Глоссарий

Доверенная загрузка — этап защищённой загрузки ОС, при котором загрузчик проверяет целостность и подписи компонентов Windows, запускаемых после UEFI.

Журнал безопасности Windows — системный журнал событий, фиксирующий результаты аудита входов, доступа к объектам, изменений политик и привилегий в Windows.

Защита LSA — функция Windows, запускающая процесс LSASS как защищённый процесс, чтобы ограничить загрузку неподписанных модулей и доступ других процессов к секретам аутентификации.

Защита от выполнения данных — механизм ОС и процессора, запрещающий запуск кода в областях памяти, помеченных как данные, чтобы затруднить эксплуатацию переполнений.

Событие с идентификатором 4625 — запись аудита в журнале безопасности Windows о неудачной попытке входа, содержащая сведения о причине и источнике.

Идентификатор события 4688 — запись журнала безопасности Windows о создании нового процесса, формируемая при аудите успешных событий Audit Process Creation.

Контролируемый доступ к папкам — функция Microsoft Defender Antivirus, блокирующая изменение защищённых файлов приложениями, не признанными доверенными и не разрешёнными администратором.

Контроль учётных записей — механизм Windows, ограничивающий выполнение административных действий и запрашивающий повышение привилегий для процессов, которым требуются права администратора.

Локальная политика безопасности — хранящиеся на компьютере параметры безопасности Windows, действующие для этого узла; доменные GPO могут переопределять конфликтующие настройки.

Механизм закрепления — конфигурация, код или системный объект, позволяющий сохранять присутствие либо повторно получать доступ после выхода из сеанса, остановки процесса или перезагрузки.

Ограниченный языковой режим PowerShell — режим исполнения PowerShell, ограничивающий доступ скриптов к типам .NET, COM-объектам и опасным языковым конструкциям.

Перенаправление устройств RDP — функция протокола удалённого рабочего стола, предоставляющая сеансу доступ к выбранным ресурсам клиентского устройства через виртуальные каналы.

Пересылка событий Windows — механизм доставки записей журналов Windows с источников на сервер-коллектор по подпискам, без установки отдельного агента сбора.

Подпись SMB — механизм проверки целостности и подлинности сообщений SMB, добавляющий криптографическую подпись к обмену между клиентом и файловым сервером.

Политика блокировки учётных записей — набор параметров аутентификации, задающий порог неверных входов, длительность блокировки и период сброса счётчика.

Профиль брандмауэра Windows — набор параметров и правил, применяемых к сетевому подключению в зависимости от категории сети: доменной, частной или общедоступной.

Расширенная политика аудита — механизм Windows, задающий детальные подкатегории аудита безопасности вместо общих категорий базовой политики аудита.

Тип входа Windows — числовое поле в событиях аудита входа, указывающее характер выполненного или запрошенного входа: интерактивного, сетевого, удалённого или служебного.

Транскрибирование PowerShell — функция журналирования, сохраняющая текстовый протокол ввода и вывода сеанса PowerShell в отдельный файл транскрипции.

Эскалация привилегий — получение субъектом прав, превышающих исходно назначенные ему разрешения, вследствие уязвимости, ошибки настройки или злоупотребления доступом.

AMSI — интерфейс Windows, через который интегрированные приложения передают содержимое скриптов, макросов и другие данные зарегистрированному средству защиты для проверки.

ASLR — механизм случайного размещения областей адресного пространства процесса, затрудняющий эксплуатацию уязвимостей с заранее известными адресами кода и данных.

AppLocker — встроенный механизм контроля запуска в Windows, разрешающий или запрещающий файлы по данным издателя, пути или хешу, а упакованные приложения — по атрибутам пакета.

Правила Attack Surface Reduction (ASR) — набор правил Microsoft Defender Antivirus для Windows, блокирующих или аудирующих рискованные действия приложений, документов и сценариев.

BitLocker — технология шифрования томов Windows, защищающая данные от автономного доступа при выключенном устройстве или извлечении накопителя.

Credential Guard — функция Windows, изолирующая учётные данные и производные секреты с помощью виртуализации, чтобы ограничить их извлечение из процессов ОС.

Exploit Protection — набор настраиваемых системных и прикладных мер защиты Windows, затрудняющих эксплуатацию уязвимостей, прежде всего связанных с повреждением памяти.

Just Enough Administration — модель делегированного администрирования PowerShell, предоставляющая пользователю только заданные команды, параметры и права для конкретной задачи.

LSASS — системный процесс Windows, реализующий локальную политику безопасности, проверку учётных данных, создание маркеров доступа и работу пакетов аутентификации.

Microsoft Defender Antivirus — антивирусный компонент защиты Windows, выявляющий вредоносные файлы и действия по сигнатурам, эвристике и облачной репутации.

Microsoft Defender Firewall — встроенный в Windows межсетевой экран, фильтрующий входящие и исходящие соединения по правилам, профилям сети и параметрам трафика.

Microsoft Defender for Endpoint — облачная EDR-платформа Microsoft для защиты конечных точек, анализа телеметрии, расследования инцидентов и выполнения ответных действий.

Microsoft Security Baselines — набор рекомендуемых параметров защиты для конкретных версий продуктов Microsoft, публикуемый как основа для безопасной типовой конфигурации.

NLA — механизм предварительной аутентификации RDP, проверяющий учётные данные пользователя до создания полного удалённого графического сеанса.

NTLM — семейство протоколов аутентификации Microsoft с механизмом запрос—ответ, применяемое в Windows для подтверждения учётных данных без передачи пароля в открытом виде.

RDP — протокол удалённого доступа к графическому сеансу Windows, передающий экран, ввод и перенаправляемые ресурсы между клиентом и хостом.

Remote Credential Guard — режим защиты учётных данных в RDP, при котором пароль и производные секреты пользователя не передаются на удалённый компьютер.

Restricted Admin Mode — режим RDP, при котором удалённому компьютеру не делегируются повторно используемые учётные данные подключившегося пользователя.

Script Block Logging — механизм журналирования PowerShell, записывающий текст блоков сценариев, обрабатываемых движком, включая динамически сформированный код.

Sysmon — компонент Sysinternals для Windows, записывающий в журнал событий детализированную телеметрию о процессах, сетевых соединениях и операциях с файлами и реестром.

Windows Defender Application Control (ныне App Control for Business) — механизм Windows, который по правилам доверия разрешает код и в режиме принудительного применения блокирует остальной.