Ich habe ein vollständiges Sicherheitsaudit auf meinem Windows-PC durchgeführt und Probleme gefunden, die ich nie erwartet hätte
Das grüne Häkchen bei Windows Defender ist für die meisten Menschen oft ein beruhigendes Zeichen dafür, dass ihr Computer sicher ist. Schließlich ist die Windows-Sicherheit mit so vielen Sicherheitsfunktionen ausgestattet. Die Erkenntnis jedoch, dass die meisten herkömmlichen Antivirenprogramme nur aktive Bedrohungen erkennen, hat meine Sicht auf die Systemgesundheit verändert. Vergessene Dienste, verwaiste Registrierungseinträge, zurückbleibende Autostarteinträge und zu großzügige Ausführungsrichtlinien häufen sich im Laufe der Zeit und beeinträchtigen sowohl die Leistung als auch die Sicherheit.
Also habe ich beschlossen, eine vollständige Sicherheitsüberprüfung meines Windows-PCs durchzuführen. Dabei wurde etwas etwas Beunruhigendes entdeckt: Software, die ich nicht mehr nutzte, war weiterhin aktiv, lauschte und behielt erhöhte Berechtigungen. Es zeigte, wie sich mein Computer entwickelt, und brachte Klarheit darüber, wie man die Sicherheit verwalten und verschärfen kann.
Die Beharrlichkeit von Startups hat mir gezeigt, was Windows niemals vergisst
Autoruns hat Einstiegspunkte aufgedeckt, die der Task-Manager nicht erkennt
Startup-Persistenz zeigt Ihnen einfach die Software, die versucht, Neustarts zu überleben. Windows wird mit dem nativen Task-Manager geliefert. Obwohl robust, zeigt er nur einen Bruchteil der Einträge, die tatsächlich beim Start ausgeführt werden. Für diesen Teil der Überprüfung habe ich auf Autoruns aus der Sysinternals-Suite zurückgegriffen. Es zeigte sofort Hunderte von Registrierungsorten und Dateisystem-Hooks an. Windows nutzt sie, um Code stillschweigend zu starten. Dieses Tool ist eine ausgezeichnete Möglichkeit, zu sehen, was Ihren PC möglicherweise verlangsamt.
Eines der ersten Dinge, die mir auffielen, waren die gelb markierten Elemente mit der Meldung „Datei nicht gefunden“. Dabei handelte es sich um Registry-Hooks, die auf Dateien verwiesen, die ich vor Jahren gelöscht hatte. Auch wenn sie nicht aktiv waren, zeigen sie einige verbleibende Registry-Einträge und können in extremen Fällen von bösartiger oder anderer Software erneut genutzt werden. Ihre lange ungenutzten Dienstprogramme können offene Türen hinterlassen, die Windows für sicher hält, und das Betriebssystem kann diesen Einträgen bei jedem Neustart stillschweigend vertrauen.
Autoruns erleichtert es, Ihr System zu stabilisieren, indem unnötige Autostarteinträge entfernt werden. Die wichtigste Erkenntnis aus diesem Prozess war jedoch, dass ein oberflächlicher Blick auf den Task-Manager bei weitem nicht ausreicht, um Autostarteinträge auf Registrierungsebene zu überprüfen.
Dienste zeigten, wie viel Software mit dauerhaftem Vertrauen läuft
Drittanbieterdienste überlebten die Apps, die sie erstellt haben
Windows-Dienste laufen kontinuierlich, auch wenn Sie nicht an Ihrem Computer angemeldet sind, und sie laufen manchmal mit SYSTEM-Rechten. Ich habe zahlreiche Prozesse gefunden, die mit Software verbunden waren, von der ich dachte, ich hätte sie gelöscht, und mit Hardware, die ich nicht mehr besaß. Um laufende Dienste anzusehen, können Sie folgende Schritte ausführen:
- Öffnen Sie den Ausführen-Befehl, indem Sie Win + R drücken.
