Ako auditovať a kontrolovať povolenia aplikácií v systéme Windows 11

Ovládanie toho, čo môžu aplikácie robiť vo vašom počítači, už nie je voliteľné: je kľúčom k zachovaniu vášho súkromia, zabezpečenia a dokonca aj výkonu systému Windows 11. Každý program, ktorý nainštalujete, môže vyžiadať prístup k vášmu fotoaparátu, mikrofónu, súborom, polohe alebo sa dokonca pokúsiť zmeniť nastavenia systému bez vášho vedomia, preto je rozumné, aby ste si to všetko pozorne sledovali.

Navyše, s najnovšími zmenami od spoločnosti Microsoft sa systém Windows 11 čoraz viac podobá mobilnému telefónu. správa povolení, upozornenia v reálnom čase a vylepšené bezpečnostné kontrolyAk viete, kde hľadať a čo skontrolovať, Môžete auditovať, aké povolenia má každá aplikácia., pozrite sa, čo sa deje „v zákulisí“, a zastavte akékoľvek zvláštne alebo podozrivé správanie v zárodku.

Čo sú povolenia aplikácií v systéme Windows 11 a prečo sú dôležité?

V systéme Windows 11 môže každá aplikácia požiadať o prístup k rôznym systémovým zdrojom: poloha, kamera, mikrofón, upozornenia, súbory, kontakty alebo kritické systémové funkcieBez týchto povolení by mnoho aplikácií nefungovalo správne, ale problém nastáva, keď aplikácia požaduje viac, ako potrebuje, alebo má naďalej prístup, aj keď ho už nepotrebujete.

Spoločnosť Microsoft prináša na počítače model oprávnení veľmi podobný tomu z mobilných zariadení: systém Windows teraz dokáže... explicitne sa vás opýta, keď aplikácia chce získať prístup k citlivým zdrojom alebo nainštalovať ďalší softvérIde o to, aby ste mali jasnú predstavu o tom, čo sa deje, a aby ste vedeli povedať nie, keď vám niečo nesedí.

Tento prístup ovplyvňuje nielen klasické aplikácie, ktoré si inštalujete do počítača, ale aj cloudové integrácie, aplikácie, ktoré používajú Microsoft Entra ID (predtým Azure AD) A teraz noví agenti umelej inteligencie interagujú s vašimi údajmi a službami. Toto všetko je teraz dôkladnejšie monitorované, zaznamenávané a kontrolované.

Ako zobraziť a spravovať povolenia aplikácií z nastavení systému Windows 11

Najpriamejším spôsobom, ako si väčšina používateľov môže skontrolovať povolenia, je použitie aplikácie Nastavenia. Odtiaľ môžete ovládať, ktoré aplikácie majú prístup k vášmu fotoaparátu, mikrofónu, polohe a ďalším zdrojom bez toho, aby ste museli do každej aplikácie vstupovať samostatne.

Prístup k panelu ochrany osobných údajov a zabezpečenia

Ak chcete začať auditovať povolenia zo samotného rozhrania systému Windows 11, postupujte podľa tejto všeobecnej cesty:

1. Klikni na Ikona nastavení (ozubené koleso) v ponuke Štartalebo stlačte kombináciu klávesov Windows + I.
2. V ľavom stĺpci zadajte sekciu „Ochrana osobných údajov a zabezpečenie“.
3. Posúvajte sa nadol, kým nenájdete blok s názvom "Povolenia aplikácie".

V tejto sekcii uvidíte niekoľko kategórií povolení (Poloha, Fotoaparát, Mikrofón, Upozornenia atď.). Každá kategória vám umožňuje rozhodnúť sa, či Systém Windows umožňuje aplikáciám používať tento zdroja tiež ktoré konkrétne aplikácie to dokážu.

Pochopenie toho, prečo sa v rámci jednotlivých povolení nezobrazujú všetky aplikácie

Mnohých používateľov často mätie fakt, že v rámci kategórie povolení Nie všetky nainštalované aplikácie sa zobrazujúTo nemusí nevyhnutne znamenať, že niečo nie je v poriadku.

