Lumières sur la sécurité

mercredi 28 février 2024

Dans les publications du projet Lumières sur la sécurité, nous parlons souvent de la diversité du monde des logiciels malveillants et autres menaces informatiques. À notre avis, le monde numérique, s’il est formidable par certains aspects, est également par endroits un « univers impitoyable », où tout le monde peut tester la force de vos fenêtres et portes virtuelles afin de voler ou de détruire des biens, ou essayer de vous tromper pour obtenir vos clés et vos secrets. C'est pourquoi nous recommandons toujours une approche globale de la sécurité : suivez les règles d'hygiène numérique et utilisez une protection antivirus fiable pour tous les appareils qui en ont besoin.

En particulier, une telle protection est nécessaire pour les ordinateurs fonctionnant sous Windows, et cela est dû à de nombreuses raisons dont nous avons déjà discuté dans les pages de notre blog. Parmi elles, la prévalence du système d'exploitation, le grand nombre de programmes malveillants conçus pour cet OS, l'ouverture relative du système (en particulier lorsque vous travaillez sous un compte administrateur) et quelques autres.

La protection antivirus du système doit être complète, suffisante, à plusieurs niveaux et en même temps flexible pour s'adapter à des conditions de travail spécifiques. Des composants obligatoires tels qu'un scanner, un moniteur de fichiers et des mécanismes de protection préventive doivent être combinés à des modules supplémentaires pour s'assurer, d'une part, que les utilisateurs ont confiance dans la sécurité de l'ordinateur et, d'autre part, pour configurer certaines fonctionnalités en fonction des besoins. Nous avons parlé de l'un de ces éléments, le composant Contrôle parental, dans une de nos publications.

Et ici, nous allons parler d'une autre fonctionnalité de Dr.Web Security Space pour Windows, la Prévention de la perte de données. Ce composant offre une protection supplémentaire des données contre les tentatives de modifications perpétrées par les logiciels malveillants et les intrus. Voyons comment cela fonctionne.

La prévention de la perte de données vous permet d'interdire les modifications du contenu de tout dossier personnalisé au niveau du pilote du noyau antivirus. Vous pouvez ajouter n'importe quel dossier à la liste des dossiers protégés, et tous les fichiers qu'il contient resteront en lecture seule et en copie seule, tandis que leur modification et leur suppression par des programmes qui ne sont pas approuvés seront interdites. Par défaut, Dr.Web permet d'accéder aux fichiers d'un certain nombre de programmes de confiance, dont la liste peut être trouvée ici. Dans le même temps, il est interdit aux processus système d'accéder aux fichiers protégés, car ces processus peuvent être utilisés par des logiciels malveillants pour attaquer le système. Un exemple est le fichier explorer.exe, qui est responsable de l'Explorateur Windows.

Il est également important de noter qu'il est impossible d'ajouter des répertoires système et racine à la liste des répertoires protégés, car cela entraînerait des dysfonctionnements dans le fonctionnement du système d'exploitation lui-même. Dr.Web détecte automatiquement les dossiers système et ne vous permet pas de les sélectionner, vous ne pouvez donc pas endommager accidentellement le système de cette manière.

Comme nos lecteurs l'ont déjà deviné, la fonctionnalité du composant Prévention de la perte de données protège également les fichiers contre les ransomwares à chiffrement et autres programmes malveillants, même s'ils sont exécutés avec des droits administrateur ou utilisent des processus légitimes ou fiables au niveau du système d'exploitation. Les logiciels malveillants ne pourront tout simplement pas accéder aux fichiers, ils ne pourront donc pas les chiffrer ou les supprimer. Ci-dessous, nous examinerons quelques exemples d'utilisation du composant, mais en attendant, configurons cette fonctionnalité ensemble et essayons de protéger deux dossiers : l'un avec un refus complet d'accès et le second avec un accès partiel pour les programmes de confiance.

Scénario n °1 : interdiction totale d'accès aux dossiers

Ce scénario n'est pas le scénario par défaut, mais nous allons commencer par lui afin que vous puissiez mieux comprendre le fonctionnement du composant. Notez simplement que la prévention de la perte de données ne fonctionne qu'avec les fichiers et les répertoires qui sont physiquement situés sur le disque dur de l'ordinateur.

Créez un dossier de test à n'importe quel endroit pratique (par exemple, sur le bureau) et copiez-y plusieurs fichiers arbitraires. Ouvrez le Centre de sécurité Dr.Web et accédez à la section Appareils et données personnelles, puis sélectionnez le composant Prévention de la perte de données.

La fenêtre de configuration du composant s'ouvre. Veuillez noter que pour apporter des modifications, le Centre de sécurité Dr.Web doit être exécuté en mode administrateur. Pour ce faire, cliquez sur l'icône de verrouillage et autorisez l'antivirus à apporter des modifications au système.

Cliquez sur le bouton Ajouter un nouvel élément pour ouvrir la boîte de dialogue Configuration du dossier protégé. Dans la fenêtre qui apparaît, cliquez sur Parcourir et sélectionnez le dossier créé précédemment, puis décochez la case Autoriser les applications Dr.Web de confiance à modifier le contenu du dossier. Cliquez sur OK pour ajouter le dossier spécifié à la liste des dossiers protégés.

Dans ce mode, les fichiers du dossier seront protégés contre toute modification, y compris la suppression, le changement de nom et la modification des autorisations à l'aide des outils Windows. Cependant, cette méthode impose des restrictions sur le travail avec les fichiers. Les applications et processus du système ainsi que les utilisateurs n'auront pas le droit de modifier les données. Ainsi, par exemple, si nous parlons de documents texte, vous ne pourrez pas les modifier et les enregistrer dans le même fichier pendant qu'ils sont sous protection. Des restrictions s'appliqueront même si vous travaillez en mode administrateur. Cependant, vous serez en mesure d'afficher le contenu des fichiers et de le copier, d'enregistrer les modifications apportées aux nouveaux fichiers, ainsi que de copier librement les nouveaux fichiers dans un dossier protégé, ils seront ainsi immédiatement protégés.

