ฉันได้ทำการตรวจสอบความปลอดภัยเต็มรูปแบบบนพีซี Windows ของฉันและพบปัญหาที่ฉันไม่เคยคาดคิดมาก่อน

สัญลักษณ์ถูกสีเขียวบน Windows Defender มักเป็นสัญญาณที่ทำให้หลายคนมั่นใจได้ว่าคอมพิวเตอร์ของพวกเขาปลอดภัย หลังจากทั้งหมดแล้ว Windows Security มีฟีเจอร์ด้านความปลอดภัยมากมาย อย่างไรก็ตาม การตระหนักว่าซอฟต์แวร์แอนตี้ไวรัสแบบดั้งเดิมส่วนใหญ่สามารถตรวจจับภัยคุกคามที่กำลังทำงานอยู่เท่านั้น ทำให้วิธีการพิจารณาสุขภาพของระบบเปลี่ยนไป บริการที่ถูกลืม กุญแจรีจิสทรีที่ไร้เจ้าของ รายการเริ่มต้นที่ค้างอยู่ และนโยบายการรันที่อนุญาตง่าย ๆ ทั้งหมดนั้นสะสมเป็นเวลานาน ส่งผลกระทบเชิงลบต่อประสิทธิภาพและความปลอดภัย

ดังนั้น ฉันจึงตัดสินใจที่จะทำการตรวจสอบความปลอดภัยระบบเต็มรูปแบบของพีซี Windows ของฉัน ซึ่งได้เผยบางสิ่งที่น่ากังวลเล็กน้อย: ซอฟต์แวร์ที่ฉันไม่ได้ใช้งานแล้วยังคงทำงานอยู่ ฟังข้อมูล และรักษาสิทธิ์ขั้นสูงไว้ มันแสดงให้เห็นว่าคอมพิวเตอร์ของฉันพัฒนาไปอย่างไร และทำให้ฉันเข้าใจชัดเจนขึ้นว่าจะจัดการและเพิ่มความปลอดภัยได้อย่างไร

ความพากเพียรในการเริ่มต้นธุรกิจแสดงให้ฉันเห็นในสิ่งที่ Windows ไม่มีวันลืม

Autoruns เปิดเผยจุดเข้าที่ Task Manager ไม่รับรู้

ความคงอยู่ของสตาร์ทอัปแสดงให้คุณเห็นซอฟต์แวร์ที่พยายามรันต่อหลังจากบูท Windows มาพร้อมกับ Task Manager แบบเนทีฟ แม้ว่าจะมีความสามารถสูง แต่ก็แสดงเฉพาะส่วนน้อยของรายการที่จริงๆ แล้วเริ่มทำงานตอนบูท สำหรับส่วนของการตรวจสอบนี้ ผมจึงหันมาใช้ Autoruns จาก Sysinternals Suite ซึ่งเปิดเผยตำแหน่งรีจิสทรีและฮุกในไฟล์ระบบนับร้อยทันที Windows ใช้สิ่งเหล่านี้ในการเริ่มโค้ดอย่างเงียบๆ เครื่องมือนี้เป็นวิธีที่ยอดเยี่ยมในการดูว่าสิ่งใดอาจทำให้คอมพิวเตอร์ของคุณช้าลง

หนึ่งในสิ่งแรกที่ฉันสังเกตเห็นคือรายการ “ไม่พบไฟล์” ที่ถูกไฮไลต์ด้วยสีเหลือง เหล่านี้คือฮุครีจิสตรีที่ชี้ไปยังไฟล์ที่ฉันลบไปหลายปีแล้ว แม้ว่ามันจะไม่ทำงาน แต่ก็ยังแสดงบางรายการรีจิสตรีที่เหลืออยู่ และในกรณีรุนแรงสามารถถูกใช้โดยซอฟต์แวร์ที่เป็นอันตรายหรือซอฟต์แวร์อื่น ๆ ยูทิลิตี้ที่คุณไม่ได้ใช้มานานสามารถทิ้งประตูเปิดที่ Windows ถือว่าปลอดภัย และระบบปฏิบัติการสามารถเชื่อใจรายการเหล่านี้อย่างเงียบๆ ทุกครั้งที่บูตเครื่องใหม่

