Microsoft SmartScreen

Впервые технология SmartScreen была представлена в Internet Explorer 7, где называлась фильтром против фишинга. Phishing Filter не проверяет каждый посещаемый пользователем сайт, а только те, которые считаются подозрительными^[1].

С выходом Internet Explorer 8 фильтр против фишинга был переименован в SmartScreen и расширен функциями по защите от программ, распространяемых с помощью социальной инженерии. Каждый сайт и загружаемый файл проверяется по локальному списку популярных легитимных сайтов; если сайт не найден в списке, весь адрес отправляется в Microsoft для дальнейшей проверки^[2]. Если сайт помечён как поддельный или опасный, Internet Explorer 8 отображает предупреждение о том, что сайт вредоносный и не должен посещаться. Пользователь может вернуться на домашнюю страницу, предыдущий сайт или проигнорировать предупреждение и продолжить посещение^[3]. Если попытка загрузки файла происходит с опасного источника, загрузка отменяется. Эффективность фильтрации SmartScreen по данным ряда исследований превосходит аналогичные средства защиты других браузеров^[4].

По заявлению Microsoft, технология SmartScreen, используемая в Internet Explorer 8, эффективно защищала от фишинговых и иных вредоносных сайтов, а также от программ, распространяемых социальными методами^[5].

Начиная с Internet Explorer 8, работу SmartScreen можно настраивать с помощью групповых политик.

В Internet Explorer 9 SmartScreen получил функцию защиты от загрузки исполняемых файлов благодаря запуску модуля Application Reputation, анализирующего репутацию как безопасного, так и вредоносного ПО. Система блокирует известное вредоносное ПО, а при попытке загрузить неизвестное исполняемое приложение предупреждает пользователя. Решение о репутации основывается в том числе на репутации сайта загрузки по результатам анализа предыдущих версий фильтра^[6].

Internet Explorer Mobile 10 стал первой мобильной версией браузера с поддержкой фильтра SmartScreen^[7].

Microsoft Edge (классическая версия) стал новым браузером Microsoft начиная с Windows 10, построенным на той же платформе, что и Internet Explorer. Впоследствии Microsoft Edge был переведён на движок Chromium от Google, что позволило ему работать кроссплатформенно, включая macOS и более старые версии Windows (до Windows 8.1 и ниже). SmartScreen входил во все версии Microsoft Edge, преимущественно с паритетом по функциям с Internet Explorer, но с поэтапным расширением возможностей против новых типов угроз (например, мошенничество с техподдержкой) и новым функционалом корпоративной настройки.

В октябре 2017 года была устранена критика касательно способов подачи жалобы на опасные URL-адреса — создана специальная страница для подачи жалоб (Report unsafe site). Ранее для этого требовалось посещение потенциально вредоносного сайта через встроенный инструмент браузера, что подвергало пользователей риску. В 2017 году появилась отдельная форма, позволяющая отправить любой URL без необходимости его посещения.

Фильтр SmartScreen в Microsoft Outlook ранее можно было обойти из-за уязвимости в Internet Explorer: ссылки переходов открывались сначала на подставной сайт, который затем через цепочку редиректов приводил пользователя на вредоносный ресурс^[8]. В исходной реализации опция «Сообщить о сайте» передавала только текущий адрес странички, а не полный путь перенаправления, поэтому исходный вредоносный адрес оставался неизвестным Microsoft. Проблема была решена в некоторых версиях Microsoft Edge (классическая версия), где в Microsoft начали передавать цепочку редиректов для дополнительного анализа.

В Microsoft Windows 8 в SmartScreen были добавлены встроенные механизмы защиты операционной системы: по умолчанию для любого файла или приложения, загруженного из Интернета (включая почтовые клиенты и сторонние браузеры, такие как Google Chrome), выполняется проверка репутации^[9].^[10]

Функция Windows SmartScreen реализована непосредственно в оболочке Windows и срабатывает перед запуском любого скачанного ПО.

В отличие от реализации в Internet Explorer 9, где функция только предупреждает о загрузке и запуске небезопасных программ для Internet Explorer, Windows SmartScreen блокирует запуск опасных приложений, загруженных из любых источников из Интернета.

При настройках по умолчанию требуется подтверждение с повышением прав для запуска опасных приложений.

Появление SmartScreen вызвало дискуссию о приватности и юридических/технических вопросах: отправка хэша файла и IP-адреса пользователя на сервер Microsoft может теоретически позволить создавать базу скачанных пользователем файлов; а использование устаревшего протокола SSL 2.0 приводило к уязвимости передачи данных. В ответ Microsoft заявила, что IP-адрес собирается только для нужд функционирования сервиса и периодически удаляется, что на Windows 8 используется только SSL 3.0, а собранная через SmartScreen информация не используется для рекламы и не продаётся третьим сторонам^[11].

Начиная с Windows 10, параметры SmartScreen вынесены в Центр безопасности Windows Defender^[12].

В более поздних выпусках Windows 10 и Windows 11 SmartScreen получил расширенные возможности управления и настройки корпоративной защиты конечных устройств.

Outlook.com использует SmartScreen для защиты пользователей от нежелательных сообщений (спам/мусор), мошеннических писем (фишинг) и вредоносного ПО, распространяемого через e-mail. После первоначального анализа текста письма особое внимание уделяется гиперссылкам и вложениям.

