы установите Защитника Windows, проверите дату последнего обновления, проведете проверку компьютера и обнаружите подозрительные действия.

5.6.1. Упражнение 1. Подготовительные действия

Вы скопируете потенциально нежелательное программное обеспечение Home Key Logger (клавиатурный шпион) на свой компьютер и создадите командный файл с подозрительными действиями (он регистрирует себя в реестре для автоматического запуска при каждом старте операционной системы).

1. Зарегистрируйтесь в системе как пользователь с правами администратора.
2. Скопируйте на рабочий стол архив с программой Home Key Logger (http://www.spyarsenal.com/cgi-bin/load.pl?family-keylogger--webroot--otherproducts282).
3. С помощью проводника в корневой папке диска С: создайте папку "Test".
4. Выполните "Пуск" – "Выполнить" – "cmd".
5. Для создания командного файла c:\test\risk.bat, в командной строке выполните следующие действия:

   c:
   cd \test
   copy con risk.bat
   {Ctrl+Z}{Enter}
   Exit
6. С помощью проводника откройте папку C:\Test. На файле risk.bat нажмите правую кнопку мыши. В появившемся контекстном меню выберите команду "Изменить".
7. После открытия Блокнота наберите следующую команду (в одну строку): reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v risk.bat /t REG_SZ /d "C:\Test\risk.bat"
8. Сохраните изменения (команда меню "Файл | Сохранить") и закройте Блокнот.

5.6.2. Упражнение 2. Установка Защитника Windows

Вы выполните установку Защитника Windows на свой компьютер.

1. Зарегистрируйтесь в системе как пользователь с правами администратора и подключитесь к Интернету (если это еще не сделано).
2. С помощью Internet Explorer откройте "Домашнюю страницу Защитника Windows" (http://www.microsoft.com/rus/athome/security/spyware/software/default.mspx) и щелкните по надписи "Загрузить здесь".
3. На появившейся странице смените язык на русский (Поле "Change language") и нажмите кнопку "Change".
4. При появлении на странице надписи "Требуется проверка" ("Validation Required") нажмите кнопку "Продолжить" ("Continue").
5. При появлении в Internet Explorer панели информации со значком, сообщающим о необходимости установки элемента управления ActiveX "Windows Genuine Advantage", щелкните левой кнопкой мыши по этой панели и выберите команду "Установить элемент управления ActiveX...".
6. При появлении предупреждения системы безопасности об установке ActiveX компонента нажмите кнопку "Установить".
7. После появления предупреждения системы безопасности нажмите кнопку "Сохранить" (см. рис. 5.8) и выберите место для сохранения файла WindowsDefender.msi. В случае возникновения ошибок во время установки Защитника Windows, вы всегда сможете запустить установку повторно, если сохраните установщик на диск.
8. Запустите файл WindowsDefender.msi. Если после запуска вы увидите окно приветствия мастера установки, то перейдите к пункту 11. Если вы увидите сообщение об отсутствии Windows Installer 3.1, то перейдите к пункту 9. Если вы увидите сообщение о необходимости обновления службы Windows Update, то перейдите к пункту 10.
9. Установите приложение Windows Installer 3.1. Для этого посетите сайт http://go.microsoft.com/fwlink/?LinkId=63848, описывающий требования к установке Защитника Windows. Как указывается на этой странице, посетите Центр загрузки Microsoft, чтобы установить Windows Installer. Для этого перейдите по ссылке "Microsoft Download Center" и следуйте инструкциям по загрузке и установке Windows Installer. Если необходимо, перезагрузите компьютер и вернитесь к п. 8.
10. Обновите на вашем компьютере службу Windows Update. Для этого воспользуйтесь либо внутренним сервером обновлений в вашей организации (если он существует), либо в Internet Explorer выполните команду меню "Сервис | Windows Update". Следуйте инструкциям на экране для обновления службы Windows Update. Если необходимо, перезагрузите компьютер и вернитесь к п. 8.
11. После появления на экране окна приветствия мастера установки нажмите кнопку "Далее"("Next").
12. Проверьте подлинность вашей копии Microsoft Windows, нажав кнопку "Проверить".
13. Прочтите лицензионное соглашение, и если вы его принимаете, то выберите "Принимаю условия лицензионного соглашения" ("I accept the terms in the license agreement") и нажмите кнопку "Далее" ("Next").
14. На следующей странице выберите вариант "Использовать рекомендованные настройки" ("Use recommended settings") и нажмите кнопку "Далее" ("Next").
15. На следующей странице выберите вариант полной установки "Полная" ("Complete") и нажмите кнопку "Далее" ("Next").
16. При появлении сообщения о готовности к установке Защитника Windows нажмите кнопку "Установить" ("Install").
17. После успешной установки отключите параметр "Проверить наличие обновленных определений и сразу запустить быструю проверку" ("Check for updated definitions and run a quick scan now") и нажмите кнопку "Готово" ("Finish").

5.6.3. Упражнение 3. Обновление определений Защитника Windows

Вы выполните обновление определений Защитника Windows.