Systém Windows 11 zobrazuje iba jednotlivé typy povolení aplikácie, ktoré si tento prístup skutočne vyžiadali alebo môžu vyžiadaťNapríklad je normálne vidieť v zozname umiestnení viac aplikácií ako v zozname fotoaparátov alebo sa aplikácia nikdy nezobrazí, pretože daný zdroj vôbec nepoužíva.

Napríklad v skutočnom tíme je celkom bežné nájsť niečo takéto:

• V sekcii „Poloha“ sú uvedené niekoľko aplikácií, ktoré používajú geolokáciu (prehliadače, aplikácie na počasie, mapy atď.).
• V časti „Fotoaparát“ sa zobrazujú iba aplikácie, ktoré dokážu zachytiť video alebo obrázky (Teams, Zoom, aplikácie na videohovory atď.).

Skutočnosť, že sa aplikácia nezobrazuje v konkrétnom povolení, zvyčajne jednoducho naznačuje, že nepoužíva tento typ prístupuAk si myslíte, že by sa mala zobraziť konkrétna aplikácia, ale vy ju nevidíte, najprv sa uistite, že ste ju aspoň raz použili v kontexte, kde má zmysel, aby si vyžiadala povolenia (napríklad spustenie videohovoru, aby si vyžiadala kameru).

Povoliť alebo zakázať povolenia podľa typu zdroja

V rámci každej kategórie povolení aplikácií môžete robiť dva typy rozhodnutí: povoliť alebo zakázať zdroj globálne a ovládať, ktoré konkrétne aplikácie ho používajú. Vzor je takmer vo všetkých sekciách veľmi podobný:

1. Prejdite do časti „Súkromie a zabezpečenie“ > „Povolenia aplikácií“ a vyberte napríklad "Fotoaparát".
2. V hornej časti uvidíte hlavný vypínač, ktorý umožňuje aplikácie majú prístup k fotoaparátu na danom zariadeníAk ho zakážete, žiadna aplikácia ho nebude môcť použiť.
3. Nižšie je uvedený zoznam aplikácií s individuálnym prepínačom pre každú z nich. Môžete povoliť alebo zakázať prístup aplikácii pre každú aplikáciu.

Tento istý vzorec sa opakuje aj v Čo robiť, ak systém Windows 11 nerozpozná mikrofón„Poloha“, „Kontakty“ a zvyšok kategórií. Zaujímavé je, že všetko, čo tu zmeníte, je kedykoľvek reverzibilnéTakže môžete testovať bez obáv: ak aplikácia prestane fungovať, pretože ste odstránili povolenie, jednoducho ho vráťte.

Ovládajte povolenia v sekcii „Aplikácie“

Ďalším bežným spôsobom je vstup cez nasledujúcu cestu: kliknite pravým tlačidlom myši na tlačidlo Štart > Nastavenia > AplikácieOdtiaľ uvidíte zoznam nainštalovaných programov a pre každý z nich budete mať prístup k špecifickým možnostiam.

Treba objasniť, že vo väčšine prípadov Citlivé povolenia sa nespravujú v časti „Nastavenia > Aplikácie“ale skôr z časti „Súkromie a zabezpečenie“, ako sme videli. V sekcii aplikácií nájdete všeobecnejšie nastavenia programu (odinštalovanie, rozšírené možnosti atď.), nie až tak prístup k fotoaparátu, polohe atď.

Preto, ak hľadáte, kde ovládať polohu, kameru alebo mikrofón pre konkrétnu aplikáciu, zvyčajne budete musieť prejsť na „Súkromie a zabezpečenie > Povolenia aplikácií“ a nie k zoznamu jednotlivých aplikácií v sekcii „Aplikácie“.

Nové ovládacie prvky povolení v systéme Windows 11: model v „mobilnom štýle“

Spoločnosť Microsoft oznámila významné posilnenie bezpečnostného modelu systému Windows 11 v súlade so svojou iniciatívou Iniciatíva Bezpečná budúcnosťJedným z kľúčových prvkov tejto zmeny je zavedenie ovládacie prvky povolení sú veľmi podobné tým na mobilných zariadeniach.