Для фильтрации спама SmartScreen Filter использует обучение на модели машинного обучения Microsoft Research, основанное на известных спам-угрозах и пользовательских отметках писем, помечаемых как «спам».

Со временем фильтр учитывает предпочтения пользователей, определяя характеристики нежелательных и разрешённых писем, а также формирует репутацию отправителей на основе количества отмеченных писем. По этим данным каждому сообщению присваивается рейтинг SCL (Spam Confidence Level; уровень уверенности в спаме): чем ниже балл, тем менее вероятен спам. Оценка −1, 0 или 1 означает, что письмо считается не спамом, и попадает во входящие. Оценки 5, 6, 7, 8 или 9 — письма считаются спамом и направляются в папку «Нежелательная почта»; 5 или 6 — подозрение на спам, 9 — явный спам^[13]. Рейтинг SCL можно найти во внутренних заголовках письма.

SmartScreen анализирует письма на наличие мошеннических и подозрительных ссылок. При обнаружении таковых сообщение может быть автоматически помещено в спам с красной полосой предупреждения. Также SmartScreen защищает от подделки домена-отправителя посредством технологий Sender ID и DomainKeys Identified Mail (DKIM). Кроме того, для писем от сертифицированных отправителей рядом с темой письма появляется зелёная иконка-щит, что позволяет проще отличить такие сообщения^[14].^[15]

В конце 2010 года были опубликованы результаты исследований NSS Labs по тестированию защиты браузеров от вредоносных ссылок, связанных с социальной инженерией^[16]. Тест оценивал способность браузера блокировать попытки перехода по вредоносным ссылкам и загрузки вредоносных файлов, но не препятствовал загрузке вредоносных страниц или кода.

По данным NSS Labs, Internet Explorer 9 блокировал 99% загрузок вредоносных файлов (по сравнению с 90% у IE8, в котором отсутствует функция репутации приложений; Chrome, Firefox и Safari, использующие фильтр Google Safe Browsing, показали 13%; а Opera 11 — только 5%)^[17].^[18][19] SmartScreen особо отмечен за почти мгновенное внесение сайтов в чёрный список — по сравнению с несколькими часами задержки в других браузерах.

В начале 2010 года аналогичные испытания дали Internet Explorer 8 результат 85% (прирост до 90% объясняется улучшением анализа данных). Для сравнения, Chrome 6, Firefox 3.6 и Safari 5 набрали 6%, 19% и 11% соответственно, а Opera 10 показала 0% обнаружения вредоносных ссылок^[20].^[21]

В июле 2010 Microsoft сообщила, что SmartScreen в Internet Explorer блокировал более миллиарда попыток перейти на опасные сайты^[22]. По словам компании, SmartScreen в Outlook.com ежедневно блокирует 4,5 млрд нежелательных писем, хотя внешние испытания (например, Cascade Insights) показывают, что во входящие всё равно попадает до половины спама^[23].^[24] В блоге Microsoft от сентября 2011 года упоминались предотвращённые 1,5 млрд попыток заражения вредоносным ПО и более 150 млн попыток фишинга^[25].

В 2017 году Microsoft упростила процедуру подачи жалоб на опасные сайты, создав отдельную страницу для этих целей^[26].

SmartScreen со временем начал защищать и от новых угроз: мошенничества с техподдержкой, потенциально нежелательных приложений и drive-by-атак (автоматических заражений без действий пользователя).

Разработчики других браузеров высказывали критику по поводу независимых тестов, показывающих превосходство защиты Internet Explorer перед Chrome, Firefox или Opera. Основные претензии касались непрозрачности списка тестируемых URL и игнорирования дополнительных механизмов защиты браузеров. В частности, представители Google отмечали, что «сам отчёт прямо указывает: он не оценивает защищённость браузера относительно уязвимостей в плагинах или самом браузере»^[27], а Opera отмечала, что «уровень защиты от социальной инженерии не является индикатором общей безопасности браузера»^[28].

SmartScreen формирует репутацию на основе сертификатов подписи кода, идентифицирующих автора ПО. После достижения доверия к сертификату новые версии ПО, подписанные этим сертификатом, сохраняют репутацию.

Однако сертификаты подписи обновляются раз в два года; SmartScreen не связывает обновлённый сертификат со старым, поэтому репутация приложения теряется, вынуждая пользователя видеть пугающее предупреждение. Сертификаты с расширенной проверкой (Extended Validation, EV) этого недостатка лишены, но они зачастую дорогие и недоступны для малых разработчиков^[29].

Для небольших разработчиков SmartScreen затрудняет распространение обновлённого дистрибутива или бинарных файлов: при публикации новой версии SmartScreen может предупреждать, что файл нечасто скачивают, и может быть вредоносным. Эта проблема решается подписыванием ПО цифровым сертификатом: репутация формируется и по хэшу файла, и по сертификату. Распространённый обход — предлагать инсталлятор в виде ZIP-архива, что может сбивать с толку неопытных пользователей^[30].

SmartScreen также увеличивает издержки на разработку у некоммерческих проектов, поскольку необходимо покупать сертификаты подписи, а для немедленного приобретения репутации требуются дорогие EV-сертификаты, что часто недоступно мелким разработчикам^[31]. Обычные сертификаты создают «замкнутый круг»: чтобы получить доверие SmartScreen — нужно, чтобы программу скачали; чтобы скачали — она должна пройти SmartScreen; репутация же строится именно на числе скачиваний.