Microsoft виводить антивірусних провайдерів з ядра Windows

27.06.2025, 18:51 expert.com.ua

Минув майже рік відтоді, як несправне оновлення CrowdStrike вивело з ладу 8,5 мільйонів комп’ютерів на базі Windows по всьому світу, і корпорація Microsoft прагне, щоб така проблема більше ніколи не повторилася. Після проведення саміту з постачальниками систем безпеки минулого року корпорація Microsoft готова випустити закриту попередню версію змін у Windows, які перенесуть антивірусні програми (AV) та програми виявлення та реагування на загрози на кінцевих точках (EDR) з ядра Windows.

Нова платформа безпеки кінцевих точок Windows створюється у співпраці з CrowdStrike, Bitdefender, ESET, Trend Micro та багатьма іншими постачальниками послуг безпеки. “Десятки партнерів надали нам документи, деякі з них на сотні сторінок, про те, як вони хотіли б бачити цю платформу і які вимоги до неї висувають”, – пояснює Девід Вестон (David Weston), віце-президент з корпоративної та операційної безпеки Microsoft, в інтерв’ю виданню The Verge. “Я був дуже задоволений цим. Це індустрія конкурентів, але всі зробили крок вперед і сказали, що ми повинні побудувати платформу, над якою ми всі працюємо”.

Microsoft прагне підкреслити, що вона не встановлює правила і не очікує, що всі будуть негайно їм слідувати, а натомість будує правила разом. “Ми тут не для того, щоб розповідати їм, як має працювати API, ми тут для того, щоб слухати і забезпечувати безпеку та надійність”, – каже Вестон. “Я думаю, якби ми вийшли до наших конкурентів і сказали: “Ось воно, беріть або відмовляйтеся”, – це було б справжнім викликом”.

Протягом десятиліть Microsoft створювала Windows таким чином, щоб розробники могли створювати програмне забезпечення для забезпечення безпеки, яке глибоко вкорінене в Windows, працюючи на рівні ядра Windows – основної частини операційної системи, яка має необмежений доступ до системної пам’яті та апаратного забезпечення. Помилкове оновлення CrowdStrike минулого року продемонструвало, наскільки легко драйвер на рівні ядра може вийти з ладу і вивести комп’ютер з ладу, що призведе до появи “синього екрану смерті” (BSOD).

Зараз над цими змінами в системі безпеки працюють одні з найдосвідченіших інженерів корпорації Microsoft, які займаються розробкою Windows. “У нас є ключові розробники, деякі з архітекторів ядра Windows, а також люди, які традиційно не працюють у сфері безпеки”, – каже Вестон. “Це дійсно найбільші мізки ядра Windows, які беруть участь і співпрацюють з CrowdStrike, ESET і всіма цими людьми”.

Закрита попередня версія дасть можливість постачальникам систем безпеки вимагати внесення змін. Вестон каже, що очікує кілька ітерацій, перш ніж постачальники будуть готові до переходу. Він також не збирається вирішувати всі проблеми з драйверами на рівні ядра одразу. “Наша мета – почати з AV та EDR, але, ймовірно, драйвери ядра з’являться на деякий час, коли ми перейдемо до наступного набору сценаріїв використання”.

Ще одна велика область Windows, яка використовує драйвери на рівні ядра, – це механізми боротьби з чітерством в іграх. Microsoft обговорювала з розробниками ігор, як зменшити використання ядра, але це складніший випадок використання, оскільки шахраям часто доводиться цілеспрямовано втручатися в роботу комп’ютера, щоб відключити захист і запустити механізми шахрайства.

“Багато [розробників ігор] хотіли б не підтримувати ядро, і вони дуже зацікавлені в тому, як це зробити, – каже Вестон. “Ми говорили про вимоги, і я думаю, що найближчим часом нам буде що сказати на цю тему”. Минулого року Riot Games повідомила мені, що готова слідкувати за потенційними змінами в системі безпеки Windows і “відступити від простору ядра”.

Хоча Microsoft і виробникам систем безпеки знадобиться деякий час, щоб опрацювати ці зміни в Windows, Microsoft впевнена, що побачить хороші показники впровадження, оскільки її клієнти просять про зміни після інциденту з CrowdStrike.

Microsoft також готується випустити оновлення Windows пізніше цього літа, яке включатиме нову функцію Quick Machine Recovery, призначену для швидкого відновлення комп’ютерів, які не можуть завантажитися. Вона пропонує пристрою увійти в середовище відновлення Windows, де машина може отримати доступ до мережі та надати Microsoft діагностичну інформацію. “Ми, по суті, створили те, що хотіли б мати на випадок минулорічного інциденту”, – каже Вестон.

Видовище “синього екрану смерті” також відійде в минуле. Microsoft тепер офіційно змінює дизайн свого BSOD, щоб він був чорним, а не синім. Детальніше про цю велику зміну тут.

Читати повністю…