Aggiornamento di ottobre 2018 di Windows 10 include una nuova funzione di sicurezza "Blocca comportamenti sospetti". Questa protezione è disattivata per impostazione predefinita, ma puoi attivarla per proteggere il tuo PC da una varietà di minacce.
Cosa fa "Blocca comportamenti sospetti"?
Questa funzione ha un nome piuttosto vago. Tuttavia, la documentazione di Microsoft chiarisce che "Block Suspicious Behaviors" è solo un nome descrittivo per la "tecnologia di riduzione della superficie di attacco di Windows Defender Exploit Guard". Questa funzionalità di sicurezza è stata introdotta in Aggiornamento autunnale dei creatori , ma era disponibile solo in Windows 10 Enterprise . Nell'aggiornamento di ottobre 2018, è ora disponibile per tutti tramite un'opzione in Sicurezza di Windows.
Quando abiliti questa funzionalità, Windows 10 attiva una serie di regole di sicurezza. Queste regole disabilitano le funzionalità normalmente utilizzate solo dal malware, aiutando a proteggere il tuo PC dagli attacchi.
Ecco alcune delle regole di riduzione della superficie di attacco:
- Blocca il contenuto eseguibile dal client di posta elettronica e dalla webmail
- Impedisci alle applicazioni di Office di creare processi figlio
- Impedisci alle applicazioni di Office di creare contenuto eseguibile
- Impedisci alle applicazioni di Office di inserire codice in altri processi
- Impedisci a JavaScript o VBScript di avviare il contenuto eseguibile scaricato
- Blocca l'esecuzione di script potenzialmente offuscati
- Blocca le chiamate API Win32 dalla macro di Office
- Blocca il furto di credenziali dal sottosistema dell'autorità di sicurezza locale di Windows (lsass.exe)
- Blocca le creazioni di processi originate dai comandi PSExec e WMI
- Blocca i processi non attendibili e non firmati eseguiti da USB
- Impedisci alle applicazioni di comunicazione di Office di creare processi figlio
Si tratta di azioni sospette che potrebbero essere utilizzate da applicazioni dannose. Ad esempio, queste regole bloccano i file eseguibili che arrivano tramite posta elettronica, impediscono alle applicazioni di Office di eseguire operazioni specifiche e si interrompono macro pericolosa comportamenti. Con queste regole abilitate, Windows protegge le credenziali dal furto, impedisce l'esecuzione di eseguibili sospetti su unità USB e rifiuta di eseguire script che sembrano camuffati per aggirare il software antivirus.
Troverai un completo elenco delle regole di riduzione della superficie di attacco sul sito di supporto di Microsoft. Le organizzazioni possono personalizzare le regole da utilizzare politica di gruppo , ma i PC di consumo medio ottengono un insieme di regole valido per tutti. Non è chiaro esattamente quali regole vengono utilizzate quando abiliti questa opzione in Sicurezza di Windows.
RELAZIONATO: Novità dell'aggiornamento di ottobre 2018 di Windows 10
Questo fa parte di Windows Defender Exploit Guard
La riduzione della superficie di attacco fa parte di Windows Defender Exploit Guard , che include anche Protezione dagli exploit, Protezione della rete e Accesso controllato alle cartelle .
È importante chiarire: "Blocca comportamenti sospetti" non è la stessa funzione di Protezione dagli exploit , che protegge il tuo PC da una varietà di tecniche di exploit comuni. Ad esempio, la protezione dagli exploit protegge dalle comuni tecniche di exploit della memoria utilizzate da attacchi zero-day e termina qualsiasi processo che li utilizza. La protezione dagli exploit funziona come quella di Microsoft Software Enhanced Mitigation Experience Toolkit (EMET) . La riduzione della superficie di attacco disabilita le funzioni potenzialmente pericolose a un livello superiore.
La protezione dagli exploit è abilitata per impostazione predefinita e puoi modificarla altrove nell'applicazione di sicurezza di Windows. Attack Surface Reduction, o "Block Suspicious Behaviors", non è ancora abilitato per impostazione predefinita.
RELAZIONATO: Come funziona la nuova protezione dagli exploit di Windows Defender (e come configurarla)
Come abilitare "Blocca comportamenti sospetti"
È possibile abilitare questa funzionalità dall'applicazione di sicurezza di Windows, precedentemente denominata Windows Defender Security Center.
Per trovarlo, vai su Impostazioni> Aggiornamento e sicurezza> Sicurezza di Windows> Apri Sicurezza di Windows o avvia semplicemente il collegamento "Sicurezza di Windows" dal menu Start.
Fare clic sull'opzione "Protezione da virus e minacce", quindi fare clic sul collegamento "Gestisci impostazioni" nella sezione "Impostazioni di protezione da virus e minacce".
Fare clic sull'interruttore sotto "Blocca comportamenti sospetti" per attivare o disattivare questa funzione.
Se Blocca comportamenti sospetti blocca un'azione che devi eseguire regolarmente, puoi tornare qui e disabilitarla. Tuttavia, i comportamenti bloccati non sono comuni nel normale utilizzo del PC.
