วิธีตั้งค่า Windows Defender เพื่อความปลอดภัยสูงสุด

อินฟอร์เมเทค ดิจิตอล » Recursos » วิธีตั้งค่า Windows Defender เพื่อความปลอดภัยสูงสุด

หากคุณใช้ Windows 10 หรือ Windows 11 คุณจะมีโปรแกรมป้องกันไวรัสที่ดีพอสมควรติดตั้งมาให้แล้วโดยค่าเริ่มต้น นั่นคือMicrosoft Defenderปัญหาคือแทบไม่มีใครใส่ใจที่จะตั้งค่าอย่างละเอียด และด้วยการตั้งค่าเริ่มต้น คุณจะได้รับการปกป้อง...แต่ก็ไม่ได้รับการปกป้องอย่างเต็มที่เท่าที่ควร ด้วยการปรับแต่งอย่างรอบคอบเพียงเล็กน้อย คุณก็สามารถยกระดับความปลอดภัยของระบบของคุณไปอีกขั้นได้

ในคู่มือนี้ เราจะมาดูวิธีการปรับแต่ง Microsoft Defender เพื่อให้การปกป้องที่ดีที่สุดทั้งบนพีซีที่บ้านและในสภาพแวดล้อมการทำงาน เราจะครอบคลุมทุกอย่างตั้งแต่ตัวเลือกอินเทอร์เฟซพื้นฐานไปจนถึงการตั้งค่ารีจิสทรีขั้นสูง การป้องกันแรนซัมแวร์ การตั้งค่าความเป็นส่วนตัว การควบคุมโดยผู้ปกครอง และการจัดการแบบรวมศูนย์ด้วย Intune หรือ Group Policy

อัปเดตและตรวจสอบสถานะของ Microsoft Defender

ก่อนที่จะเริ่มปรับแต่งการตั้งค่าต่างๆ โปรดตรวจสอบให้แน่ใจว่าเอนจิ้นและฐานข้อมูลไวรัสของ Defender นั้นได้รับการอัปเดตอย่างสมบูรณ์แล้วโปรแกรมป้องกันไวรัสที่ล้าสมัยนั้นแย่กว่าการไม่มีโปรแกรมป้องกันไวรัสเลยเสียอีก

วิธีที่เร็วที่สุดในการตรวจสอบการอัปเดตโปรแกรมป้องกันไวรัสคือ คลิกขวาที่ไอคอน Windows Security ในถาดระบบ แล้วเลือก"ตรวจสอบการอัปเดตโปรแกรมป้องกัน ไวรัส " หรืออีกวิธีหนึ่งคือ เปิด Windows Security ไปที่การป้องกันไวรัสและภัยคุกคามแล้วคลิกที่การอัปเดตโปรแกรมป้องกันไวรัสและภัยคุกคาม

ควรเปิดส่วนนี้เป็นระยะเพื่อตรวจสอบว่าไม่มีการอัปเดตใดค้างอยู่และสถานะของระบบถูกต้อง เพื่อให้แน่ใจว่าเครื่องมือวิเคราะห์ ฮิวริสติก และลายเซ็นมัลแวร์เป็นเวอร์ชันล่าสุด

เพิ่มความปลอดภัยให้ Microsoft Defender จากรีจิสทรีของ Windows

หากคุณต้องการใช้ Defender ให้เกิดประโยชน์สูงสุด คุณสามารถเปิดใช้งานตัวเลือกที่ไม่ปรากฏในส่วนติดต่อผู้ใช้แบบกราฟิก ซึ่งจะเพิ่มความเข้มข้นและความละเอียดของการสแกน อย่างมาก การดำเนินการนี้จำเป็นต้องแก้ไขรีจิสทรีของ Windows ดังนั้นโปรดระมัดระวังเป็นอย่างยิ่ง

ไปที่พาธHKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defenderภายในคีย์นั้น ให้สร้างคีย์ย่อยใหม่สองคีย์ชื่อMpEngineและSpynet (คลิกขวาที่ “Windows Defender” > สร้าง > คีย์ แล้วป้อนชื่อที่เหมาะสม)

ตอนนี้ไปที่ คีย์ MpEngineแล้วในบานหน้าต่างด้านขวา ให้สร้างค่า DWORD 32 บิตใหม่ชื่อMpBafsExtendedTimeoutกำหนดค่าเป็น0x19ในเลขฐานสิบหก (25 ในเลขฐานสิบ) จากนั้นสร้างค่า DWORD 32 บิตอีกค่าหนึ่งชื่อMpCloudBlockLevelและตั้งค่าเป็น0x2ในเลขฐานสิบหก

การตั้งค่าเหล่านี้ควบคุมระยะเวลาที่ Defender สามารถบล็อกไฟล์ที่น่าสงสัยชั่วคราวในขณะที่ตรวจสอบระบบคลาวด์ และระดับความเข้มงวดในการประเมินภัยคุกคามบนคลาวด์ การตั้งค่า MpBafsExtendedTimeout จะเพิ่มเวลาบล็อกสูงสุดเป็นประมาณ 60 วินาที ลดโอกาสที่ไฟล์ที่น่าสงสัยจะทำงานก่อนที่บริการคลาวด์จะจัดประเภท การตั้งค่า MpCloudBlockLevel เป็น 2 จะตั้งค่าระดับการป้องกันคลาวด์ให้เข้มงวดมาก ทำให้ Defender มีแนวโน้มที่จะบล็อกสิ่งใดก็ตามที่มีชื่อเสียงไม่ดี มากขึ้น

ขั้นตอนต่อไป เปิดไฟล์Spynet key และสร้างค่า DWORD 32 บิตดังต่อไปนี้:

• ปิดการใช้งาน BlockAtFirstSeen มีค่าเท่ากับ 0.
• การรายงาน Spynet มีค่าเท่ากับ 2.
• การรายงาน LocalSettingOverrideSpynet มีค่าเท่ากับ 1.
• ส่งตัวอย่างคำยินยอม มีค่าเท่ากับ 1.