Autoruns ทำให้การสร้างความเสถียรให้ระบบของคุณง่ายขึ้นในขณะที่ลบรายการเริ่มต้นที่ไม่จำเป็น แต่สิ่งสำคัญที่ได้จากกระบวนการนี้คือ การมองเพียงตาเปล่าที่ Task Manager ยังไม่เพียงพอสำหรับการตรวจสอบรายการเริ่มต้นอัตโนมัติในระดับรีจิสทรี

บริการเปิดเผยว่ามีซอฟต์แวร์จำนวนเท่าใดที่ทำงานด้วยความน่าเชื่อถือถาวร

บริการของบุคคลที่สามยังคงอยู่ยาวนานกว่าที่แอปสร้างพวกมัน

บริการของ Windows จะทำงานอย่างต่อเนื่องแม้ว่าคุณจะไม่ได้ล็อกอินเข้าสู่คอมพิวเตอร์ของคุณ และบางครั้งพวกมันก็ทำงานด้วยสิทธิ์ของ SYSTEM ผมพบกระบวนการหลายอย่างที่เชื่อมต่อกับซอฟต์แวร์ที่คิดว่าผมได้ลบไปแล้วและฮาร์ดแวร์ที่ผมไม่ได้เป็นเจ้าของอีกต่อไป ในการดูบริการที่กำลังทำงานอยู่ คุณสามารถทำตามขั้นตอนเหล่านี้ได้:

1. เปิดคำสั่ง Run โดยกด Win + R
2. พิมพ์ "msconfig" แล้วกด Enter
3. ไปที่แท็บบริการ
4. (ไม่บังคับ) เลือกช่องติ๊ก ‘ซ่อนบริการของ Microsoft’ เพื่อดูบริการที่เชื่อมต่อกับเครื่องมือของบุคคลที่สาม

ตัวอย่างคือ Update Helper ที่ฉันพบสำหรับอุปกรณ์เสริมที่ฉันไม่ได้ใช้งานมาหลายปี แม้ว่าแอปนี้จะหายไปแล้ว แต่บริการนี้ยังคงตรวจสอบการอัปเดตทุกชั่วโมง ส่วนที่แย่ที่สุดคือมันมีสิทธิ์ผู้ดูแลระบบ โดยตัวบริการเองไม่เป็นอันตราย แต่รันอย่างต่อเนื่องด้วยสิทธิ์สูงและใช้ทรัพยากรของระบบ

ฉันยังพบบริการโดยการเปิดแอป Services ที่มาพร้อมกับ Windows โดยตรง ที่นี่ แทนที่จะลบบริการออกทั้งหมด ฉันบางครั้งก็เปลี่ยนประเภทการเริ่มต้นของมันเป็น Manual ทำให้มันเริ่มต้นเฉพาะเมื่อจำเป็นจริง ๆ ซึ่งยังช่วยลดภาระและรักษาความเสถียรของระบบ ส่วนนี้ของการตรวจสอบทำให้ฉันเห็นว่าบริการที่ติดตั้งจะคงอยู่ต่อไปเรื่อย ๆ จนกว่าจะถูกลบหรือเปลี่ยนแปลงด้วยตนเอง

งานที่กำหนดไว้แมปกิจกรรมที่ฉันไม่เคยอนุมัติโดยตรง

PowerShell ทำให้ตัวทริกเกอร์ที่ซ่อนอยู่ชัดเจน

งานที่กำหนดเวลาใน Windows เป็นจุดบอดสำหรับผู้ใช้ส่วนใหญ่ ส่วนใหญ่เป็นเพราะอินเทอร์เฟซของ Task Scheduler ใช้งานยาก สำหรับส่วนนี้ของการตรวจสอบ ฉันได้รายการที่ชัดเจนและสามารถวิเคราะห์ได้ว่ามีอะไรทำงานและเมื่อใด ซึ่งสร้างขึ้นด้วย PowerShell นี่คือขั้นตอนที่ฉันใช้:

1. เปิด PowerShell โดยใช้สิทธิ์ผู้ดูแลระบบ

2. เรียกใช้คำสั่งด้านล่างเพื่อดูรายการงานที่สร้างขึ้นโดยแหล่งภายนอก:

   Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.TaskPath -notlike "\Microsoft*"} | Select-Object TaskName, TaskPath, State | Format-Table -AutoSize

3. (ไม่บังคับ) รันคำสั่งด้านล่างเพื่อดูว่าเมื่อใดงานเฉพาะรันล่าสุดและไฟล์ใดเป็นตัวกระตุ้น:

   Get-ScheduledTask -TaskName "NAME_OF_TASK" | Get-ScheduledTaskInfo

การปฏิบัติตามขั้นตอนเหล่านี้เปิดเผยงานหลายอย่างที่สร้างโดยเว็บเบราว์เซอร์ เครื่องมือโทรเมทรี และตัวเปิดเกม หลายงานยังคงอยู่แม้ว่าซอฟต์แวร์นั้นจะปิดไปแล้ว บางงานถูกเรียกใช้งานเมื่อเข้าสู่ระบบ ปลดล็อกเวิร์กสเตชัน หรือเมื่อระบบว่าง โดยไม่จำเป็นต้องได้รับการอนุมัติจากผู้ใช้ แม้ว่างานเหล่านี้จะไม่ใช่มัลแวร์ แต่ทั้งหมดถูกทำงานโดยอัตโนมัติโดยที่ฉันไม่รับรู้ การตรวจสอบนี้ช่วยให้ฉันเข้าใจชัดเจนขึ้น ช่วยให้ฉันลบงานที่ไม่จำเป็นออกและทำความสะอาดกิจกรรมในระบบ

ตัวฟังเครือข่ายแสดงแอปที่คาดว่าจะสามารถเข้าถึงได้

พอร์ตท้องถิ่นเล่าเรื่องราวที่ไฟร์วอลล์ไม่เคยเน้น

บางโปรแกรมบนคอมพิวเตอร์ของคุณกำลังตรวจฟังการรับส่งข้อมูล และการใช้ netstat -abno จะช่วยทำแผนที่พอร์ตที่ใช้งานอยู่กับโปรแกรมที่เกี่ยวข้อง เมื่อฉันทำเช่นนี้ก็พบความประหลาดใจบางอย่างในยูทิลิตี้รอบข้างและแอปมีเดีย นี่คือขั้นตอนที่ฉันใช้ตรง ๆ:

1. เปิด PowerShell โดยใช้สิทธิ์ผู้ดูแลระบบ

2. เรียกใช้คำสั่งด้านล่างเพื่อตรวจสอบว่าแอปใดกำลังรอฟังการเชื่อมต่ออยู่ในขณะนี้:

   netstat -abno | findstr LISTENING

3. ดูที่คอลัมน์ที่อยู่ภายในเครื่อง (Local Address) สำหรับ IP เช่น 127.0.0.1:XXXX หรือ 0.0.0.0:XXXX 127.0.0.1 (Localhost) แสดงว่าแอปกำลังรอฟังการเชื่อมต่อจากซอฟต์แวร์อื่นบนคอมพิวเตอร์ของคุณเอง ขณะที่ 0.0.0.0 (Any IPv4) แสดงว่าแอปกำลังรอฟังการเชื่อมต่อจากใครก็ได้บนเครือข่ายภายในของคุณ (เพิ่มความเสี่ยงในกรณีที่บริการนั้นไม่จำเป็นหรือเก่า)

4. ใช้คำสั่งด้านล่างเพื่อตรวจสอบ PID กับแอปจริง:

   Get-Process -Id 1234 | Select-Object ProcessName, Path, Description

ฉันพบโปรแกรมบางตัวที่เปิดเซิร์ฟเวอร์เว็บภายในเครื่อง ซึ่งสามารถเข้าถึงได้เฉพาะบน localhost เท่านั้น ตัวรับสัญญาณเหล่านี้เพิ่มพื้นที่โจมตีเพราะถึงแม้ว่าจะไม่ได้เปิดเผยต่อภายนอก แต่ซอฟต์แวร์อื่นบนคอมพิวเตอร์อาจโต้ตอบกับมันโดยไม่คาดคิด

