Впечатлят ли пользователей Windows 7 будущие средства защиты Windows 10?

Microsoft до настоящего времени не уделяла большого внимания причинам, по которым пользователям Windows 7 следует переходить на Windows 10. Возвращение меню «Пуск» в более или менее знакомом виде и интеграция Cortana в операционную систему — это, конечно, прекрасно, но все же не то, что заставит пользователей и особенно бизнес-пользователей отказаться от такой проверенной и, слава Богу, хорошо работающей ОС как Windows 7.

Я считаю, что уникальные средства защиты Windows 10 весьма привлекательны для бизнес-пользователей. Microsoft до сего дня и особенно в последнее время не слишком распространялась об этих функциях. Причина, по крайней мере отчасти, может заключаться в том, что ряд обеспечивающих безопасность Windows 10 функций, которые могут и должны быть решающим доводом для бизнес-пользователей, еще не полностью реализованы.

Microsoft открыто расхваливала новую технологию биометрической аутентификации Hello, которая позволит пользователям регистрироваться на своих устройствах с Windows 10 без ввода пароля. Для использования Hello необходимы новые устройства, поскольку эта технология использует отпечатки пальцев и распознавание лиц. Hello доступна пользователям любых редакций Windows 10 — Home, Pro, Enterprise и Education. А есть еще ряд средств защиты, которые будут доступны только части пользователей Windows 10.

На днях Microsoft предала гласности тот факт, что Windows 10 еще не обладает обещанными функциями Enterprise Data Protection и Passport Enterprise, которые она рекламировала ранее в нынешнем году. (Если вы будете внимательно читать между строк, то обнаружите, что Microsoft неоднократно признавала, что эти элементы, как и Windows Store for Business, отсутствуют в Windows 10).

Microsoft планирует включить их в ознакомительные сборки Windows 10 позднее в этом месяце, чтобы выпустить их ближе к концу года (предположительно поздней осенью) в составе релиза Threshold 2.

Но в Windows 10 есть и другие функции безопасности, о которых Microsoft на удивление мало трубит. Одна из них — шифрование диска с помощью BitLocker. Хотя эта функция имелась в Windows 7 и включена в Windows 10, Microsoft расширяет круг пользователей, которым она будет доступна. Только обладатели таких редакций Windows 7 как Ultimate и Enterprise могли применять BitLocker. В случае с Windows 10 это смогут сделать владельцы лицензий Pro, Enterprise и Education.

Есть и другие функции — они представлены в таблице, взятой с сайта Microsoft Download Center. В ней сравниваются функции безопасности Windows 7 и Windows 10.

Как отмечалось выше, некоторые из этих функций еще недоступны пользователям Windows 10, а именно, Enterprise Data Protection (EDP) и корпоративный вариант Passport.

EDP строится на базе механизма предотвращения утечки данных, который сейчас является частью Windows 7. Однако теперь в EDP сделан следующий шаг — потребительские данные и бизнес-данные разделены с помощью контейнеров. EDP будет интегрироваться с Azure Active Directory и Rights Management Services. Microsoft обещает, что EDP будет идентичным образом функционировать и на мобильных устройствах, и на настольных ПК и будет доступна пользователям Windows 10 редакций Pro, Enterprise и Education.

Microsoft Passport позволяет более безопасно подключаться к приложениям, онлайновым и офлайновым ресурсам без пароля. В настоящее время Passport поддерживает Microsoft Accounts и Azure Active Directory. Это ПО уже входит в состав Windows 10 Home и Pro, но не Windows 10 Enterprise, как призналась на днях Microsoft.

Device Guard — еще одно уникальное средство защиты в составе Windows 10, о котором мы сравнительно мало слышали. Device Guard обеспечивает блокировку приложений, которые запускаются только после того, как продемонстрируют, что заслуживают доверия. Microsoft утверждает, что Device Guard «станет самым революционным способом защиты от вредоносного кода, разработанным Microsoft для настольных ПК».

Сходная служба Credential Guard предназначена для «изолирования секретов». Microsoft сообщает о ней следующее: «Credential Guard изолирует секреты, которые прежние версии Windows хранили в подсистеме Local Security Authority (LSA), применяя защиту на базе виртуализации. До появления Windows 10 в LSA хранились секретные данные, используемые операционной системой. Протекающий в операционной системе процесс LSA взаимодействует с изолированной подсистемой LSA посредством удаленного вызова процедур. Данные, которые хранятся с использованием защиты на базе виртуализации, недоступны для остальной операционной системы».

Device Guard и Credential Guard предназначаются только для пользователей Windows 10 редакций Enterprise и Education.

Если копнуть эту тему глубже, то нужно отметить, что Microsoft встроила в ядро Windows 10 новую технологию, позволяющую использовать Device Guard и Credential Guard. Недавно Microsoft разместила на своем сайте Channel 9 видеоролик из трех частей, посвященный этой технологии, известной под названием Isolated User Mode (IUM). Его стоит посмотреть.

IUM — уникальная технология безопасности Windows 10. Идея заключается в защищенном ядре и защищенных приложениях, которые запускаются не в том адресном пространстве, в котором обычно работает ядро. IUM основывается на такой новой особенности Windows 10 как Virtualization Based Security (VBS), известной прежде под названием Virtual Secure Mode. VBS уже встроена в Windows 10 и обеспечивает аппаратное разделение функций Windows, работающих в среде VBS, и остальной части Windows 10.

«Такая изоляция помогает добиться того, что нельзя получить доступ к процессам и данным в среде VBS или воздействовать на них. Подобного рода изоляции никогда не было в Windows до появления Windows 10», — сообщил представитель Microsoft, которого я распрашивал о IUM.

Device Guard использует среду VBS, чтобы предотвратить воздействие на свое функционирование. Device Guard создан для срыва предпринимаемых с использованием оборудования атак нулевого дня с целью нарушения работы системы в режиме ядра. Он дополняет встроенные в AppLocker средства защиты, которые уязвимы для тех атакующих, которые получили привилегии администратора, сообщил представитель Microsoft.

«Device Guard требует „подписанной“ политики. Это означает, что только политика с последними обновлениями, подписанная доверенным лицом, может изменить заданную для устройства политику контроля приложений. Заверенная подписью политика имеет важнейшее значение для предотвращения отмены политик контроля приложений атакующим с правами администратора, что позволило бы ему запускать не внушающие доверия вредоносные приложения», — заявил представитель Microsoft.

В свою очередь, Credential Guard использует среду VBS для предотвращения мошенничества и злоупотребления «производными полномочиями» пользователя, которые могут применяться во время атак типа Pass the Hash.

Я ожидаю, что с появлением до конца года Threshold 2, нового крупного обновления Windows 10, мы получим от Microsoft гораздо больше сравнительной информации о средствах безопасности Windows 7 и Windows 10. А до того о том, как обстоят дела с безопасностью в Windows 10, нам будут рассказывать участники программы Windows Insider.

Сравнение функций безопасности Windows 7 и Windows 10