การตั้งค่า DisableBlockAtFirstSeen เป็น 0 จะทำให้ระบบทำการตรวจสอบแบบเรียลไทม์กับ Microsoft Active Protection Service ซึ่งหมายความว่าไฟล์ใหม่สามารถถูกบล็อกได้ทันทีที่ถูกเปิดดูเป็นครั้งแรก หากไฟล์นั้นมีชื่อเสียงที่ไม่น่าเชื่อถือ

ค่า SpynetReporting เท่ากับ 2 จะเปิดใช้งานการสมัครใช้งานขั้นสูงสำหรับบริการตรวจสอบชื่อเสียงของ Microsoft ซึ่งจะส่งรายละเอียดเพิ่มเติมเกี่ยวกับมัลแวร์ที่ตรวจพบ เช่น ชื่อไฟล์ พฤติกรรม และผลกระทบต่อระบบ สิ่งนี้ช่วยปรับปรุงการป้องกันบนคลาวด์ แต่ต้องแลกมาด้วยการแบ่งปันข้อมูลกับ Microsoft มากขึ้น ซึ่งส่งผลกระทบต่อความเป็นส่วนตัว

ค่า LocalSettingOverrideSpynetReporting เท่ากับ 1 แสดงว่าการตั้งค่าภายในเครื่องสามารถแทนที่นโยบายกลุ่มเกี่ยวกับการส่งข้อมูลได้ ซึ่งมีประโยชน์เมื่อคุณต้องการปรับแต่งบางอย่างบนคอมพิวเตอร์เครื่องใดเครื่องหนึ่ง แม้ว่าจะมีนโยบายกลุ่มขององค์กรอยู่แล้วก็ตาม

สุดท้าย การตั้งค่า SubmitSamplesConsent เป็น 1 จะทำให้มีการส่งตัวอย่างไฟล์ที่น่าสงสัยโดยอัตโนมัติเมื่อระบบตรวจสอบข้อมูลอนุญาต ซึ่งจะช่วยเพิ่มความสามารถของ Microsoft ในการสร้างลายเซ็นและแบบจำลองการตรวจจับภัยคุกคามที่เกิดขึ้นใหม่ได้อย่างรวดเร็ว

เมื่อเสร็จแล้ว ให้ปิด Registry Editor และรีสตาร์ทพีซีของคุณ จากนั้นเป็นต้นไป Defender จะทำงานด้วย โปรไฟล์การป้องกัน ที่เข้มงวดมากขึ้นโดยเฉพาะอย่างยิ่งกับภัยคุกคามที่เพิ่งค้นพบใหม่

เลือกไฟล์ โฟลเดอร์ และกระบวนการที่ต้องการให้ Defender สแกน

แม้ว่าอาจฟังดูแปลก แต่เพื่อความปลอดภัยสูงสุด บางครั้งจำเป็นต้องบอก Defender ว่าไม่ควรสแกน อะไรบ้าง ทำเช่นนี้เพื่อหลีกเลี่ยงความขัดแย้งกับแอปพลิเคชันหรือเครื่องมือพัฒนาที่สำคัญบางอย่าง และเพื่อเพิ่มประสิทธิภาพการทำงาน

เปิด Windows Security แล้วไปที่การป้องกันไวรัสและภัยคุกคามเลื่อนลงมาที่การตั้งค่าการป้องกันไวรัสและภัยคุกคามแล้วคลิกจัดการการตั้งค่าที่ด้านล่าง คุณจะเห็น ส่วน การยกเว้นคลิก เพิ่มหรือลบการยกเว้น แล้ว คลิก เพิ่ม การยกเว้น

คุณสามารถยกเว้นไฟล์เฉพาะไฟล์ประเภทใดประเภทหนึ่ง (โดยนามสกุล) โฟลเดอร์ทั้งหมดหรือกระบวนการทำงานได้ หากคุณเลือกไฟล์หรือโฟลเดอร์ โปรแกรม Explorer จะเปิดขึ้นเพื่อให้คุณเลือกเส้นทาง หากคุณเลือกไฟล์ประเภทใดประเภทหนึ่งหรือกระบวนการทำงาน กล่องโต้ตอบจะปรากฏขึ้นเพื่อขอให้คุณพิมพ์นามสกุลหรือชื่อไฟล์ที่เรียกใช้งานได้

เมื่อคุณเพิ่มรายการยกเว้น รายการเหล่านั้นจะปรากฏบนหน้าจอเดียวกัน หากต้องการลบรายการใด ให้คลิกลูกศรเล็กๆ ที่อยู่ถัดจากรายการนั้น แล้วคลิกลบขอแนะนำให้ใช้รายการยกเว้นเหล่านี้อย่างรอบคอบ: แต่ละรายการที่ถูกยกเว้นหมายความว่า Defender จะไม่ตรวจสอบรายการเหล่านั้นอีกต่อไปดังนั้นคุณควรยกเว้นเฉพาะสิ่งที่จำเป็นอย่างยิ่ง และหากเป็นไปได้ ควรจำกัดการยกเว้นเหล่านั้นไว้เฉพาะโฟลเดอร์หรือกระบวนการที่ปิดไปแล้วที่คุณไว้วางใจอย่างแน่นอน

จากแผงควบคุมโปรแกรมป้องกันไวรัสและภัยคุกคามเดียวกัน คุณยังสามารถเข้าถึงการสแกนประเภทต่างๆ ได้อีกด้วย :

• ทดสอบด่วนโฟลเดอร์ทั่วไปที่มัลแวร์มักซ่อนตัวอยู่
• สอบเสร็จ: การวิเคราะห์เชิงลึกของไฟล์และไดรฟ์ทั้งหมด
• การสอบแบบเฉพาะบุคคลคุณเลือกได้เองว่าจะตรวจสอบโฟลเดอร์ใดบ้าง
• การสแกนแบบออฟไลน์ของ Microsoft Defenderวิเคราะห์แบบออฟไลน์เพื่อกำจัดภัยคุกคามที่ยังคงอยู่

