Как включить и отключить Data Execution Prevention в Windows

Кратко: Data Execution Prevention (DEP) — встроенная защита Windows, которая запрещает выполнение вредоносного кода в областях памяти, помеченных как данные. Ниже — три способа включения и отключения DEP, проверка состояния, советы по безопасности и список действий для администраторов и пользователей.

Что такое Data Execution Prevention

Data Execution Prevention, сокращённо DEP, — это встроенный механизм безопасности Windows. Он разделяет память системы на исполняемую и неисполняемую зоны и предотвращает исполнение кода из областей, помеченных как данные.

Ключевые возможности DEP:

• предотвращение выполнения вредоносного кода;
• ограничение исполнения кода в выбранных частях памяти;
• защита от переполнения буфера и похожих эксплуатаций;
• снижение риска заражения через уязвимости в приложениях;
• возможность настройки для отдельных программ или для всей системы.

Важно: DEP повышает безопасность, но не заменяет антивирус и другие механизмы защиты.

Когда стоит включать или отключать DEP

• Всегда рекомендуется держать DEP включенной для системы по умолчанию. Это снижает риск эксплуатации уязвимостей.
• Отключают DEP только в исключительных случаях: устаревшие 32‑битные приложения или драйверы, которые корректно не отправляют исполнение в допустимые области памяти.
• Отключение DEP увеличивает риск успешной эксплуатации уязвимостей, поэтому перед изменением сделайте резервную копию и план возврата.

Как включить или отключить DEP

Ниже три способа: через командную строку, через Параметры Windows и через Панель управления. После изменения рекомендуется перезагрузить компьютер.

Способ 1 — через Командную строку (CMD)

1. Нажмите на значок Windows, введите CMD и выберите Запуск от имени администратора.
2. Подтвердите повышение прав по запросу контроля учётных записей (UAC).
3. Чтобы включить DEP для текущей записи загрузки, выполните:

bcdedit.exe /set {current} nx AlwaysOn

4. Чтобы полностью отключить DEP, выполните:

bcdedit.exe /set {current} nx AlwaysOff

5. Перезагрузите компьютер, чтобы изменения вступили в силу.

Примечание: команды bcdedit изменяют параметры загрузки и требуют прав администратора. Если система не загружается после отключения DEP, загрузитесь в безопасном режиме и верните значение на AlwaysOn.

Способ 2 — через Параметры Windows (Windows Settings)

1. Нажмите кнопку Windows и выберите Параметры.
2. Откройте Конфиденциальность и безопасность, затем Windows Security.

3. Выберите Контроль приложений и браузера, прокрутите до Exploit Protection и нажмите Параметры Exploit Protection.

4. В разделе Data Execution Prevention раскройте список настроек и выберите подходящий режим для системы или для отдельных приложений.

Важно: по умолчанию DEP установится в режим по умолчанию (ON) для большинства систем. Изменения в Exploit Protection применимы немедленно к выбранным приложениям, но для системных изменений может потребоваться перезагрузка.

Способ 3 — через Панель управления (Control Panel)

1. Нажмите кнопку Windows, введите Панель управления и откройте её.
2. Перейдите в Система и безопасность, затем в Система.

3. В правой части нажмите Дополнительные параметры системы.

4. В разделе Производительность нажмите Параметры.

5. Перейдите на вкладку Профилактика выполнения данных (Data Execution Prevention) и выберите опцию Включить DEP только для основных служб Windows или Включить DEP для всех программ, кроме выбранных вручную.

6. Нажмите ОК и перезагрузите компьютер.

Как проверить, включён ли DEP

1. Нажмите Windows, введите msinfo32 и выполните программу Сведения о системе.
2. В разделе Сводка системы найдите строку Профилактика выполнения данных. Там будет указано, включён DEP или выключен, и в каком режиме.

Полезно: если нужная строка отсутствует или отображается как неизвестно, убедитесь, что вы запустили msinfo32 с правами пользователя и что ваша версия Windows поддерживает отображение этой информации.

Частые проблемы и их устранение

• Система не загружается после изменения параметров bcdedit: загрузитесь в среде восстановления и выполните bcdedit.exe /set {current} nx AlwaysOn или используйте функцию восстановления системы.
• Приложение требует отключения DEP: сначала попробуйте добавить его исключение через Панель управления или Exploit Protection, а не отключать DEP глобально.
• Команда не выполняется из CMD: убедитесь, что вы запустили CMD от имени администратора и подтвердили UAC.

Важно: полное отключение DEP повышает риск эксплойтов и не рекомендуется для рабочих систем без крайней необходимости.

Как правильно решать конфликт с устаревшим приложением

1. Попробуйте настроить исключение для конкретного исполняемого файла через Exploit Protection.
2. Если приложение старое и не поддерживается, рассмотрите запуск его в изолированной виртуальной машине.
3. Для внутренних корпоративных решений — создайте тестовую среду и внесите изменения только после одобрения безопасности.

Список проверок для разных ролей

Администратор:

• подтвердить резервные копии перед изменением параметров;
• задокументировать изменения и время перезагрузки;
• при необходимости использовать GPO для централизованной настройки;
• тестировать поведение критичных приложений в тестовой среде.

Обычный пользователь:

• связаться с администратором перед отключением DEP;
• при появлении ошибок приложений сначала пробовать добавить исключение, затем отправлять отчёт о проблеме.

Быстрый чек-лист для включения DEP через CMD

• Открыть CMD от имени администратора;
• выполнить bcdedit.exe /set {current} nx AlwaysOn;
• перезагрузить компьютер;
• проверить статус через msinfo32.

Контрпримеры и альтернативные подходы

Контрпример: отключение DEP может быть временно необходимым для запуска старого служебного ПО, но это не является долгосрочным решением.

Альтернативы:

• настройка исключений для конкретных программ через Exploit Protection;
• перенос устаревших приложений в виртуальную среду;
• обновление или замена неподдерживаемого ПО.

Краткий словарь

• DEP — Data Execution Prevention, профилактика выполнения данных;
• UAC — контроль учётных записей пользователей, запрос для повышения прав;
• bcdedit — утилита для изменения параметров загрузчика Windows.

Итог

DEP — важный уровень защиты Windows. Включайте DEP по умолчанию и меняйте настройки только в обоснованных случаях. Для большинства пользователей достаточно оставить DEP включённым и применять исключения для отдельных приложений через Exploit Protection.

Если остались вопросы или нужен пример команды для конкретного сценария, напишите в комментариях и укажите версию Windows и цель изменения DEP.