Ochrana počítače pomocí funkce DEP ve Windows

Systém MS Windows nabízí ochranu před spuštěním škodlivého kódu v paměti nazvanou DEP (Data Execution Prevention) neboli Zabránění spuštění dat. Tato funkce sdělí procesoru, aby označil všechna místa v paměti jako nespustitelná pokud neobsahují výlučně spustitelný kód. Podívejme se na možnost nastavení DEP.

DEP je vskutku užitečná funkce, avšak mnoho lidí o ní ani neví, nebo o ní slyšelo, ale nevědí co se pod tím skrývá.  Její název přesně vypovídá účel, zabrání spuštění dat v paměti. To nedovolí škodlivému kódu, aby se nakopíroval do všech míst paměti, protože jen některá jsou označena jako spustitelná. Je nutné si uvědomit, že DEP nebrání ve stažení či spuštění nebezpečného kódu, tohle řeší antivir či firewall. DEP má za úkol sledovat přístup aplikací do paměti RAM a její bezpečné využití. Dojde-li k pokus spustit nějaký kód z chráněného místa, funkce na tuto skutečnost upozorní a program ukončí. V systému Windows máme 2 možnosti jak tuto funkci nastavit.

Nastavení DEP najdeme v nastavení počítače, tedy v Ovládacích panelech pod položkou Systém či z místní nabídky pro Tento počítač (Počítač od Windows Vista). DEP najdeme  na záložce Upřesnit a poté v poli Výkon stiskneme Nastavení a již vidíme záložku Zabránění spuštění dat (DEP).

Nastavení funkce DEP

 Máme zde pouze 2 možnosti nastavení. První, výchozí, že je funkce DEP zapnutá pouze pro důležité systémové programy a služby. Druhá volba je přísnější, zapne DEP úplně pro všechny programy, ale dává možnost vyloučit určité programy, které se spustí bez ohledu na DEP. Po stisku tlačítka Přidat můžeme zvolit spustitelný soubor, který bude DEP „přehlížet“.

Možnost přidání výjimky spustitelného souboru pro DEP

V praxi můžeme bez obav ponechat první volbu, je také doporučená. DEP bude sledovat pouze důležité programy a jejich přístup do paměti. Nastavíme-li druhou možnost a nepřidáme výjimky, může někdy nějaká aplikace vlivem DEP být ukončena. Na druhou stranu posílíme bezpečí a máme lepší kontrolu, že se v paměti nějaký program pokouší něco spustit. Aplikaci, která kvůli DEP „zlobí“, můžeme popsaným způsobem zařadit do výjimek. Obecně však stačí první volba.

Běžným způsobem nelze DEP zcela vypnout. Pokročilí uživatelé či správci mohou DEP vypnout pomocí příkazového řádku příkazem bcdedit.exe /set. Více informací v nápovědě k příkazu pomocí bcdedit /help. Tento příkaz není dostupný ve Windows, pouze od Windows Vista a musí být spuštěn s administrátorskými právy.