หากคุณสงสัยว่ามีโฟลเดอร์ใดโฟลเดอร์หนึ่งผิดปกติ (เช่นโฟลเดอร์ดาวน์โหลดหรือโฟลเดอร์ที่คุณใช้ทำงานกับไฟล์จากภายนอก) วิธีที่ดีที่สุดคือการใช้การสแกนแบบกำหนดเองเลือกตำแหน่งด้วย "สแกนเดี๋ยวนี้" เลือกโฟลเดอร์ แล้วคลิก "เลือกโฟลเดอร์" Defender จะเริ่มการสแกนและแสดงแถบความคืบหน้าพร้อมจำนวนไฟล์ที่สแกน เวลาที่ผ่านไป และเวลาที่เหลือโดยประมาณ

ถัดลงมาคือประวัติภัยคุกคามซึ่งคุณสามารถดูวันที่และประเภทของการสแกนครั้งล่าสุด จำนวนภัยคุกคามที่พบ ระยะเวลาการสแกน และจำนวนไฟล์ที่ตรวจสอบ นอกจากนี้ยังแสดงภัยคุกคามที่ถูกกักกันและภัยคุกคามที่ผู้ใช้อนุญาตด้วยตนเองด้วย

ในส่วนนี้ คุณสามารถลบทุกอย่างที่ถูกกักกันไว้ได้ในครั้งเดียว หรือตรวจสอบทีละรายการและตัดสินใจว่าจะลบอะไรอย่างถาวรหรือจะกู้คืนอะไร (โดยคำนึงถึงความเสี่ยงในการเปิดใช้งานไฟล์ที่อาจเป็นอันตรายอีกครั้ง)

ปกป้องตัวเองจากมัลแวร์เรียกค่าไถ่ด้วย Microsoft Defender

หนึ่งในฟังก์ชันที่สำคัญที่สุดของ Defender ซึ่งมักถูกปิดใช้งานโดยค่าเริ่มต้นคือการป้องกันแรนซัมแวร์โดยอาศัยการควบคุมการเข้าถึงโฟลเดอร์

มัลแวร์เรียกค่าไถ่จะเข้ารหัสไฟล์ส่วนตัวของคุณ จากนั้นเรียกค่าไถ่ (โดยปกติจะเป็นสกุลเงินดิจิทัล) เพื่อให้สามารถเข้าถึงไฟล์ได้ การจ่ายเงินไม่ได้เป็นการรับประกันอะไร และบ่อยครั้งที่ที่อยู่อีเมลหรือช่องทางการติดต่อของผู้โจมตีจะถูกปิดลง ทำให้คุณสูญเสียทั้งเงินและข้อมูลของคุณ

ในการเปิดใช้งานการป้องกันนี้ ให้เปิด Windows Security แล้วไปที่การป้องกันไวรัสและภัยคุกคามเลื่อนลงมาที่ ส่วน "การป้องกันแรนซัมแวร์"แล้วคลิกที่"จัดการการป้องกันแรนซัมแวร์" ตรงนั้นคุณจะเห็น ตัวเลือก"ควบคุมการเข้าถึงโฟลเดอร์ "

การเปิดใช้งานคุณสมบัตินี้จะป้องกันไม่ให้แอปพลิเคชันที่ไม่ได้รับอนุญาตแก้ไขหรือเข้ารหัสโฟลเดอร์ที่ได้รับการป้องกัน Windows จะปกป้องโฟลเดอร์ระบบและเส้นทางของผู้ใช้บางส่วนโดยค่าเริ่มต้น แต่คุณสามารถเพิ่มโฟลเดอร์อื่นๆ ได้ตามต้องการ

ในแผงเดียวกัน คุณสามารถดูประวัติการล็อก เพิ่มโฟลเดอร์ที่ได้รับการป้องกันใหม่ด้วย "เพิ่มโฟลเดอร์ที่ได้รับการป้องกัน" และลบโฟลเดอร์ที่คุณไม่ต้องการป้องกันอีกต่อไป (ยกเว้นโฟลเดอร์ระบบ ซึ่งไม่สามารถปิดใช้งานได้) แนวคิดคือการรวมทุกสิ่งที่สำคัญสำหรับคุณไว้ในที่นี้ เช่น เอกสารงาน รูปภาพ โครงการ ฯลฯ เพื่อป้องกันไม่ให้มัลแวร์เรียกค่าไถ่เข้าถึงได้ง่าย

นอกจากนี้ คุณยังสามารถเชื่อมโยงข้อมูลสำรองของคุณกับOneDriveได้ หากคุณลงชื่อเข้าใช้ด้วยบัญชี Microsoft คุณสามารถตั้งค่าการสำรองข้อมูลอัตโนมัติของไฟล์ที่สำคัญที่สุดของคุณไปยังคลาวด์ได้ วิธีนี้ไม่ได้ป้องกันการโจมตีโดยตรง แต่จะช่วยให้คุณกู้คืนข้อมูลได้แม้ว่าพีซีของคุณจะถูกเข้ารหัสอย่างสมบูรณ์แล้วก็ตาม

เปิดใช้งานระบบป้องกันการงัดแงะ Defender

อีกหนึ่งชั้นการป้องกันที่มีประโยชน์มากคือการป้องกัน การแก้ไขดัดแปลง คุณสมบัตินี้จะป้องกันมัลแวร์หรือแอปพลิเคชันจากบุคคลที่สามจากการเปลี่ยนแปลงการตั้งค่าหลักของ Defender เพื่อปิดใช้งานหรือลดประสิทธิภาพการทำงานโดยไม่แจ้งให้ทราบล่วงหน้า

ในการเปิดใช้งาน ให้กลับไปที่ Windows Security เปิดVirus & threat protectionไปที่Virus & threat protection settingsแล้วคลิกManage settingsจากนั้น ค้นหาส่วน tamper protection และเปิดใช้งาน