Il convient de mentionner une autre caractéristique de la mise en œuvre du composant. Dans le dossier protégé, il est possible de créer de nouveaux éléments, ainsi que de les modifier (et de les supprimer) par les processus qui les ont créés, jusqu'à ce que ces processus soient terminés. Par exemple, vous avez créé un fichier texte dans un dossier protégé. Après cela, vous pouvez le renommer ou le supprimer à l'aide des outils Windows, car le processus système qui a créé ce fichier particulier et qui est responsable de sa suppression fonctionne toujours. Mais d'autres applications ne pourront pas le supprimer ni le renommer.

Scénario n °2 — donner des droits aux applications de confiance

Ce scénario est activé par défaut. Lorsque vous ajoutez un dossier à la liste des dossiers protégés, l'interdiction est définie sur toutes les modifications et suppressions du contenu du dossier à tous les programmes, à l'exception des programmes de la liste de confiance. Ce mode permet à l'utilisateur de travailler avec des fichiers dans des applications de confiance. Dans le même temps, comme mentionné ci-dessus, les processus système ne font pas partie des processus de confiance — cette mesure de précaution empêche les rançongiciels et autres logiciels malveillants d'accéder aux fichiers même lorsqu'ils utilisent des processus système légitimes.

Créez un autre dossier de test à n'importe quel endroit pratique et copiez-y plusieurs fichiers arbitraires. Suivez les étapes de la section précédente, mais lorsque vous ajoutez un dossier protégé, ne désactivez pas la case Autoriser les applications Dr.Web de confiance à modifier le contenu du dossier.

Maintenant, essayez de travailler avec des fichiers dans les programmes habituels. S'ils figurent sur la liste de confiance, vous pourrez modifier le contenu des fichiers protégés en les utilisant. Dans le même temps, la suppression et le renommage de fichiers à l'aide des outils Windows standard seront toujours interdits.

Une autre option utile de la prévention de la perte de données est la possibilité de configurer des exceptions pour les programmes. Ainsi, vous pouvez ajouter un programme qui aura accès aux fichiers du dossier protégé. Il convient de rappeler que l'ajout d'exceptions réduit le niveau de protection, vous devez donc le faire judicieusement et uniquement si cela est nécessaire.

Vous pouvez attribuer des exceptions à la fois lors de l'ajout d'un nouveau dossier et pour les dossiers qui sont déjà protégés dans la fenêtre d'édition. Pour ce faire, dans la section Exclusions, cliquez sur le bouton Ajouter une application et indiquez le chemin d'accès au fichier exécutable du programme auquel vous souhaitez accorder l'accès aux fichiers protégés.

Le nombre d'applications ayant un accès complet au dossier protégé est indiqué dans la fenêtre principale du composant Prévention de la perte de données, dans la colonne Exceptions personnalisées.

Exemples d’utilisation du composant

La protection contre la perte de données peut être utile pour limiter l'accès aux informations stockées, par exemple, aux sauvegardes ou aux archives qui se trouvent sur le disque dur de l'ordinateur. Ainsi, la fonction est utile si vous souhaitez que les données soient en lecture seule et en copie seule. Dans ce cas, les données seront protégées non seulement contre les programmes malveillants, mais également contre toute modification accidentelle. Des options flexibles vous permettront également de personnaliser le fonctionnement du composant en fonction de vos besoins. Par exemple, vous pouvez interdire à tous les programmes sauf un programme sélectionné d'accéder aux fichiers d'un dossier spécifique. Et dans un autre dossier, vous pouvez autorisez l'accès à toutes les applications de confiance.

De manière générale, la fonction d’interdiction totale d’accès aux dossiers s’applique à des données qui ne sont pas fréquemment consultées ainsi qu’à celles, bien sûr, qui revêtent un caractère de confidentialité et/ou d’importance spécifique. Surtout si l'ordinateur fonctionne dans un environnement dangereux du point de vue de l'activité virale.

Si l'appareil est utilisé comme un stockage de sauvegardes, les répertoires avec des sauvegardes peuvent également être placés sous protection. Cependant, dans ce cas, vous devrez soit ajouter un utilitaire pour créer des copies aux exceptions afin qu'il puisse effectuer une sauvegarde incrémentielle et remplacer les fichiers protégés, soit choisir un mode de copie dans lequel les fichiers protégés ne seront pas modifiés. Un ensemble bien configuré de fonctionnalités de l'antivirus et d'utilitaires de sauvegarde protègera vos données de manière fiable.

Bien que le composant Prévention de la perte de données soit principalement conçu pour protéger les données contre les actions destructrices des logiciels malveillants, il peut également aider en cas d'accès à distance au système par un attaquant. Vous pouvez protéger les paramètres Dr.Web avec un mot de passe, sans lequel il sera impossible de désactiver le composant. Ainsi, un attaquant ne pourra pas supprimer ou modifier les données protégées, même s'il agit avec des droits administrateur.

Par ailleurs, il convient de mentionner la protection des données stockées dans le Cloud et synchronisées avec l'ordinateur local. Vous pouvez protéger les copies locales des fichiers du Cloud, c'est-à-dire celles qui sont déjà sur votre appareil. Cependant, les fichiers qui se trouvent directement dans le Cloud ne seront pas protégés. Si le programme client de stockage Cloud fait partie des applications Dr.Web de confiance et que l'accès à ces applications est autorisé, la modification ou la suppression de fichiers via un tel programme sera également autorisée.