Большая часть базовых мер защиты уже входит в состав Windows — шифрование дисков, контроль приложений, защита учётных данных, изоляция, политики обновлений. Проблема в том, что по умолчанию большинство этих механизмов выключено.
Важно: нужна Windows Pro, а не Home. В домашней версии нет ни полноценного шифрования, ни возможности настроить все компьютеры разом. Часть возможностей (например, AppLocker) доступна только в Enterprise/Education.
1. Шифрование диска (BitLocker)
Что закрывает: кражу ноутбука, извлечение накопителя, чтение данных со списанной или отправленной в ремонт техники, потерю внешнего диска.
Практические требования:
для ноутбуков — TPM + PIN, то есть запрос PIN до загрузки системы, а не только TPM;
ключи восстановления — в Entra ID / AD плюс офлайн-копия. Потерянный ключ означает потерю данных без вариантов; массовый сбой обновлений в июле 2024 года показал это на тысячах машин;
ключ, единственный экземпляр которого лежит в личном аккаунте Microsoft сотрудника, — это не корпоративное управление ключами;
съёмные носители — BitLocker To Go и запрет записи на нешифрованные диски.
2. Сотрудник работает без прав администратора
Самая полезная мера из списка. Без прав администратора большинство вредоносных программ не может закрепиться в системе.
Пароль локального администратора должен быть свой на каждом компьютере — для этого есть встроенный механизм LAPS. Требует настройки: хранение в AD или в Entra ID (для облачного варианта нужны соответствующие лицензии).
3. Вход по лицу, отпечатку или PIN (Windows Hello)
Вместо пароля, который можно подсмотреть, украсть и повторить. В корпоративном варианте — Windows Hello for Business, привязанный к домену или Entra ID.
4. Настройки встроенного Защитника Windows
Он есть у всех, но работает вполсилы, пока не включены дополнительные правила:
запрет макросам в документах запускать программы;
запрет программам из писем запускать что-то ещё;
запрет недоверенным программам менять файлы в защищённых папках;
запрет выключать сам антивирус.
Внедрять поэтапно: сначала режим аудита, потом блокировка. Иначе заблокируете нужные рабочие программы.
5. Обновления и отказ от Windows 10
Поддержка Windows 10 закончилась 14 октября 2025 года. Компьютеры без обновлений безопасности — открытая дверь, и никакой антивирус это не компенсирует. Платные продлённые обновления (ESU) для организаций существуют, но это отсрочка миграции, а не решение.
6. Одноразовое окно для подозрительных файлов (Windows Sandbox)
Пришло странное вложение — открыли в изолированной среде, посмотрели, закрыли. Ничего не осталось. Есть в Pro, включается за пару минут, требует включённой виртуализации.
7. Только разрешённое ПО (AppLocker / App Control for Business)
Самая действенная и самая трудоёмкая мера. Внедряется поэтапно, начиная с серверов и рабочих мест с фиксированным набором задач. Полноценные политики AppLocker — Enterprise/Education; на Pro используется App Control for Business через Intune.
8. Отключить лишнее
LLMNR и NetBIOS (через них перехватывают учётные данные внутри локальной сети), автозапуск съёмных носителей, неиспользуемые службы. PowerShell v2 — на старых машинах; в актуальных сборках Windows 11 он уже удалён.
Windows protected print mode — способ уйти от сторонних драйверов печати как класса уязвимостей. Проверьте заранее: часть старых МФУ после включения может перестать печатать.
9. Все настройки — сразу на весь парк
Через групповые политики домена или Intune.
Если настройки делаются руками на каждом компьютере, часть обязательно будет пропущена. Раз в месяц проверяйте: шифрование включено, правила активны, обновления стоят, список исключений не разросся.
Чего Windows не сделает за вас
Резервные копии. «Предыдущие версии» и точки восстановления лежат на том же диске — шифровальщик удаляет их первыми. Нужна копия вне офиса, защищённая от удаления и перезаписи, и проверочное восстановление раз в квартал.
Защиту от фишинга. Если сотрудник сам ввёл пароль на поддельном сайте или отправил файл не тому адресату, настройки не помогут. Здесь нужны правила и обучение.
Итог
Windows закрывает значительную часть базовой защиты «из коробки», но по умолчанию эти механизмы выключены или не управляются. Задача ИТ-службы — включить имеющиеся возможности, зафиксировать конфигурацию политиками и регулярно проверять, что настройки не отключились и не расползлись.