นับจากนั้นเป็นต้นไป การพยายามแก้ไขการตั้งค่า Defender ที่สำคัญจากภายนอกช่องทางที่ได้รับอนุญาตจะถูกบล็อกโดยอัตโนมัติโปรดทราบว่าการป้องกันนี้ครอบคลุมเฉพาะ Windows Defender เท่านั้น หากคุณใช้โปรแกรมป้องกันไวรัสของบริษัทอื่น คุณจะต้องตรวจสอบการตั้งค่าของโปรแกรมนั้นเพื่อรับการป้องกันที่คล้ายกัน

การตรวจสอบการโจรกรรมข้อมูลส่วนบุคคลด้วย Microsoft Defender

Defender ได้พัฒนาไปไกลกว่าโปรแกรมป้องกันไวรัสแบบดั้งเดิม และในบางแพ็กเกจและบางภูมิภาคได้รวม คุณสมบัติ การตรวจสอบการโจรกรรมข้อมูลส่วนบุคคลโดยอาศัยเทคโนโลยีจากบริษัทภายนอก เช่น Experian

ฟีเจอร์นี้เรียกว่า การตรวจสอบการโจรกรรมข้อมูลส่วนบุคคล มีหน้าที่ตรวจสอบว่าข้อมูลส่วนบุคคลของคุณ (เช่น อีเมล เอกสารประจำตัว ฯลฯ) ปรากฏอยู่ในแหล่งที่มาที่น่าสงสัยหรือในดาร์กเว็บหรือไม่นี่ไม่ใช่ฟังก์ชันที่ทำงานเพียงผิวเผิน: บริการนี้จะทำการตรวจสอบอย่างต่อเนื่องและแจ้งเตือนคุณหากตรวจพบการใช้งานข้อมูลส่วนบุคคลของคุณในทางที่ผิดกฎหมาย

ในการใช้งาน ให้ล็อกอินเข้าสู่ แดชบอร์ด My Defender ของคุณ เลือกตัวเลือก "เริ่มต้นใช้งานการตรวจสอบข้อมูลส่วนบุคคล" และสร้างโปรไฟล์ คุณจะต้องป้อนข้อมูลส่วนบุคคลบางอย่าง ซึ่งจะถูกนำไปเปรียบเทียบกับข้อมูลที่พบในดาร์กเว็บและแหล่งข้อมูลอื่นๆ คุณยังสามารถเพิ่มสมาชิกในครอบครัวเพื่อให้บริการสามารถปกป้องบุคคลมากกว่าหนึ่งคนภายใต้การสมัครใช้งานเดียวกันได้

การตั้งค่าความปลอดภัยและความเป็นส่วนตัวเพิ่มเติมใน Windows

นอกเหนือจาก Defender แล้ว Windows ยังมีตัวเลือกด้านความปลอดภัยอีกหลายอย่างที่ควรตั้งค่าให้ถูกต้องหากคุณต้องการสภาพแวดล้อมที่มีความแข็งแกร่งอย่างแท้จริง ตัวเลือก เหล่านี้หลายอย่างส่งผลกระทบต่อทั้งการป้องกันและความเป็นส่วนตัวของคุณ

ปกป้องการเข้าสู่ระบบของคุณ: รหัสผ่าน รหัส PIN หรือลายนิ้วมือ

สิ่งแรกที่ต้องทำคือป้องกันไม่ให้ใครมานั่งหน้าคอมพิวเตอร์ของคุณและล็อกอินโดยไม่ได้รับอนุญาต เพื่อทำเช่นนั้น คุณต้องตั้งค่าวิธีการล็อกอินที่ปลอดภัย เช่นรหัสผ่าน รหัส PIN ลายนิ้วมือ รหัสความปลอดภัยหรือแม้แต่รหัสผ่านรูปภาพ

ไปที่ การตั้งค่า > บัญชี > ตัวเลือกการเข้าสู่ระบบจากนั้นเลือกตัวเลือกที่เหมาะสมที่สุดสำหรับคุณ (เช่น Windows Hello ด้วยลายนิ้วมือหรือ PIN) และทำตามขั้นตอนในตัวช่วยสร้าง เมื่อเสร็จแล้ว ให้รีสตาร์ทคอมพิวเตอร์หากมีข้อความแจ้ง เพื่อให้การป้องกันใหม่มีผลตั้งแต่เริ่มต้นระบบ

บังคับให้เปลี่ยนรหัสผ่านเป็นระยะ

ในสภาพแวดล้อมทางธุรกิจ การกำหนดรหัสผ่านให้หมดอายุเป็นระยะๆ เป็นเรื่องปกติมาก เหตุผลก็คือ แม้ว่าจะมีคนขโมยรหัสผ่านไป ระยะเวลาการใช้งานก็ค่อนข้างสั้น

ในระบบปฏิบัติการ Windows เวอร์ชันที่รองรับ คุณสามารถตั้งค่านี้ได้โดยเปิด Run (Win + R) พิมพ์netplwizแล้วกด Enter ในหน้าต่างที่ปรากฏขึ้น ให้ไปที่ แท็บ Advancedพิมพ์Advanced optionsในส่วน Local Users and Groups แล้วเลือกUsersจากนั้น ในบานหน้าต่างด้านขวา ให้ดับเบิ้ลคลิกที่ผู้ใช้ที่ต้องการ แล้วยกเลิกการเลือก "Password never expires"

โดยปกติแล้ว Windows จะกำหนดให้เปลี่ยนรหัสผ่านทุกๆ 42 วันแต่สามารถปรับเปลี่ยนได้ผ่านนโยบายกลุ่ม หากคุณไม่สามารถเข้าถึงนโยบายกลุ่มได้ คุณสามารถใช้บรรทัดคำสั่งโดยใช้พรอมต์คำสั่งระดับผู้ดูแลระบบได้!