Dôvod je jednoduchý: zistilo sa, že mnoho desktopových aplikácií Upravujú konfigurácie, inštalujú nechcený softvér alebo menia kritické systémové funkcie bez toho, aby si od používateľa vyžiadali povolenie.Aby sa toto správanie obmedzilo, systém Windows začne vyžadovať explicitnú autorizáciu v situáciách, kde sa predtým všetko dialo „pod radarom“.

Explicitné povolenia pre citlivé akcie

Vďaka týmto novým ovládacím prvkom, keď sa aplikácia pokúša napríklad nainštalovať iný program, získať prístup k určitým typom citlivých súborov alebo zmeniť dôležité systémové nastaveniaSystém Windows zobrazí oznámenie so žiadosťou o váš súhlas. Vy sa rozhodnete, či ho autorizujete, zamietnete alebo najprv skontrolujete, čo sa deje.

Okrem toho to posilňuje myšlienku, že Povolenie môžete zrušiť aj po jeho udelení.Ak sa aplikácia správa zvláštne alebo jej už nedôverujete, môžete jej prístup odstrániť z nastavení bez toho, aby ste ju museli odinštalovať.

Ochrana integrity za behu

Ďalšou vlastnosťou nového modelu je, že systém Windows sa aktivuje štandardne. ochrana integrity za behuV praxi to znamená, že povolené bude spustenie iba aplikácií, služieb a ovládačov, ktoré sú správne podpísané a spĺňajú určité bezpečnostné požiadavky.

V pokročilých prostrediach alebo odôvodnených prípadoch budú môcť administrátori (a v niektorých prípadoch aj samotný používateľ) s výnimkou špecifických aplikácií týchto ochranných opatreníToto je užitočné, keď potrebujete spúšťať špecializované nástroje, staršie ovládače alebo interný firemný softvér, ktorý ešte nespĺňa všetky moderné požiadavky na podpisovanie.

Postupné zavádzanie a prísnejšie požiadavky na aplikácie a umelú inteligenciu

Tieto zmeny budú aktivované postupne, spoločnosť Microsoft úprava správania na základe spätnej väzby od vývojárov, firiem a koncových používateľovCieľom je vyhnúť sa zbytočným blokádam, ale zároveň výrazne zvýšiť celkovú úroveň bezpečnosti.

V rámci tejto širšej stratégie sa zavádzajú ďalšie relevantné opatrenia:

• Posilnenie Prihlasovacie ID spoločnosti Microsoft proti útokom so skriptovacím vkladaním.
• Zakázanie všetkých ovládacích prvkov ActiveX v Microsoft 365 a Office 2024 pre Windows.
• Aktualizácia predvolených nastavení zabezpečenia služby Microsoft 365 pre Blokovanie prístupu k súborom SharePointu, OneDrivu a balíka Office pomocou starších protokolov považované za nebezpečné.

Spoločnosť Microsoft ďalej varuje, že aplikácie, a najmä Agenti umelej inteligencie budú musieť spĺňať vyššie štandardy transparentnostiBudú musieť poskytovať lepšie informácie o tom, aké údaje používajú, aké povolenia potrebujú a ako interagujú so systémom, aby mal používateľ jasnejší prehľad a mohol robiť informované rozhodnutia.

Audit a kontrola povolení v organizačných aplikáciách pomocou Microsoft Enter

Keď hovoríme o firemnom alebo organizačnom prostredí, povolenia už nie sú obmedzené len na kameru alebo mikrofón počítača. Do hry vstupujú aj iné faktory. Microsoft Entra ID, cloudová platforma pre identitu a prístup, ktorá centralizuje správu aplikácií a ich autorizácií vo vzťahu k API a firemným údajom.

V tejto súvislosti „audit povolení“ znamená kontrolu, ktoré aplikácie majú prístup ku ktorým zdrojom prostredníctvom Povolenia API (delegované alebo aplikačné)kto udelil tieto povolenia a či sú stále vhodné podľa firemných politík.

Čo je to prihlásenie do Microsoftu a aké typy povolení spracováva?

Microsoft Entra umožňuje vašej organizácii registrovať aplikácie (interné alebo tretej strany) a priradiť im rôzne typy prístupu:

• Delegované povoleniaAplikácia koná v mene používateľa a používa jeho identitu a privilégiá.
• Povolenia aplikácie (iba aplikácia)Aplikácia funguje samostatne, bez interaktívneho používateľa a zvyčajne má širší prístup k údajom a službám.