1. Зарегистрируйтесь в системе как пользователь с правами администратора и подключитесь к Интернету (если это еще не сделано).
2. Запустите Защитник Windows ("Пуск – Все программы – Windows Defender").
3. В разделе "Состояние" ("Status") проверьте версию установленных обновлений и дату их создания. См. параметр "Версия определений" ("Definition version").
4. Щелкните по треугольнику () рядом со знаком помощи (). В появившемся списке выберите команду "Проверить наличие обновлений" ("Check for Updates").
5. Дождитесь появления сообщения "Все новые определения и обновления рабочего модуля Защитника Windows уже установлены" ("Windows Defender is up-to-date with definitions and engine upgrades").
6. На главной странице (возникает по нажатию кнопки "Домой" ["Home"]) проверьте версию установленных обновлений и дату их создания.

5.6.4. Упражнение 4. Быстрое сканирование компьютера

Вы выполните быструю проверку вашего компьютера с помощью Защитника Windows и удалите обнаруженное нежелательное ПО.

1. Зарегистрируйтесь в системе как пользователь с правами администратора.
2. Запустите Защитник Windows ("Пуск – Все программы – Windows Defender").
3. Щелкните по треугольнику () рядом с надписью "Проверить" ("Scan"). В появившемся списке выберите команду "Быстрая проверка" ("Quick Scan").
4. После окончания сканирования при появлении раздела "Review potentially unwanted items" щелкните по надписи "Просмотреть объекты, обнаруженные при проверке" ("Review items detected by scanning").
5. На странице "Результаты проверки" ("Scan Results") просмотрите все обнаруженные объекты и для каждого выберите желаемое действие.
6. Посмотрите расположение обнаруженного объекта "Home Key Logger" (раздел "Ресурсы" ["Resources"]). Для этого объекта выберите действие "Удалить" ("Remove") и нажмите внизу кнопку "Применить действия" ("Apply Actions").
7. После появления в столбце "Состояние" ("Status") сообщения "Успешно" ("Succeeded") проверьте, что объект действительно удален с диска.

5.6.5. Упражнение 5. Обнаружение подозрительных действий

Вы включите получение уведомлений обо всех подозрительных событиях и посмотрите реагирование Защитника Windows на некоторые из них.

1. Зарегистрируйтесь в системе как пользователь с правами администратора.
2. Для того чтобы получать уведомления обо всех подозрительных действиях, совершаемых на вашем компьютере, необходимо в разделе "Укажите, нужны ли оповещения Защитника Windows" ("Choose if Windows Defender should notify you about") включить параметр "Программы, не классифицированные на предмет возможного риска" ("Software that has not yet been classified for risks"). Для этого на странице "Программы" ("Tools") выберите раздел "Параметры" ("Options") и там включите указанный выше параметр.
3. Запустите редактор реестра для контроля происходящих действий. Для этого выполните "Пуск" – "Выполнить" – "regedit". Откройте ключ "Мой компьютер\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run".
4. С помощью Проводника запустите на выполнение командный файл "C:\Test\risk.bat".
5. При появлении в области уведомлений (правый нижний угол экрана) сообщения "Защитник Windows обнаружил изменения" ("Windows Defender detected changes") щелкните по нему левой кнопкой мыши.
6. В открывшемся окне Защитника Windows просмотрите описание обнаруженного события.
7. С помощью редактора реестра проверьте появление значения "risk.bat".
8. В столбце "Действие" ("Action") выберите "Запретить" ("Block") и нажмите кнопку "Применить действия" ("Apply Actions").
9. После отображения статуса "Успешно" ("Succeeded") проверьте в редакторе реестра, что значение "risk.bat" действительно удалено (если необходимо, выполните команду "Вид | Обновить" в редакторе реестра).
10. Закройте все открытые окна.

5.8. Резюме

"Шпионские" программы – одна из самых неприятных проблем, с которыми сейчас сталкиваются пользователи компьютеров. Во всем мире программы-шпионы считаются серьезной проблемой, которая угрожает подорвать доверие общества к компьютерным технологиям [ [ 5.14 ] ].

Одним из решений, предлагаемых компанией Microsoft для защиты компьютера от программ-шпионов и других нежелательных программ, является Защитник Windows (Windows Defender). Этот продукт интегрирован в Windows Vista, а для пользователей Windows XP доступен в виде отдельного бесплатного дополнения [ [ 5.2 ] ].

Защитник Windows помогает пользователям обнаружить, а затем отключить или удалить с компьютера известные программы-шпионы и другие потенциально нежелательные программы [ [ 5.14 ] ].

В то же время Windows Defender не является антивирусной программой и обеспечивает защиту только от одного из подмножеств существующих вредоносных программ. Он не защищает компьютер от вирусов, троянских программ, червей и т. д. Для защиты от этих угроз пользователь может выбрать решение как от самой Microsoft (например, Microsoft OneCare), так и от стороннего производителя [ [ 5.15 ] ].