เรียกใช้คำสั่งนี้เพื่อเปิดใช้งานการหมดอายุของบัญชีสำหรับทุกบัญชี:

wmic UserAccount set PasswordExpires=True

และหากคุณต้องการใช้กับผู้ใช้เฉพาะราย:

wmic UserAccount where Name=UserName set PasswordExpires=True

แทนที่Usernameด้วยชื่อบัญชีจริง เพื่อให้แน่ใจว่าข้อมูลประจำตัวจะได้รับการต่ออายุเป็นระยะ

การควบคุมบัญชีผู้ใช้ (UAC)

ระบบควบคุมบัญชีผู้ใช้ (UAC) คือหน้าต่างป๊อปอัพที่น่ารำคาญซึ่งปรากฏขึ้นเมื่อโปรแกรมต้องการทำการเปลี่ยนแปลงที่สำคัญกับระบบ แต่ความรำคาญนี้เองที่ช่วยป้องกันซอฟต์แวร์ที่เป็นอันตรายจากการแก้ไขส่วนสำคัญของระบบโดยที่คุณไม่รู้ตัว

เพื่อตรวจสอบว่า User Account Control (UAC) เปิดใช้งานอยู่หรือไม่ ให้เปิดแผงควบคุม แล้วไปที่ระบบและความปลอดภัย > ความปลอดภัยและการบำรุงรักษาขยาย ส่วน ความปลอดภัยและตรวจสอบ สถานะ User Account Controlหากแสดงว่าปิดใช้งานอยู่ ให้คลิกลิงก์เพื่อเปลี่ยนการตั้งค่า และเลือกระดับที่จะแจ้งเตือนคุณเมื่อแอปพลิเคชันพยายามทำการเปลี่ยนแปลง (อย่าตั้งค่าเป็นระดับต่ำสุดหากคุณให้ความสำคัญกับความปลอดภัย)

ใช้บัญชีผู้ใช้ในเครื่องแทนบัญชี Microsoft

ไมโครซอฟต์พยายามผลักดันให้ทุกคนใช้บัญชีคลาวด์ แต่บัญชีแบบโลคอลดั้งเดิมก็มีข้อดีที่ชัดเจนในแง่ของความเป็นส่วนตัวและการควบคุม มันไม่ซิงค์การตั้งค่าหรือข้อมูลระหว่างอุปกรณ์ แต่ก็ช่วยลดความเสี่ยงจากการถูกโจมตีได้เช่นกัน

หากคุณลงชื่อเข้าใช้ด้วยบัญชี Microsoft อยู่ในขณะนี้และต้องการเปลี่ยนไปใช้บัญชีโลคอล ให้ไปที่ การตั้งค่า > บัญชี > ข้อมูลของคุณแล้วมองหาตัวเลือก " ลงชื่อเข้าใช้ด้วยบัญชีโลคอลแทน " หากบัญชีโลคอลยังไม่มีอยู่ ให้สร้างบัญชีก่อนโดยไปที่ บัญชี > ครอบครัวและผู้ใช้รายอื่น > เพิ่มบุคคลอื่นลงในพีซีเครื่องนี้แล้วเลือก "เพิ่มผู้ใช้ที่ไม่มีบัญชี Microsoft"

เมื่อสร้างโปรไฟล์เสร็จแล้ว ในส่วนข้อมูลของคุณ ให้ป้อนชื่อผู้ใช้และรหัสผ่านใหม่ ตอบคำถามด้านความปลอดภัยหากมีข้อความแจ้ง จากนั้นออกจากระบบและเข้าสู่ระบบด้วยบัญชีในเครื่องของคุณ วิธีนี้จะทำให้คุณมีโปรไฟล์ที่แยกจากระบบคลาวด์มาก ขึ้น

การควบคุมดูแลของผู้ปกครองและการคุ้มครองครอบครัว

ระบบปฏิบัติการ Windows ได้รวม ส่วน " ตัวเลือกสำหรับครอบครัว"ไว้ใน "ความปลอดภัยของ Windows" ซึ่งออกแบบมาเพื่อควบคุมสิ่งที่เด็กๆ ทำบนพีซีและบนอินเทอร์เน็ต

ในแดชบอร์ดสำหรับครอบครัว คุณสามารถเพิ่มบัญชีของบุตรหลานที่เชื่อมโยงกับบัญชี Microsoft ของคุณ และตั้งค่าขีดจำกัดเวลาการใช้งานหน้าจอข้อจำกัดด้านเนื้อหา บนเว็บ แอปและเกมที่อนุญาต รวมถึงรับรายงานกิจกรรมได้

ตัวเลือกที่สำคัญที่สุด ได้แก่:

• กำหนดเว็บไซต์ที่ผู้เยาว์สามารถเข้าชมได้ (รายการที่อนุญาตหรือรายการที่ไม่อนุญาต)
• กำหนดขีดจำกัดการใช้งานพีซีต่อวัน หลังจากนั้นคอมพิวเตอร์จะถูกล็อกสำหรับผู้ใช้รายนั้น
• เลือกแอปและเกมที่อนุญาต หรือบล็อกทั้งหมด ยกเว้นแอปและเกมที่คุณเลือก

การตั้งค่าความปลอดภัยขั้นสูงอื่นๆ

นอกเหนือจากฟังก์ชันหลักแล้ว ยังมีชุดการตั้งค่าที่ควรตรวจสอบหากคุณต้องการปกป้อง Windows อย่างดีเยี่ยมโดยเฉพาะในสภาพแวดล้อมการทำงานระดับมืออาชีพหรือที่มีความเสี่ยงสูง

ปรับแต่งการป้องกันช่องโหว่ (การป้องกันการโจมตี)

Windows 10 และ 11 มีระบบป้องกันการโจมตีแบบเจาะระบบในตัว ซึ่งคุณสามารถค้นหาได้โดยการค้นหาคำว่า " การป้องกันช่องโหว่ " หรือ "การโจมตี" ในเมนูเริ่มต้น โดยจะอยู่ภายใต้ ความปลอดภัยของ Windows > การควบคุมแอปและเบราว์เซอร์นอกจากนี้ยังแนะนำให้ตรวจสอบช่องโหว่ด้านความปลอดภัยของ Windowsที่เกี่ยวข้องกับการโจมตีและแพทช์ต่างๆ ด้วย