Tieto povolenia sú kritické, pretože ovládajú veci, ako je čítanie e-mailov prostredníctvom Microsoft Graph, prístup k súborom OneDrive alebo SharePoint, zobrazenie používateľských údajov alebo správa iných cloudových zdrojovPreto je nevyhnutné pravidelne kontrolovať, či všetko, čo bolo udelené, stále dáva zmysel.

Kontrola záznamov o aktivitách a auditov povolení pre všetky aplikácie

Microsoft Entra zaznamenáva mnoho udalostí súvisiacich s udeľovaním a odoberaním povolení. Pre globálny prehľad Čo sa deje s oprávneniami aplikácií vo vašom adresári?Ak to chcete urobiť, postupujte podľa týchto krokov v centre správy:

1. Prihláste sa do Prihlásenie do centra spravovania spoločnosti Microsoft s účtom, ktorý má aspoň jednu z týchto rolí: Čitateľ zostáv, Bezpečnostný čitateľ, Bezpečnostný správca alebo Globálny čitateľ.
2. Prejdite na Prihlasovacie ID > Obchodné aplikácie.
3. V ľavom paneli v časti „Aktivita“ prejdite do sekcie "Záznamy z auditu".
4. Pomocou filtrov si môžete ponechať iba udalosti relevantné pre aktivita povolení aplikácií (udeľovanie a odoberanie povolení API).
5. V časti „Spravovať zobrazenie“ v hornom paneli príkazov môžete vyberte, ktoré stĺpce chcete zobraziť (vrátane dátumu) lepšie analyzovať každý záznam.

Takto môžete napríklad zistiť, kedy bolo aplikácii udelené silné oprávnenie, kto ho autorizoval alebo či boli nedávno odobraté nejaké dôležité oprávnenia.

Audit povolení rozhrania API pre konkrétnu aplikáciu zdrojov

V iných prípadoch vás bude zaujímať podrobnejšie informácie o špecifická aplikácia zdrojov, ako napríklad Microsoft Graph, aby ste zistili, ktoré ďalšie aplikácie majú naň povolenia. Toto je obzvlášť užitočné na monitorovanie prístupu k vysoko citlivým údajom.

Postup by bol asi takýto:

1. Prístup k centru správcov spoločnosti Microsoft. Prihláste sa s rolou, ktorá má aspoň oprávnenia na čítanie hlásení.
2. Choďte na Prihlasovacie ID > Obchodné aplikácie.
3. Vyhľadajte si aplikáciu zdrojov, ktorá vás zaujíma. Napríklad, ak chcete nájsť zdroje za posledných 30 dní Ktoré aplikácie dostali povolenie Mail.Read od Microsoft Graph?Vyhľadajte položku „Microsoft Graph“.
4. V ľavom paneli v časti „Aktivita“ sa vráťte do "Záznamy z auditu".
5. Filtrujte protokoly podľa polí uvedených v audítorskej dokumentácii a vyberte iba udalosti súvisiace s povoleniami rozhrania API.
6. Upravte zobrazenie pomocou možnosti „Spravovať zobrazenie“ a pridajte stĺpce, ako napríklad rande alebo herec a mať možnosť vidieť podrobnosti o tom, kto povolenie udelil alebo zrušil.

Pomocou týchto informácií môžete skontrolovať, či je aktuálny prístup v súlade s internými pravidlami, či existujú aplikácie s väčšími oprávneniami, ako potrebujú, alebo či nedošlo k nejakým rizikovým ústupkom, ktoré by ste mali preskúmať.