- Geben Sie „msconfig“ ein und drücken Sie die Eingabetaste.
- Wechseln Sie zur Registerkarte Dienste.
- (Optional) Aktivieren Sie das Kontrollkästchen 'Microsoft-Dienste ausblenden', um Dienste zu sehen, die mit Drittanbieter-Tools verbunden sind.
Ein Beispiel war der Update-Helfer, den ich für ein Peripheriegerät gefunden habe, das ich seit Jahren nicht mehr benutzt hatte. Auch wenn diese App verschwunden war, lauschte dieser Dienst weiterhin stündlich nach Updates. Das Schlimmste war, dass er Administratorrechte hatte. An sich war der Dienst nicht schädlich, aber er lief ständig mit erhöhten Rechten und verbrauchte Systemressourcen.
Ich habe auch Dienste gefunden, indem ich die native Windows-Dienste-App geöffnet habe. Hier entferne ich die Dienste nicht direkt, sondern ändere manchmal deren Starttyp auf „Manuell“, wodurch sie nur gestartet werden, wenn sie wirklich benötigt werden. Das hilft mir auch, die Systembelastung zu reduzieren und die Stabilität zu erhalten. Dieser Teil der Überprüfung zeigte mir, dass installierte Dienste unbegrenzt bestehen bleiben, bis sie manuell entfernt oder geändert werden.
Geplante Aufgaben haben die Aktivität nachgezeichnet, die ich nie aktiv genehmigt habe
PowerShell machte versteckte Auslöser sichtbar
Windows-Geplante Aufgaben sind für die meisten Benutzer ein blinder Fleck, hauptsächlich weil die Taskplaner-GUI umständlich ist. Für diesen Teil des Audits habe ich eine klare, parsbare Liste erstellt, welche Aufgaben wann ausgeführt wurden, generiert mit PowerShell. Dies sind die Schritte, die ich verwendet habe:
- Öffnen Sie PowerShell mit Administratorrechten.
Führen Sie den folgenden Befehl aus, um eine Liste der von Drittanbietern generierten Aufgaben zu sehen:
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.TaskPath -notlike "\Microsoft*"} | Select-Object TaskName, TaskPath, State | Format-Table -AutoSize(Optional) Führen Sie den unten stehenden Befehl aus, um zu sehen, wann eine bestimmte Aufgabe zuletzt ausgeführt wurde und welche Datei sie ausgelöst hat:
Get-ScheduledTask -TaskName "NAME_OF_TASK" | Get-ScheduledTaskInfo
Das Befolgen dieser Schritte machte mehrere Aufgaben sichtbar, die von Browsern, Telemetrie-Tools und Spiele-Startprogrammen erstellt wurden. Viele von ihnen bestehen noch lange, nachdem ihre Software geschlossen wurde. Einige werden beim Anmelden, Entsperren der Arbeitsstation oder bei Systemleerlauf ausgelöst und benötigen keine aktive Genehmigung zur Ausführung. Obwohl sie keine Malware waren, liefen alle automatisiert ohne mein Wissen. Dieses Audit brachte Klarheit und half mir, Aufgaben zu entfernen, die keinen Zweck mehr hatten, und die Systemaktivität zu bereinigen.
Netzwerk-Listener zeigten, welche Apps voraussichtlich erreichbar sein würden
Lokale Ports erzählten eine Geschichte, die die Firewall nie hervorhob
Bestimmte Anwendungen auf Ihrem Computer lauschen auf Netzwerkverkehr, und die Verwendung von netstat -abno hilft dabei, aktive Ports den zugehörigen ausführbaren Dateien zuzuordnen. Als ich dies tat, stieß ich auf Überraschungen unter den Peripherie-Dienstprogrammen und Media-Apps. Hier sind die genauen Schritte, die ich verwendet habe:
- Öffnen Sie PowerShell mit Administratorrechten.