เครื่องมือนี้มีส่วนสำหรับการกำหนดค่าสองส่วน: ส่วนหนึ่งสำหรับระบบทั้งหมดและอีกส่วนหนึ่งสำหรับการกำหนดค่าเฉพาะของแต่ละโปรแกรม โดยปกติแล้ว การกำหนดค่าโดยรวมจะได้รับการปรับแต่งอย่างละเอียดแล้วโดยค่าเริ่มต้น และมีการเปิดใช้งานมาตรการแก้ไขส่วนใหญ่ ดังนั้นจึงไม่จำเป็นต้องทำให้ซับซ้อนเกินไป เว้นแต่ว่าคุณจะมีกรณีพิเศษ

ส่วนที่น่าสนใจจริงๆ คือแท็บการกำหนดค่าต่อโปรแกรม จากตรงนั้น คุณสามารถเพิ่มแอปพลิเคชันเฉพาะโดยใช้ " เพิ่มโปรแกรมเพื่อปรับแต่ง " และปรับการบรรเทาผลกระทบสำหรับแต่ละแอปพลิเคชัน เช่น การป้องกันการเรียกใช้ข้อมูล (DEP) การป้องกันโค้ดโดยพลการ การบล็อกภาพที่มีความสมบูรณ์ต่ำ และกลไกอื่นๆ

แนวคิดก็คือ แอปพลิเคชันที่มีความเสี่ยงสูงที่สุด (เช่น เว็บเบราว์เซอร์ โปรแกรมอ่านไฟล์ PDF ชุดโปรแกรมสำนักงาน ซอฟต์แวร์ออกแบบ ฯลฯ) ควรได้รับการเสริมความปลอดภัยในระดับที่สูงขึ้น เพื่อลดโอกาสที่ช่องโหว่ที่ยังไม่ได้รับการแก้ไขจะถูกโจมตีได้สำเร็จอย่างไรก็ตาม ขอแนะนำให้ตรวจสอบแต่ละตัวเลือกในเอกสารของ Microsoft เพื่อทำความเข้าใจการทำงานและหลีกเลี่ยงการทำให้โปรแกรมที่สำคัญเสียหาย

ตรวจสอบและเปิดใช้งานไฟร์วอลล์ของ Windows อยู่เสมอ

แม้จะดูเป็นเรื่องพื้นฐาน แต่ก็ยังมีคอมพิวเตอร์บางเครื่องที่ ปิดใช้งานหรือตั้งค่า ไฟร์วอลล์ของ Windowsไม่ถูกต้อง โปรแกรมป้องกันไวรัสที่ดีก็แทบไม่มีประโยชน์หากคุณเปิดพอร์ตเครือข่ายทั้งหมดทิ้งไว้ ลองใช้ โปรแกรมฟรีที่ดีที่สุดในการจัดการ และเสริมความแข็งแกร่งให้กับไฟร์วอลล์ของ Windows ดู

หากต้องการตรวจสอบจากแผงควบคุม ให้ไปที่ระบบและความปลอดภัย > ความปลอดภัยและการบำรุงรักษา > ความปลอดภัยและตรวจสอบสถานะไฟร์วอลล์ คุณยังสามารถดูได้ในความปลอดภัยของ Windows ภายใต้ไฟร์วอลล์และการป้องกันเครือข่ายซึ่งจะแสดงสถานะสำหรับเครือข่ายโดเมน เครือข่ายส่วนตัว และเครือข่ายสาธารณะ

อย่างน้อยที่สุด ตรวจสอบให้แน่ใจว่าเครือข่ายสาธารณะได้รับการปกป้องอย่างเข้มงวดและไม่มีกฎแปลกๆ ที่อนุญาตให้มีการเชื่อมต่อขาเข้าที่คุณไม่รู้จัก

จัดการการแจ้งเตือนของ Microsoft Defender

โปรแกรม Defender จะเริ่มต้นทำงานพร้อมกับ Windows และทำงานอยู่เบื้องหลังอย่างต่อเนื่อง ไอคอนในถาดระบบจะแสดงวงกลมสีเขียวที่มีเครื่องหมายถูกสีขาวเมื่อทุกอย่างทำงานได้อย่างถูกต้อง จากตรงนั้น คุณสามารถเข้าถึงการตั้งค่าและปรับการแจ้งเตือน ได้ เป็นต้น

คลิกที่ไอคอน แตะที่ไอคอนรูปเฟืองที่มุมล่างซ้าย แล้วไปที่ ส่วน การแจ้งเตือนคุณจะเห็นลิงก์ "จัดการการแจ้งเตือน"

บนหน้าจอนั้น คุณสามารถควบคุมส่วนประกอบหลักสามส่วนได้ :

• การแจ้งเตือนการป้องกันไวรัสและภัยคุกคาม.
• การแจ้งเตือนการปกป้องบัญชี.
• การแจ้งเตือนไฟร์วอลล์และการป้องกันเครือข่าย.

ภายในส่วนการแจ้งเตือนไวรัสและภัยคุกคาม คุณสามารถปิดใช้งานตัวเลือก "รับการแจ้งเตือนข้อมูลทั่วไป" หรือเลือกการแจ้งเตือนที่คุณต้องการรับได้ เช่น ผลการสแกนล่าสุด การตรวจจับที่ไม่ต้องดำเนินการใดๆ จากผู้ใช้ หรือการบล็อกไฟล์ที่น่าสงสัยซึ่งถูกกำจัดไปแล้ว

การแจ้งเตือนเกี่ยวกับการปกป้องบัญชีจะกล่าวถึงปัญหาต่างๆ เช่น ปัญหาเกี่ยวกับ Windows Hello หรือการล็อกแบบไดนามิก ในขณะที่การแจ้งเตือนเกี่ยวกับไฟร์วอลล์จะแจ้งเตือนคุณเกี่ยวกับการเปลี่ยนแปลงการกำหนดค่าเครือข่ายหรือเหตุการณ์การกรองการรับส่งข้อมูล คุณสามารถเปิดใช้งานเฉพาะการแจ้งเตือนที่คุณเห็นว่ามีประโยชน์จริงๆ เพื่อหลีกเลี่ยงการแจ้งเตือนที่มากเกินไปโดยไม่พลาดข้อมูลสำคัญ

การจัดการผู้ให้บริการด้านความปลอดภัย

ใน หน้าจอ โปรแกรมป้องกันไวรัสและการป้องกันภัยคุกคามจะมีลิงก์ที่ไม่โดดเด่นแต่มีประโยชน์มากชื่อว่า “ จัดการผู้ให้บริการ ” อยู่ด้านล่าง “ใครปกป้องฉัน?”

