Windows Defender SmartScreen – czym jest i jak działa?

Windows Defender SmartScreen to wbudowany w system Windows mechanizm bezpieczeństwa, który ostrzega przed phishingiem, złośliwym oprogramowaniem i podejrzanymi plikami pobieranymi z internetu. Nie działa wyłącznie jak klasyczny skaner antywirusowy. W dużej mierze ocenia reputację strony lub pliku, dlatego może wyświetlić ostrzeżenie także przy legalnym, ale nowym i mało znanym programie.

Czym jest Windows Defender SmartScreen?

SmartScreen stanowi jedną z warstw ochrony systemu Windows i przeglądarki Microsoft Edge. Sprawdza odwiedzane strony oraz pobierane pliki, a następnie porównuje je z informacjami o znanych zagrożeniach i obiektach cieszących się zaufaniem. Jego zadaniem jest zatrzymanie użytkownika przed wejściem na stronę phishingową, pobraniem malware lub uruchomieniem instalatora, którego pochodzenie budzi wątpliwości.

Phishing polega na podszywaniu się pod znaną firmę, bank albo usługę w celu wyłudzenia danych logowania, informacji płatniczych lub innych poufnych danych. SmartScreen może ostrzec przed taką witryną jeszcze przed wpisaniem na niej informacji. W przypadku plików analizuje między innymi ich reputację, źródło i podpis cyfrowy.

Jak działa SmartScreen?

Mechanizm opiera się na reputacji adresów internetowych i plików. Oznacza to, że system nie pyta wyłącznie, czy konkretny plik pasuje do znanej sygnatury wirusa. Sprawdza także, czy dany obiekt jest rozpoznawalny, skąd pochodzi i czy wcześniej był pobierany oraz oceniany jako bezpieczny.

Reputacja pliku to historia informacji związanych z konkretnym programem lub instalatorem. Nowa aplikacja może być legalna, podpisana cyfrowo i wolna od złośliwego kodu, a mimo to nie mieć jeszcze wystarczającej liczby danych potrzebnych do uzyskania wysokiego poziomu zaufania. Z tego powodu komunikat „System Windows ochronił ten komputer” nie zawsze oznacza wykrycie wirusa. Czasem informuje jedynie, że system nie zna jeszcze danego pliku wystarczająco dobrze.

Na ocenę wpływają między innymi źródło pobrania, historia pliku, jego podpis oraz certyfikat cyfrowy. Podpis potwierdza, kto wydał plik i czy nie został on zmieniony po podpisaniu, ale sam w sobie nie gwarantuje, że aplikacja jest bezpieczna. Także nowy certyfikat, w tym certyfikat Extended Validation, nie musi natychmiast przenieść reputacji poprzedniego certyfikatu na nowy plik lub wydawcę.

SmartScreen może sprawdzać między innymi:

• strony dostępne przez protokoły HTTP i HTTPS pod kątem phishingu oraz znanych zagrożeń,
• pobrane instalatory i inne pliki wykonywalne,
• podpisy oraz certyfikaty cyfrowe użyte do potwierdzenia pochodzenia pliku,
• informacje o zagrożeniach i reputacji aktualizowane w ramach ochrony działającej w czasie rzeczywistym.

W praktyce system rozróżnia sytuację, w której plik jest rozpoznany jako złośliwy, od sytuacji, w której jest po prostu nierozpoznany. Drugi przypadek częściej dotyczy nowych aplikacji, małych projektów, świeżych wydań programów albo plików podpisanych nowym certyfikatem.

Co zrobić, gdy pojawi się komunikat „System Windows ochronił ten komputer”?

Nie należy automatycznie omijać ostrzeżenia. Najpierw trzeba ustalić, czy plik pochodzi z wiarygodnego źródła i czy rzeczywiście chcesz go uruchomić. Jeżeli aplikację pobrano z oficjalnej strony producenta, a jej nazwa i wydawca zgadzają się z oczekiwaniami, można przejść przez dodatkową weryfikację.

W przypadku zaufanego pliku wykonaj następujące czynności:

1. Wybierz „Więcej informacji”. Okno pokaże dodatkowe dane, w tym nazwę wydawcy, jeżeli system może ją potwierdzić.
2. Sprawdź źródło pliku. Upewnij się, że instalator pochodzi z oficjalnej witryny producenta, a nie z przypadkowego serwisu z plikami.
3. Wybierz „Uruchom mimo to” tylko wtedy, gdy potwierdziłeś pochodzenie programu i akceptujesz ryzyko związane z uruchomieniem nierozpoznanego pliku.

Nie wybieraj „Uruchom mimo to” dla pliku otrzymanego z nieznanego adresu, podejrzanego załącznika lub strony, której nie ufasz. Jeśli producent udostępnia sumę kontrolną, możesz porównać ją z wartością obliczoną dla pobranego pliku. Pomocne bywa też pobranie aktualnej wersji bezpośrednio ze strony wydawcy zamiast korzystania z linku przesłanego w wiadomości.

Czy SmartScreen może się pomylić?

Tak. Tak zwany false positive, czyli fałszywy alarm, oznacza zakwalifikowanie bezpiecznego pliku lub strony jako wymagających ostrzeżenia. Jest to możliwe szczególnie wtedy, gdy aplikacja jest nowa, rzadko pobierana, ma niewielką bazę użytkowników albo zaczęła korzystać z nowego certyfikatu cyfrowego.

To kompromis między bezpieczeństwem a wygodą. Mechanizm ustawiony ostrożnie może ostrzegać częściej, lecz daje użytkownikowi szansę zatrzymania potencjalnie niebezpiecznego pobrania przed uruchomieniem. Z kolei sam brak ostrzeżenia nie jest absolutną gwarancją bezpieczeństwa, dlatego źródło pliku nadal ma znaczenie.

Ostrzeżenie SmartScreen oznacza czasem „ten plik jest złośliwy”, ale często także „nie mamy jeszcze wystarczających danych, aby mu zaufać”. Te dwa komunikaty wymagają innej oceny.

Najbezpieczniejsza zasada jest prosta: traktuj ostrzeżenie poważnie, zweryfikuj wydawcę i źródło pliku, a zabezpieczenie omijaj wyłącznie wtedy, gdy masz konkretne powody, by ufać aplikacji.