Как укрепить Windows Defender по максимуму
На Хабре неоднократно обсуждалось, что сторонние антивирусы — источник дополнительной угрозы. Они внедряются в ОС на уровне ядра и увеличивают поверхность атаки за счёт собственных уязвимостей. Некоторые специалисты говорят, что сторонние антивирусы лучше удалить. Хотя в некоторых случаях их использование всё-таки имеет смысл.
Но есть и хорошая новость. В состав ОС Windows входит стандартный антивирус Windows Defender. Это простая и добротная программа. Но для максимальной эффективности желательно её укрепить специальными настройками, которые по умолчанию отключены.
Windows Defender (известен также как Microsoft Defender и Защитник Windows) — простой, но качественный антивирус, встроенный в последние версии Windows. Там есть средства для контроля приложений, встроенный брэндмауэр (файрвол) и средства для защиты в реальном времени.
Настройки управления Windows Defender отличаются от GUI коммерческих антивирусов. Здесь множество опций. Хотя все они подробно описаны в документации, добраться до них не так легко.
По умолчанию Defender устанавливается со стандартными параметрами, которые не оптимальны. Небольшие изменения конфигурации позволяют значительно улучшить защиту домашних ПК.
Ряд ключевых настроек Windows Defender изменяется через локальную групповую политику. Их можно менять двумя способами:
- через редактор локальной групповой политики (Local Group Policy Editor,
gpedit.msc), который по умолчанию доступен только в версиях Windows Pro/Enterprise; - через консоль PowerShell.
В принципе, второй вариант проще и быстрее, хотя кому-то ближе по душе GUI. Ниже используются оба варианта.
Интервал обновления вирусных сигнатур
Запускаем PowerShell от имени администратора и набираем Get-MpPreference, чтобы посмотреть текущую конфигурацию Защитника:
Устанавливаем интервал обновления сигнатур на 1 час:
Set-MpPreference -SignatureUpdateInterval 1
Есть смысл также проверять новые сигнатуры перед каждым сканированием:
Set-MpPreference -CheckForSignaturesBeforeRunningScan 1
Другие параметры Set-MpPreference, которые можно изменить из консоли, указаны в документации.
Аналогичные настройки есть в редакторе локальной групповой политики. Если у вас версия Windows ниже Pro/Enterprise, то нужно сначала активировать редактор. Вот скрипт для Windows 10 и скрипт для Windows 11.
После активации редактора запускаем его:
gpedit.msc
Там несложно найти все те же настройки, которые указаны в консоли.
Включить MAPS
Microsoft Advanced Protection Service (MAPS) — улучшенная защита в реальном времени с подключением нескольких облачных функций и некоторых передовых технологий. Это бесплатная экспериментальная функция, которая выключена по умолчанию.
Подключение в консоли через Set-MpPreference по примеру выше:
CloudBlockLevel: уровень блокировки, рекомендуется5 - High blocking level, хотя можно и более высокий.CloudExtendedTimeout: таймаут, рекомендуется установить на 50 секунд.MAPSReporting, отправка отчётов в Microsoft: 0 — отключена, 2 — расширенные отчёты (Advanced Membership), 1 — только базовые данные (Basic Membership).SubmitSamplesConsent: отправка образцов в Microsoft: 0 — всегда спрашивать, 1 — автоматически отправлять безопасные образцы, 2 — никогда не отправлять, 3 — отправлять все образцы автоматически.
Включение MAPS в редакторе групповой политики:
Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Антивирусная программа Microsoft Defender (Windows Defender) → MAPS
Здесь выбираем «Присоединиться к Microsoft MAPS» и уровень: базовый или расширенный (на скриншоте внизу).
В справке написано, что означают уровни участия.
Далее включаем опцию «Блокировка при первом появлении». Эта функция обеспечивает проверку устройств в реальном времени с помощью службы MAPS, прежде чем разрешить выполнение определённого содержимого или доступ к нему.
Также активируем функцию «Настроить локальное переопределение для отправки отчётов в Microsoft MAPS».
Переходим к следующему разделу с настройками MpEngine.
Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Антивирусная программа Microsoft Defender (Windows Defender) → MpEngine
Опция «Выберите уровень защиты в облаке» (на КДПВ) — можно установить высокий или сверхвысокий уровень защиты, а ещё лучше уровень с нулевой терпимостью.
Опция «Настройте расширенную проверку в облаке» — это время, на которое антивирус может заблокировать подозрительный файл, чтобы проверить его в облаке. Рекомендуется таймаут 50.
Эти опции сильно укрепляют антивирусную защиту Windows Defender.
Примечание. Любое последующее обновление Windows Defender может отменить сделанные изменения и вернуть настройки по умолчанию. Поэтому лучше периодически проверять их.
Подробнее о сертификатах подписи кода на сайте GlobalSign