เมื่อคลิกแล้ว จะแสดงส่วนประกอบที่จัดการโปรแกรมป้องกันไวรัส ไฟร์วอลล์ และการป้องกันเว็บ หากคุณใช้ Defender เพียงอย่างเดียว มันจะปรากฏเป็นโซลูชันหลัก จากตรงนี้ คุณสามารถสลับไปยังผลิตภัณฑ์อื่นๆ ที่ติดตั้งไว้ เปิดการตั้งค่า และหากต้องการ คุณสามารถค้นหาแอปความปลอดภัยเพิ่มเติมใน Microsoft Store เพื่อเพิ่มประสิทธิภาพการป้องกันเว็บ (เช่น ตัวกรองการท่องเว็บเพิ่มเติม หรือโปรแกรมป้องกันฟิชชิ่ง)

ปิดการดาวน์โหลดอัปเดตจากอุปกรณ์อื่น

ระบบปฏิบัติการ Windows 10 และ 11 มีตัวเลือกที่เรียกว่า "การเพิ่มประสิทธิภาพการกระจาย" (Distribution Optimization) ซึ่งช่วยให้คุณดาวน์โหลดการอัปเดตจากพีซีเครื่องอื่นในเครือข่าย หรือแม้แต่จากคอมพิวเตอร์บนอินเทอร์เน็ต ทำให้คอมพิวเตอร์ของคุณกลายเป็นเหมือนโหนด P2P สำหรับการอัปเดต

การเปิดใช้งานฟังก์ชันนี้จะช่วยให้การดาวน์โหลดเร็วขึ้น แต่ก็ทำให้พีซีของคุณสามารถแชร์ข้อมูลกับเครื่องอื่นได้ด้วย หากคุณต้องการความปลอดภัยและการควบคุม ควรบล็อกฟังก์ชันนี้จะดีกว่า

ในการดำเนินการนี้ ให้ไปที่ การตั้งค่า > การอัปเดตและความปลอดภัย > Windows Updateเข้าสู่ตัวเลือกขั้นสูงจากนั้นไปที่การเพิ่มประสิทธิภาพการแจกจ่าย ที่นั่น ให้ปิดสวิตช์ อนุญาตการดาวน์โหลดจากพีซีเครื่องอื่น

ตรวจสอบและตั้งค่าการอัปเดต Windows โดยอัตโนมัติ

การอัปเดต Windows ให้เป็นเวอร์ชันล่าสุดอยู่เสมอเป็นสิ่งสำคัญเพื่อให้แน่ใจว่าแพตช์ความปลอดภัยครอบคลุมช่องโหว่ที่เพิ่งค้นพบใหม่คุณสามารถตรวจสอบการอัปเดตที่รออยู่และบังคับดาวน์โหลดและติดตั้งได้จากส่วนการอัปเดต Windows

เปิดการตั้งค่า > การอัปเดตและความปลอดภัย > การอัปเดต Windowsแล้วตรวจสอบสถานะ ควรเปิด ใช้ งานการอัปเดตอัตโนมัติ ไว้ เพื่อที่คุณจะได้ไม่ต้องจำที่จะทำการอัปเดตด้วยตนเอง

ในขณะเดียวกัน ถือโอกาสนี้ตรวจสอบรายชื่อโปรแกรมที่ติดตั้งไว้ใน การตั้งค่า > แอป เป็นประจำ หากคุณพบสิ่งใดที่น่าสงสัยหรือสิ่งที่คุณจำไม่ได้ว่าเคยติดตั้ง ให้ตรวจสอบและหากไม่แน่ใจ ให้ลบออก ปัญหาหลายอย่างเกิดจากซอฟต์แวร์ที่ถูกเพิ่มเข้ามา "โดยไม่ได้รับอนุญาต" พร้อมกับการดาวน์โหลดอื่นๆ

การจัดการ Microsoft Defender ในสภาพแวดล้อมการทำงานระดับมืออาชีพ

ในองค์กรที่มีหลายทีม การปรับแต่ง Defender ทีละทีมนั้นไม่เหมาะสม ดังนั้น Microsoft จึงนำเสนอการผสานรวมกับIntuneและการจัดการผ่านGroup Policyซึ่งช่วยให้สามารถใช้งานนโยบายที่เป็นมาตรฐานเดียวกันได้

ตั้งค่า Defender ด้วย Microsoft Intune

จากศูนย์การจัดการ Intune คุณสามารถสร้างนโยบายป้องกันไวรัสเฉพาะสำหรับ Windows และ macOS ได้ นโยบายเหล่านี้จะจัดกลุ่มการตั้งค่าต่างๆ เช่น การป้องกันแบบเรียลไทม์ การสแกนตามกำหนดเวลา การควบคุมการเข้าถึง ประสบการณ์การใช้งานด้านความปลอดภัยของ Windows และอื่นๆ อีกมากมาย

ขั้น ตอนการทำงานพื้นฐานสำหรับการสร้างนโยบายป้องกันไวรัสใหม่สำหรับ Windows มีดังนี้:

• เปิด Inune แล้วไปที่ ความปลอดภัยของอุปกรณ์ปลายทาง > โปรแกรมป้องกันไวรัส.
• สร้างนโยบายใหม่ โดยเลือกแพลตฟอร์มเป็นแพลตฟอร์มของคุณ Windows 10, Windows 11 และ Windows Server และโปรไฟล์ โปรแกรมป้องกันไวรัสของ Microsoft Defender.
• กรอกชื่อและคำอธิบาย จากนั้นกำหนดค่าตัวเลือกที่ต้องการในส่วนถัดไป กองหลัง (ตัวอย่างเช่น ระดับการป้องกันแบบเรียลไทม์ เวลาในการวิเคราะห์ การดำเนินการกับมัลแวร์ เป็นต้น)
• กำหนดป้ายกำกับขอบเขตหากคุณใช้ป้ายกำกับเหล่านั้นเพื่อแบ่งส่วนการบริหารจัดการ
• กำหนดนโยบายให้กับอุปกรณ์หรือกลุ่มผู้ใช้ที่เกี่ยวข้อง แล้วสร้างนโยบายนั้นขึ้นมา

สำหรับ macOS กระบวนการจะคล้ายกัน โดยเลือก แพลตฟอร์ม macOSและ โปรไฟล์โปรแกรม ป้องกันไวรัสพร้อมการตั้งค่าเฉพาะที่ระบุไว้สำหรับ Microsoft Defender for Endpoint บน Mac

หากคุณต้องการแก้ไขนโยบายที่มีอยู่ เพียงเลือกนโยบายจากรายการ คลิกแก้ไขในส่วนการตั้งค่า ทำการเปลี่ยนแปลงที่จำเป็น แล้วบันทึก จากนั้น Intune จะเผยแพร่นโยบายใหม่ไปยังคอมพิวเตอร์ที่ได้รับการจัดการ

การใช้งาน Group Policy Objects (GPOs) สำหรับ Defender

ในโดเมน Active Directory การจัดการ Defender โดยใช้เทมเพลตการดูแลระบบ เป็นเรื่องปกติ สิ่งสำคัญที่ควรทราบคือ หากเปิดใช้งานการป้องกันการแก้ไขดัดแปลง การเปลี่ยนแปลง Group Policy Object (GPO) บางอย่างต่อการกำหนดค่าที่ได้รับการป้องกันจะถูกละเลย ตัวอย่างเช่น คุณไม่สามารถปิดใช้งานการป้องกันการแก้ไขดัดแปลงโดยตรงจาก GPO ได้ คุณจะต้องใช้โหมดแก้ไขปัญหาเพื่อปิดใช้งานชั่วคราว และการเปลี่ยนแปลงนั้นจะถูกย้อนกลับ

ในการกำหนดค่าการป้องกันแบบเปิดใช้งานตลอดเวลาโดยใช้ Group Policy บนคอมพิวเตอร์ภายในเครื่อง (หรือใน GPO ของโดเมน) ให้ทำตามขั้นตอนต่อไปนี้:

เปิดตัวแก้ไขนโยบายกลุ่มภายในเครื่องโดยพิมพ์gpeditในช่องค้นหา แล้วเลือก“แก้ไขนโยบายกลุ่ม”จากนั้นไปที่การกำหนดค่าคอมพิวเตอร์ > เทมเพลตการดูแลระบบ > ส่วนประกอบของ Windows > โปรแกรมป้องกันไวรัส Microsoft Defender

ในแผงด้านขวา ให้เปิดใช้งานตัวเลือก“อนุญาตให้บริการป้องกันมัลแวร์เริ่มต้นด้วยลำดับความสำคัญปกติ”การดำเนินการนี้จะช่วยให้แน่ใจว่าบริการ Defender โหลดได้อย่างถูกต้องเมื่อระบบเริ่มต้นทำงาน

ถัดไป ไปที่ ส่วนการป้องกันแบบเรียลไทม์และตรวจสอบนโยบายต่างๆ ที่มีให้เลือก (ขึ้นอยู่กับเวอร์ชัน ADMX ล่าสุด) จากนั้น คุณสามารถกำหนดได้ เช่น ว่าจะปิดใช้งานการป้องกันแบบเรียลไทม์ชั่วคราวหรือไม่ และว่าจะตรวจสอบไฟล์ที่ดาวน์โหลด สคริปต์ ไฟล์แนบอีเมล ฯลฯ หรือไม่

ใน ส่วน การสแกน ให้เปิดใช้งาน นโยบาย"เปิดใช้งานการวิเคราะห์เชิงพฤติกรรม" อย่างน้อย หนึ่งรายการ ซึ่งจะทำให้ Defender ใช้เทคนิคการวิเคราะห์ตามพฤติกรรมเพื่อค้นหามัลแวร์ที่ไม่รู้จัก ไม่ใช่แค่การใช้ลายเซ็นเท่านั้น

หากคุณต้องการปิดใช้งานการป้องกันแบบเรียลไทม์ผ่าน GPO (เช่น สำหรับการทดสอบแบบควบคุม) คุณสามารถเปิดใช้งาน ตัวเลือก "ปิดใช้งานการป้องกันแบบเรียลไทม์" ในการตั้งค่า การป้องกันแบบเรียลไทม์ได้อย่างไรก็ตาม โปรดจำไว้ว่าการป้องกันการแก้ไขดัดแปลงอาจขัดขวางการเปลี่ยนแปลงนี้หากเปิดใช้งานอยู่และได้รับการจัดการจากระบบคลาวด์

เพื่อให้มั่นใจว่านโยบายเหล่านี้ทันสมัยอยู่เสมอ โปรดตรวจสอบให้แน่ใจว่าคุณใช้เทมเพลตการจัดการ Microsoft ADMX เวอร์ชันล่าสุดเพื่อให้คุณสามารถเข้าถึงการตั้งค่าทั้งหมดที่มีให้สำหรับ Windows เวอร์ชันล่าสุด

ด้วยการปรับแต่งทั้งหมดนี้ รวมถึงการเสริมความแข็งแกร่งให้กับระบบป้องกันไวรัส Defender การป้องกันแรนซัมแวร์ นโยบายบัญชี การควบคุมการอัปเดต และการจัดการแบบรวมศูนย์ คุณสามารถทำให้ Windows ของคุณอยู่ในสถานะความปลอดภัยที่สูงกว่าค่าเฉลี่ยได้โดยไม่ต้องพึ่งพาผลิตภัณฑ์ของบริษัทอื่นที่มีราคาแพงและในหลายกรณีก็ซ้ำซ้อน