การปิดแอปที่ไม่จำเป็นและการตรวจสอบกฎของ Windows Defender Firewall ช่วยให้ฉันแก้ไขปัญหานี้ได้ ฉันพบข้อยกเว้นขาเข้าจากเกมและยูทิลิตี้เก่า ๆ และลบออกเพื่อให้แน่ใจว่าถ้าแอปเก่าถูกเปิดใช้งานก็จะไม่สามารถข้ามไฟร์วอลล์ได้ ส่วนนี้ของการตรวจสอบแสดงให้เห็นว่า แม้ว่าจะดูเล็กน้อย แต่พอร์ตที่รอฟังการเชื่อมต่อเป็นพื้นที่ที่มีความเสี่ยงสำคัญ

การอนุญาตเผยให้เห็นต้นทุนระยะยาวของความสะดวกสบาย

สิทธิพิเศษและนโยบายการทำงานยังคงอยู่หลังการติดตั้ง

สิทธิ์การเข้าถึงเป็นเวกเตอร์สุดท้ายที่ฉันตรวจสอบ ปัญหาของสิทธิ์การเข้าถึงคือผู้ติดตั้งจะสะสมสิทธิ์การดูแลระบบ และ Windows แทบจะไม่ยกเลิกสิทธิ์เหล่านี้โดยอัตโนมัติ ในการทบทวนของฉัน ฉันประหลาดใจที่เห็นว่านโยบายการรัน PowerShell ของฉันถูกตั้งเป็น Bypass ซึ่งต้องถูกแก้ไขโดยแอปของบุคคลที่สามเมื่อหลายเดือนก่อน

รายงาน MUO

รายงาน MUO

โดยการสมัครรับข้อมูล คุณตกลงที่จะรับจดหมายข่าวและอีเมลการตลาด และยอมรับข้อกำหนดในการใช้งานและนโยบายความเป็นส่วนตัวของ Valnet คุณสามารถยกเลิกการสมัครได้ทุกเมื่อ

ฉันยังดาวน์โหลดแอป ShellExView เพื่อทบทวนส่วนขยายของเชลล์และพบหลายรายการของคลาวด์สตอเรจที่ฉันไม่ได้ใช้อีกต่อไป—เป็นกระบวนการที่ทำงานอยู่เบื้องหลังอย่างต่อเนื่องและซ่อนตัว

ในฐานะมาตรการรักษาความปลอดภัย ผมได้รีเซ็ตนโยบายการรันไปเป็น RemoteSigned และลบสิทธิ์ผู้ดูแลออกจากไบนารีที่ไม่จำเป็น โดยรวมแล้วข้อคิดที่ผมได้รับมากที่สุดคือ นอกจากการลบไฟล์ที่อันตรายแล้ว ความปลอดภัยที่แท้จริงคือการจัดการซอฟต์แวร์ที่เชื่อถือได้ให้สามารถรันได้

สิ่งที่การตรวจสอบครั้งนี้สอนฉันเกี่ยวกับความเชื่อใจ

สิ่งหลักที่ฉันได้เรียนรู้คือ เครื่องหมายถูกสีเขียวจากระบบรักษาความปลอดภัยดั้งเดิมของฉัน เป็นเพียงครึ่งหนึ่งของเรื่องราวความปลอดภัย การรู้ว่าโปรแกรมใดมีอำนาจถือเป็นส่วนที่สอง

ฉันสามารถควบคุมระบบของฉันได้อย่างแท้จริงโดยการทำแผนที่รายการเริ่มต้น บริการ งานที่ตั้งเวลา ผู้ฟัง และนโยบายการทำงาน การจัดการอย่างรอบคอบและมีข้อมูลช่วยให้ฉันกลับมามีความมั่นใจในคอมพิวเตอร์ของฉัน การรันการตรวจสอบนี้ไม่ได้มาแทนที่ความปลอดภัยของ Windows และฟีเจอร์ซ่อนหลายอย่างของมัน แต่มันช่วยเสริมการป้องกันในตัวของ Windows