Führen Sie den folgenden Befehl aus, um zu sehen, welche Apps derzeit auf eine Verbindung warten:
netstat -abno | findstr LISTENING- Schauen Sie in der Spalte Lokale Adresse nach IPs wie 127.0.0.1:XXXX oder 0.0.0.0:XXXX. 127.0.0.1 (Localhost) zeigt, dass eine Anwendung auf Ihrem eigenen PC auf andere Software hört, während 0.0.0.0 (Beliebiges IPv4) zeigt, dass die Anwendung auf alles in Ihrem lokalen Netzwerk hört (was das Risiko erhöht, wenn der Dienst unnötig oder veraltet ist).
Verwenden Sie den folgenden Befehl, um die PID mit einer echten App abzugleichen:
Get-Process -Id 1234 | Select-Object ProcessName, Path, Description
Ich habe einige Programme gefunden, die lokale Webserver geöffnet haben, die nur über localhost zugänglich sind. Diese Listener vergrößern die Angriffsfläche, da andere Software auf dem PC trotz fehlender äußerer Exposition unerwartet mit ihnen interagieren könnte.
Das Schließen unnötiger Apps und die Überprüfung der Windows-Defender-Firewall-Regeln haben mir geholfen, dieses Problem zu lösen. Ich habe eingehende Ausnahmen von alten Spielen und Dienstprogrammen gefunden und entfernt, um sicherzustellen, dass selbst wenn eine alte Anwendung gestartet wird, sie die Firewall nicht umgehen kann. Dieser Teil des Audits zeigte, dass, obwohl sie unauffällig sind, lauschen Ports ein wichtiger Bereich der Anfälligkeit sind.
Berechtigungen machten die langfristigen Kosten von Bequemlichkeit deutlich
Berechtigungs- und Ausführungsrichtlinien bleiben nach der Installation bestehen
Autorität war der letzte Bereich, den ich überprüft habe. Das Problem mit Autorität ist, dass Installateure administrative Rechte ansammeln und Windows diese selten automatisch entzieht. Bei meiner Überprüfung war ich überrascht zu sehen, dass meine PowerShell-Ausführungsrichtlinie auf Umgehen (Bypass) gesetzt war. Dies muss von Drittanbieter-Apps Monate zuvor geändert worden sein.
MUO-Bericht
MUO-Bericht
Durch das Abonnieren erklären Sie sich damit einverstanden, Newsletter und Marketing-E-Mails zu erhalten, und akzeptieren die Nutzungsbedingungen sowie die Datenschutzrichtlinie von Valnet. Sie können sich jederzeit abmelden.
Ich habe auch die ShellExView-App heruntergeladen, um Shell-Erweiterungen zu überprüfen, und mehrere Einträge für Cloud-Speicher gefunden, die ich nicht mehr verwendete - ein weiterer persistenter, privilegierter Prozess, der unsichtbar läuft.
Als Sicherheitsmaßnahme habe ich die Ausführungsrichtlinien auf RemoteSigned zurückgesetzt und die Administratorrechte von nicht wesentlichen Binärdateien entfernt. Alles in allem war meine wichtigste Erkenntnis, dass echte Sicherheit, abgesehen vom Entfernen gefährlicher Dateien, darin besteht, zu verwalten, welche Software als vertrauenswürdig gilt und ausgeführt werden darf.
Was mich diese Prüfung über Vertrauen gelehrt hat
Das Wichtigste, was ich gelernt habe, war, dass das grüne Häkchen meiner nativen Sicherheitssoftware nur die halbe Sicherheit zeigt. Zu wissen, welche Software Autorität hat, ist der zweite Teil.
Ich habe echte Kontrolle über mein System gewonnen, indem ich Start-Einträge, Dienste, geplante Aufgaben, Listener und Ausführungsrichtlinien überprüft habe. Das bewusste, informierte Management hat mir geholfen, das Vertrauen in meinen PC zurückzugewinnen. Diese Überprüfung durchzuführen ersetzt nicht die Windows-Sicherheit und ihre zahlreichen versteckten Funktionen - sie ergänzt die integrierten Schutzmaßnahmen von Windows.