Microsoft тестирует улучшения в системе безопасности пакетных файлов Windows 11

Microsoft выпускает новые предварительные сборки Windows 11 Insider Preview, которые повышают безопасность и производительность при выполнении пакетных файлов или скриптов CMD.

Как сообщили сегодня в Microsoft, ИТ-администраторы теперь могут включить более безопасный режим обработки, который предотвращает изменение пакетных файлов во время их выполнения. Для этого нужно добавить значение реестра LockBatchFilesInUse в раздел HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor.

Авторы политик также могут включить этот режим с помощью элемента управления LockBatchFilesWhenInUse в манифесте приложения.

Это изменение призвано повысить производительность и безопасность корпоративных сред, где администраторы в значительной степени полагаются на автоматизированные рабочие процессы.

«Мы предоставляем администраторам и разработчикам политик Application Control for Business дополнительные возможности управления обработкой пакетных файлов и скриптов CMD. Начиная с этого выпуска администраторы могут включить более безопасный режим обработки пакетных файлов, который гарантирует, что они не изменятся во время выполнения», — сообщила команда Windows Insider.

«Это повышает производительность и безопасность обработки пакетных файлов при включенной функции целостности кода, поскольку проверка подписи будет требоваться только один раз, а не для каждого оператора, выполняемого в пакетном файле».

В последних сборках Windows Insider Microsoft также улучшила функцию общего аудио представленную в октябре, которая позволяет передавать звук между двумя наушниками, колонками, вкладышами или слуховыми аппаратами.

Общие ползунки громкости звука (Microsoft)

Раньше регулировка громкости одинаково влияла на обоих пользователей, но в новом обновлении добавлены отдельные регуляторы громкости для каждого слушателя и устройства. Во время активного обмена файлами на панели задач появляется новый индикатор, который служит визуальным напоминанием и позволяет одним нажатием перейти к настройкам обмена.

Список совместимых устройств также расширился за счет аксессуаров с поддержкой Bluetooth LE Audio: теперь эту функцию поддерживают наушники Samsung Galaxy Buds 4 и Buds 4 Pro, Sony WF-1000XM6 и беспроводная гарнитура Xbox.

Эти новые возможности доступны участникам программы предварительной оценки Windows на каналах Beta и Dev, установившим предварительную сборку Windows 11 26220.7934 (KB5077242) и предварительную сборку Windows 11 26300.7939 (KB5077243) соответственно.

Выводы

Статья показывает, что компания продолжает закрывать уязвимости, связанные с запуском скриптов и социальным инжинирингом. Речь идёт о сценариях, когда вредоносные BAT-файлы маскируются под безопасные документы или запускаются без должного предупреждения пользователя.

Ключевые выводы:

• Microsoft усиливает модель безопасности именно на уровне пользовательских сценариев — там, где атаки происходят чаще всего (скачанные файлы, вложения, архивы).
• Улучшения направлены на снижение риска случайного запуска вредоносных скриптов неопытными пользователями.
• Изменения вписываются в общую стратегию Windows 11 по ужесточению защиты SmartScreen, Mark-of-the-Web и контроля происхождения файлов.
• Для системных администраторов и разработчиков это означает возможные изменения в поведении старых скриптов и автоматизации.
• В долгосрочной перспективе Windows всё больше ограничивает «наследственные» механизмы запуска, которые десятилетиями оставались потенциальной точкой входа для атак.

В целом нововведение можно рассматривать как шаг к модели «безопасность по умолчанию», где пользователь должен осознанно подтвердить запуск потенциально опасного кода.

Часто задаваемые вопросы

Что изменится для обычных пользователей?

Пользователи будут чаще видеть предупреждения при запуске batch-файлов, скачанных из интернета или полученных по почте. Это снизит вероятность заражения вредоносным ПО через скрипты.

Затронет ли это системных администраторов и DevOps?

Да. Автоматизированные сценарии, распространяемые вне доверенной среды, могут требовать дополнительных разрешений, цифровой подписи или изменения политики безопасности.

Почему именно BAT-файлы считаются опасными?

Batch-скрипты могут выполнять команды с правами пользователя: скачивать вредоносные файлы, изменять настройки системы, запускать PowerShell-скрипты и т.д. При этом они выглядят как обычные текстовые файлы.

Это замена антивирусу?

Нет. Это дополнительный уровень защиты, который предотвращает запуск подозрительных файлов ещё до того, как антивирус начнёт анализ.

Можно ли отключить новые ограничения?

В корпоративных средах — возможно через групповые политики. Для домашних пользователей Microsoft обычно оставляет минимум способов отключения, чтобы сохранить базовую безопасность.

Редактор: AndreyEx