Relevantné audítorské udalosti a obmedzenia

Záznamy auditov spoločnosti Entra odrážajú rôzne scenáre súvisiace s udeľovaním a rušením povolení. Medzi najdôležitejšie udalosti, o ktorých by ste mali vedieť, patria:

• Udelenie prístupu k aplikácii iba pre aplikáciuAuditná služba „Core Directory“ zaznamenáva aktivitu podobnú aktivite „Pridanie priradenia roly aplikácie k principálovi služby“ v kategórii „Správa aplikácií“. Kontextom je používateľ, ktorý udeľuje prístup.
• Zrušenie exkluzívneho prístupu k aplikáciiUdalosť, ako napríklad „Odstrániť priradenie roly aplikácie z principálu služby“, sa vygeneruje aj v priečinku Základný adresár > Správa aplikácií.
• Udelenie delegovaného prístupuOdráža sa to ako niečo podobné ako „Pridať delegované udeľovanie povolení“, čo znamená, že aplikácia teraz môže konať v mene používateľa.
• Súhlas používateľa s aplikáciou: zobrazí sa udalosť „Súhlas aplikácie“, ktorá označuje, že používateľ súhlasil s tým, že aplikácii umožní používať určité povolenia.

Každý z týchto záznamov má svoj vlastný Obmedzenia a technické detailySpoločne vám však umožňujú zrekonštruovať, kto udelil prístup, k čomu a kedy. To je základ seriózneho auditu povolení v podnikovom prostredí.

Správa povolení pre súbory a priečinky v systéme Windows 11

Povolenia neovplyvňujú len aplikácie abstraktne; sú dôležité aj pre používateľov. Povolenia NTFS pre súbory a priečinkyTypickou chybou v systéme Windows 11 je, že súbor nie je možné otvoriť (napríklad dokument programu Word prijatý cez WhatsApp), pretože povolenia priečinka sú nesprávne alebo je súbor poškodený.

Skontrolujte, či problém súvisí s povoleniami alebo poškodením

Ak sa pri otváraní súboru z lokálneho disku v programe Word zobrazí chyba, existujú dve hlavné možnosti:

• Že Povolenia NTFS pre priečinok alebo súbor nie sú dostatočné pre vášho aktuálneho používateľa.
• Že súbor je poškodené, napríklad počas prenosu cez WhatsApp alebo inými prostriedkami.

Predtým, ako budete obviňovať aplikáciu, je vhodné skontrolovať povolenia a ak je všetko v poriadku a stále sa neotvorí, predpokladajte, že súbor bol pravdepodobne poškodený a budete ho musieť znova vyžiadať alebo kontaktovať podporu služby, ktorá ho preniesla.

Ako udeliť úplné povolenia pre „Všetkých“ v priečinku

V niektorých prípadoch, najmä v domácom prostredí, by vás mohlo zaujímať všetci používatelia v tíme majú plnú kontrolu nad konkrétnym priečinkom Aby ste sa vyhli problémom s prístupom (napríklad zdieľaný priečinok so spoločnými dokumentmi), základný postup by bol nasledovný:

1. Vyhľadajte priečinok, v ktorom sa nachádza problematický súbor, kliknite naň pravým tlačidlom myši a vyberte «Vlastnosti».
2. Prejdite na kartu „Zabezpečenie“Zobrazí sa zoznam používateľov a skupín, ktorí majú definované povolenia.
3. Kliknite na tlačidlo „Upraviť…“ na úpravu povolení.
4. Kliknite na „Pridať…“a potom v časti „Rozšírené“.
5. Na spodok rámčeka napíšte Všetko ako názov objektu, ktorý chcete vybrať, potvrdiť a prijať.
6. Späť v okne povolení začiarknite políčko, aby ste udelili povolenia pre „Všetci“. plná kontrola nad priečinkoma aplikujte zmeny.

Po vykonaní tejto akcie by mal byť každý lokálny používateľ schopný otvoriť súbor bez obmedzení oprávnení. Ak Word stále nedokáže otvoriť dokument, je to s najväčšou pravdepodobnosťou preto, že je poškodený a zo strany Windowsu sa s tým nedá nič urobiťPreto by ste museli kontaktovať podporu WhatsApp alebo požiadať o opätovné odoslanie súboru.

Spúšťajte aplikácie so zvýšenými oprávneniami kontrolovaným spôsobom

Ďalším veľmi chúlostivým typom „povolenia“ je povolenie spustiť aplikáciu s oprávneniami správcuUdelenie administrátorských oprávnení programu je ekvivalentné povoleniu vykonávať takmer akúkoľvek zmenu v systéme, takže s ním treba zaobchádzať s mimoriadnou opatrnosťou.

