Защита приложений Windows с EMET

Что такое EMET

EMET — это набор механизмов смягчения рисков от Microsoft, который служит интерфейсом для встроенных в Windows защит. Коротко: EMET применяет дополнительные политики безопасности к запущенным процессам, чтобы мешать эксплойтам успешно заражать приложения.

Ключевые термины

DEP — Data Execution Prevention, предотвращает выполнение кода из областей данных.
EAF — Export Address Table Access Filtering, ограничивает доступ к таблице экспортов для предотвращения перехвата вызовов.
SEHOP — Structured Exception Handler Overwrite Protection, защищает от перезаписи обработчиков исключений.

Почему имеет смысл использовать EMET

Дополнительный уровень защиты для браузеров, плагинов и часто атакуемых программ.
Удобный графический интерфейс для администраторов и продвинутых пользователей.
Может блокировать эксплойты ещё до их выполнения.

Важно: многие механизмов, которые использует EMET, уже есть в Windows, но EMET делает их простыми в применении и даёт гибкий контроль по процессам.

Когда EMET помогает и когда не помогает

Когда помогает

Защита современных браузеров, почтовых клиентов и плееров от распространённых эксплойтов.
Защита корпоративного ПО при ограниченном бюджете на апгрейд.

Когда не подходит

Устаревшее ПО, написанное без учёта современных механизмов безопасности; велика вероятность ложных срабатываний и падений приложений.
Если приложение критично и не допускает рестартов или изменения поведения без полного тестирования.

Пример неудачи: старая 32‑битная программа с самописной системой обработки исключений может некорректно работать с SEHOP или EAF и упасть.

Установка и быстрая настройка EMET

Скачайте EMET с официального сайта Microsoft и установите как обычную программу.
В процессе установки выберите опцию “Use Recommended Settings” и завершите установку кнопкой “Finish”.
После установки EMET будет работать в фоновом режиме в панели задач; двойной клик откроет окно управления.
В главном окне EMET отображаются запущенные процессы и статус системы.
Чтобы быстро покрыть популярные приложения, импортируйте поставляемый Microsoft XML-файл с конфигурацией. Нажмите Import на ленте и выберите файл Popular Software.xml.
Перезапустите приложения или всю систему, чтобы новые политики применились.
В разделе процессов будут отмечены приложения, защищаемые EMET, зелёной галочкой в колонке Running EMET.
Через кнопку Apps откройте окно конфигурации приложений, где можно включать или отключать отдельные политики по каждому приложению.
Чтобы добавить своё приложение, нажмите Add Application, укажите исполняемый файл и подтвердите. Например, можно добавить редактор Sublime Text.
В списке конфигурации появится новое приложение; задайте для него требуемые политики.

Настройки отдельных политик безопасности для добавленного приложения в EMET

Для быстрого изменения уровня защиты используйте меню Quick Profile Name и выберите Recommended Security Settings или другой профиль.

Выбор быстрого профиля безопасности в EMET через Quick Profile Name

Если EMET обнаружит несоответствие политике, оно может заблокировать запуск приложения и показать сообщение. При доверии к приложению поменяйте политику в конфигурации.

Сообщение EMET о блокировке запуска приложения при нарушении политики

Можно изменить оформление интерфейса через список Skin на ленте.

Меню выбора скина интерфейса EMET

Миниметодология внедрения EMET в организации

Инвентаризация — составьте список критичных и часто используемых приложений.
Тестовая группа — выберите небольшой пул машин и импортируйте профиль Popular Software.xml.
Мониторинг — работайте с логами и обратной связью пользователей в тестовой группе 1–2 недели.
Настройка исключений — для несовместимых приложений создайте индивидуальные правила.
Поэтапное развёртывание — разверните на следующих группах и повторите мониторинг.
Документирование — опишите принятые профили и процедуры роллбэка.

Чек-листы по ролям

Администратор

Сделать резервные копии конфигураций и инвентаря.
Запустить тестовую группу и экспортировать лог ошибок.
Создать шаблоны политик для основных классов приложений.

Power User

Использовать рекомендуемые профили и сообщать о падениях.
Для доверенных приложений временно снизить уровень защиты и зарегистрировать изменения.

Разработчик

Тестировать приложение с активированными DEP, ASLR и SEHOP.
Исправлять опасные практики, приводящие к ложным срабатываниям.

Матрица совместимости и риски

Качество приложения: высокое, среднее, низкое

Высокое: совместимость вероятна, выгода — высокая.
Среднее: возможны отдельные проблемы; тестирование обязательно.
Низкое: большая вероятность падений; рассмотреть обновление или исключение.

Риски и как их смягчить

Ложные срабатывания и падения приложений — подготовьте процедуру отката и исключения.
Непонимание пользователями причин блокировок — настройте уведомления и инструкцию для поддержки.
Зависимость от старых компонентов — запланируйте миграцию или изоляцию старых систем.

Критерии приёмки для развёртывания

Ниже 5% приложений тестовой группы имеют критические отказы при стандартных сценариях.
Все критичные бизнес‑приложения прошли функциональное тестирование с активированными политиками.
Задокументированы исключения и процедуры возврата к предыдущей конфигурации.

Типичные проблемы и когда EMET не спасёт

Эксплойты, использующие уязвимости на уровне ядра или драйверов, могут обходить пользовательские политики EMET.
Политики EMET усложняют, но не заменяют регулярное обновление ПО и исправление уязвимостей.

Короткое объявление о внедрении EMET (пример для рассылки, 100–200 слов)

Мы внедряем Microsoft EMET для усиления защиты рабочих станций и серверов. EMET добавляет дополнительные уровни смягчения атак для часто эксплуатируемого ПО, минимизируя риск успешного выполнения эксплойтов. В ближайшие недели мы начнём поэтапное развёртывание: сначала тестовая группа, затем остальная инфраструктура. Если вы заметите проблемы с запуском приложений или падениями, пожалуйста, немедленно сообщите в службу поддержки. Мы обеспечим возможность отката и индивидуальную настройку правил для совместимости. Проект направлен на повышение уровня безопасности без значительных изменений в рабочем процессе пользователей.

Диаграмма выбора профиля безопасности

flowchart TD
  A[Начать внедрение EMET] --> B{Сервер или рабочая станция?}
  B -- Сервер --> C[Тестовая группа серверов]
  B -- Рабочая станция --> D[Тестовая рабочая станция]
  C --> E{Критические бизнес‑приложения есть?}
  D --> E
  E -- Да --> F[Тщательное тестирование и индивидуальные профили]
  E -- Нет --> G[Импорт Popular Software.xml и Recommended Settings]
  F --> H[Мониторинг и корректировка]
  G --> H
  H --> I{Проблемы > допустимого порога?}
  I -- Да --> J[Откат/исключения и доработка]
  I -- Нет --> K[Поэтапное развёртывание]

1-строчный глоссарий

ASLR — защита, перемешивающая адреса памяти.
DEP — предотвращает выполнение кода из областей данных.
EAF — фильтрация доступа к таблице экспортов.
SEHOP — защита от перезаписи обработчиков исключений.

Итоги

EMET эффективно повышает барьер для эксплуатационных атак на пользовательские приложения.
Используйте его как дополнение к обновлениям и другим защитам, а не как единственное средство.
Всегда тестируйте и документируйте исключения перед массовым развёртыванием.

Спасибо за чтение. Оставляйте комментарии с опытом использования EMET и вопросами по внедрению.