L'antivirus integrato di Windows 10 ora può essere eseguito in un sandbox. Anche se un utente malintenzionato compromette il motore antivirus, non avrebbe accesso al resto del sistema. Come Google Tavis Ormandy per dirla, “questo sta cambiando il gioco”.
In effetti, Windows Defender è il primo prodotto antivirus completo che può essere eseguito in un sandbox. Nessuno dei prodotti antivirus a pagamento (o gratuiti) che puoi scaricare vanta questa funzione.
Questa notizia arriva dal blog ufficiale di Microsoft Secure. Come dice Microsoft:
I ricercatori della sicurezza sia all'interno che all'esterno di Microsoft hanno precedentemente identificato i modi in cui un utente malintenzionato può sfruttare le vulnerabilità dei parser di contenuti di Windows Defender Antivirus che potrebbero consentire l'esecuzione di codice arbitrario. Mentre non abbiamo visto attacchi in natura attivamente rivolti a Windows Defender Antivirus, prendiamo sul serio questi rapporti …
L'esecuzione di Windows Defender Antivirus in una sandbox garantisce che nell'improbabile eventualità di un compromesso, le azioni dannose siano limitate all'ambiente isolato, proteggendo il resto del sistema da eventuali danni.
In altre parole, il processo antivirus di Windows Defender che analizza i file scaricati e altri contenuti verrà eseguito con pochissime autorizzazioni. Anche se si è verificato un errore nel processo antivirus e un file pericoloso è riuscito a compromettere l'antivirus stesso, quel processo antivirus ora pericoloso non fornirebbe alcun accesso al resto del sistema. L'attacco sarebbe fallito.
Certo, un antivirus richiede ancora molto accesso al tuo sistema. Ma il principale processo antivirus eseguito con molte autorizzazioni non analizza i file. Distribuisce il contenuto a un processo sandbox con privilegi limitati, che esegue il lavoro sporco e pericoloso in un'area protetta.
Il post del blog di Microsoft continua descrivendo come questa funzionalità è stata implementata senza alcun calo evidente delle prestazioni:
Le prestazioni sono spesso la principale preoccupazione sollevata dal sandboxing, soprattutto perché i prodotti antimalware si trovano in molti percorsi critici come l'ispezione sincrona delle operazioni sui file e l'elaborazione e l'aggregazione o la corrispondenza di un gran numero di eventi di runtime. Per garantire che le prestazioni non peggiorino, abbiamo dovuto ridurre al minimo il numero di interazioni tra la sandbox e il processo privilegiato e, allo stesso tempo, eseguire queste interazioni solo nei momenti chiave in cui il loro costo non sarebbe significativo, ad esempio, quando L'IO è in esecuzione.
Ci sono molti più dettagli di quelli nel post del blog di Microsoft, quindi dai un'occhiata se sei interessato.
Quando lo riceverai?
Sebbene questa funzionalità sia interessante, non è ancora abilitata per impostazione predefinita sui sistemi Windows 10. Microsoft afferma che “abiliterà gradualmente” questa funzionalità per Windows Insiders e analizzerà come funziona nel mondo reale.
avvertimento: Microsoft non è abbastanza fiduciosa in questa funzionalità per abilitarla per impostazione predefinita per tutti, quindi potresti riscontrare bug dopo averlo abilitato. L'abbiamo abilitato sul nostro sistema e tutto sembrava funzionare bene, però.
Per abilitare questa funzionalità oggi, avviare una finestra del prompt dei comandi o PowerShell come amministratore, eseguire il comando seguente, quindi riavviare il PC:
setx /M MP_FORCE_USE_SANDBOX 1
Questo comando funziona su Windows 10 versione 1703, noto anche come Creators Update, e versioni più recenti di Windows 10. Quella versione di Windows 10 è stata rilasciata nell'aprile 2017, quindi il tuo PC ha quasi sicuramente quella versione o più recente ormai.
Se si desidera annullare questa modifica, eseguire lo stesso comando, sostituendo “1” con uno “0” e riavviare nuovamente il PC. In caso di problemi durante l'avvio del PC per qualche motivo, provare ad avviare in modalità provvisoria e quindi eseguire il comando.
Dopo aver abilitato il sandboxing, vedrai un processo di contenuto speciale chiamato MsMpEngCP.exe con meno autorizzazioni in esecuzione insieme al processo antimalware MsMpEng.exe standard.
Una volta eravamo piuttosto critici nei confronti dell'antivirus di Microsoft, ma pensiamo che le ultime versioni siano abbastanza buone. Ti consigliamo di utilizzare Windows Defender per proteggere il tuo PC senza gli upsell e i bug che il software antivirus di terze parti mette in campo. Ed è incluso per impostazione predefinita con Windows 10, quindi tutti gli utenti Windows hanno finalmente un solido antivirus.
Vorremmo solo che l'antivirus di Microsoft fosse più aggressivo sul blocco di crapware per impostazione predefinita.
RELAZIONATO: Qual è il miglior antivirus per Windows 10? (Windows Defender è abbastanza buono?)
Credito di immagine: Gorlov-KV / Shutterstock.com, Microsoft