V systéme Windows 11 by štandardný účet nemal byť schopný spúšťať aplikácie ako správca bez toho, aby musel prejsť cez Kontrola používateľských účtov (UAC)...čo vyžaduje používateľské meno a heslo správcu. Existuje však pokročilý spôsob konfigurácie pomocou Plánovača úloh.

Použitie Plánovača úloh na spustenie aplikácie s oprávneniami správcu

Pre veľmi špecifický scenár, ako napríklad povolenie štandardnému používateľovi spustiť konkrétnu hru alebo program s oprávneniami správcu bez toho, aby musel zakaždým zadávať prihlasovacie údaje, je možné použiť Plánovač úloh:

1. V ponuke Štart systému Windows 11 vyhľadajte „Plánovač úloh“ a otvorte ho.
2. V pravom stĺpci kliknite na "Vytvoriť základnú úlohu...".
3. Zadajte úlohu popisný názov a ak chcete, aj popisPokračujte kliknutím na tlačidlo „Ďalej“.
4. Ako spúšťač zvoľte „Keď sa prihlásite“Ak chcete, aby sa spustil automaticky po prihlásení, kliknite na tlačidlo „Ďalej“.
5. V časti „Akcia“ vyberte "Spustiť program" a vráťte sa na „Ďalej“.
6. Pomocou tlačidla prehľadávať vyhľadajte spustiteľný súbor (.exe) hry alebo aplikácie, zvyčajne v inštalačnom priečinku. Súhlaste a kliknite na tlačidlo „Ďalej“.
7. Prečítajte si súhrn a kliknite na "Dokončiť".

Ak úlohu upravíte tak, aby sa spúšťala s možnosťou „Spustiť s najvyššími oprávneniami“ (konfigurovateľnou v rozšírených vlastnostiach úlohy), táto aplikácia sa pri každom spustení úlohy spustí s oprávneniami správcu.

Vytvorte skratku, ktorá spustí úlohu

Ak nechcete, aby sa program spúšťal automaticky po prihlásení, môžete vytvoriť skratka, ktorá jednoducho spustí úlohu po jej otvorení:

1. Kliknite pravým tlačidlom myši na pracovnú plochu a vyberte si „Nové > Skratka“.
2. Do poľa „Zadajte umiestnenie položky“ zadajte príkaz:
   schtasks /run /tn "NombreDeLaTarea"
   nahrádzajúci „NázovÚlohy“ pre presný názov úlohy ktoré ste vytvorili v Plánovači úloh.
3. Stlačte tlačidlo „Ďalej“ a potom kliknite na skratku rovnaký názov ako hra alebo programA asistent končí.

Od tohto okamihu sa úloha spustí vždy, keď používateľ dvakrát klikne na skratku a spustí aplikáciu s oprávneniami správcu bez opätovného vyžadovania poverení.

Riziká spojené so zvýšením počtu povolení týmto spôsobom

Túto metódu by ste mali používať s mimoriadnou opatrnosťou. Ak aplikácia vždy beží so zvýšenými oprávneniami, znamená to, že ak má zraniteľnosti alebo je napadnutá, Útočník by to mohol zneužiť na získanie kontroly nad celým systémom.

Preto je nevyhnutné používať ho iba so softvérom, ktorému plne dôverujete, udržiavať ho aktualizovaný a pravidelne kontrolovať, či je stále potrebný. Pamätajte, že v oblasti bezpečnosti... Čím menej programov sa spúšťa ako správca, tým lepšie..

Kombináciou správneho používania časti „Ochrana súkromia a zabezpečenie“ v nastaveniach, pravidelnej kontroly povolení v programe Microsoft Enterprise, starostlivej správy povolení NTFS a veľmi premysleného používania zvýšených oprávnení budete mať v systéme Windows 11 oveľa vyššiu úroveň kontroly nad svojimi aplikáciami ako zvyčajne a výrazne znížite nepríjemné prekvapenia súvisiace s neoprávneným prístupom alebo neočakávaným správaním. Zdieľajte informácie, aby sa o téme dozvedelo viac ľudí.