Zaufane lokalizacje

Zaufane lokalizacje to foldery, z których pliki otwierają się bez ostrzeżeń bezpieczeństwa.

Zaufane lokalizacje – czym są w praktyce

Zaufane lokalizacje to wskazane foldery, którym system lub konkretny program przyznaje wyższy poziom zaufania. Pliki przechowywane w takim miejscu mogą być otwierane z mniejszą liczbą ostrzeżeń niż dokumenty pobrane z internetu, odebrane jako załącznik albo skopiowane z nieznanego nośnika. Mechanizm ten jest spotykany między innymi w pakietach biurowych, narzędziach do tworzenia dokumentów, środowiskach programistycznych oraz aplikacjach korzystających z makr, dodatków lub skryptów.

Nie oznacza to, że każdy plik zapisany w zaufanym folderze staje się bezpieczny. Zaufanie dotyczy przede wszystkim lokalizacji, a nie rzeczywistej zawartości dokumentu. Jeżeli do takiego katalogu trafi plik złośliwy, aplikacja może potraktować go łagodniej i nie pokazać pełnego zestawu komunikatów ostrzegawczych. Z tego powodu zaufaną lokalizację powinno się tworzyć tylko wtedy, gdy wiadomo, kto zapisuje w niej pliki, jak przebiega ich kontrola oraz jakie programy mają do niej dostęp.

W zależności od używanego oprogramowania zaufana lokalizacja może oznaczać folder na dysku komputera, katalog użytkownika, współdzielony zasób albo określony obszar wskazany w ustawieniach aplikacji. Nazwa funkcji bywa różna, jednak sens pozostaje podobny: program uznaje wybrany katalog za miejsce robocze, w którym dokumenty mogą być uruchamiane bez części standardowych blokad.

Bezpieczne lokalizacje zaufane a zwykłe foldery

Zwykły folder służy do przechowywania plików, lecz sam fakt zapisania dokumentu w takim miejscu nie zmienia sposobu jego oceny przez aplikację. Dokument pobrany z przeglądarki może nadal zawierać oznaczenie pochodzenia z internetu, a plik otrzymany pocztą elektroniczną może zostać otwarty w trybie chronionym. Zaufana lokalizacja działa jak dodatkowa reguła konfiguracji: program rozpoznaje folder i może ograniczyć część zabezpieczeń związanych z pochodzeniem pliku.

Warto odróżnić zaufanie do lokalizacji od zaufania do autora dokumentu, certyfikatu cyfrowego lub konkretnego dodatku. Są to niezależne mechanizmy. Dokument podpisany cyfrowo może być uznawany za pochodzący od określonego wydawcy, natomiast plik w zaufanym folderze jest traktowany łagodniej ze względu na miejsce zapisania. Możliwe jest więc, że dokument ma wiarygodnego autora, ale znajduje się poza dozwolonym katalogiem, albo odwrotnie: znajduje się w zaufanym folderze, choć jego źródło pozostaje niepewne.

Przydatne jest także porównanie z wyjątkami w programach ochronnych. Zaufana lokalizacja konfigurowana w aplikacji biurowej nie musi wpływać na działanie ochrony systemowej ani skanera plików. Zwykle usuwa tylko określone ostrzeżenia generowane przez dany program. Inne mechanizmy bezpieczeństwa nadal mogą wykryć podejrzaną zawartość, zablokować uruchomienie albo przenieść plik do kwarantanny. Nie należy traktować zaufanego folderu jako sposobu na wyłączenie wszystkich zabezpieczeń.

Problemy z folderem Zaufane lokalizacje

Jednym z częstszych problemów jest brak oczekiwanego efektu po dodaniu folderu. Przyczyną może być wskazanie niewłaściwej ścieżki, zapisanie pliku w podfolderze, którego aplikacja nie obejmuje regułą, albo uruchamianie dokumentu z innego miejsca niż zakładano. W niektórych programach trzeba wyraźnie zaznaczyć, czy zaufanie obejmuje tylko wybrany katalog, czy także jego podkatalogi. Znaczenie może mieć również konto użytkownika, ponieważ ustawienia zapisane dla jednej osoby nie zawsze obowiązują pozostałe konta na tym samym komputerze.

Inny przypadek to komunikat ostrzegawczy pojawiający się mimo poprawnej konfiguracji. Może on pochodzić z systemu operacyjnego, programu antywirusowego, dodatku do przeglądarki lub modułu odpowiedzialnego za kontrolę dostępu. Wtedy sama zmiana ustawień aplikacji nie rozwiąże problemu. Należy ustalić, który element wyświetla komunikat, jaki plik jest blokowany i na jakim etapie następuje blokada.

Ryzyko powstaje również wtedy, gdy zaufany katalog znajduje się w miejscu łatwo dostępnym dla wielu użytkowników lub aplikacji. Folder roboczy wykorzystywany przez kilka narzędzi może zostać zapełniony plikami tymczasowymi, załącznikami albo automatycznie pobieraną zawartością. Jeżeli aplikacja uruchamia makra lub skrypty bez dodatkowego pytania, niekontrolowany zapis do takiego katalogu może ułatwić wykonanie niepożądanych poleceń. Z tego powodu warto ograniczyć uprawnienia zapisu i nie wskazywać szerokich, ogólnych katalogów.

Problemy mogą wynikać także z przeniesienia danych. Po zmianie nazwy folderu, podłączeniu innego dysku lub odtworzeniu kopii zapasowej ścieżka może przestać odpowiadać wcześniejszej konfiguracji. Program może wtedy traktować pliki jako pochodzące z nieznanego miejsca albo wskazywać nieistniejącą lokalizację. Regularne sprawdzanie ustawień pozwala uniknąć sytuacji, w której dokumenty przestają otwierać się zgodnie z przyjętym sposobem pracy.

Praktyczne ustawianie lokalizacji zaufanych

Przed dodaniem folderu powinno się określić jego przeznaczenie. Najbezpieczniej wskazywać konkretny katalog roboczy używany przez znany zespół, aplikację lub ustalony proces. Nie zaleca się obejmowania zaufaniem całego dysku, katalogu pobierania, folderu tymczasowego ani miejsca, do którego automatycznie trafiają załączniki. Im węższy zakres, tym łatwiej kontrolować zawartość oraz ustalić, skąd pochodzi konkretny dokument.

Po utworzeniu reguły warto sprawdzić, czy ścieżka jest zapisana prawidłowo, czy obejmuje wymagane podfoldery i czy ustawienie dotyczy właściwego programu. Następnie można otworzyć testowy, znany dokument i potwierdzić, że oczekiwane działanie zostało osiągnięte. Próba powinna odbywać się na kopii pliku, a nie na jedynym egzemplarzu ważnych danych. Jeżeli dokument zawiera makra, skrypty lub dodatki, należy zweryfikować ich źródło przed dopuszczeniem do pracy.

Dobrym rozwiązaniem jest prowadzenie prostej ewidencji takich wyjątków. Powinna obejmować nazwę folderu, przeznaczenie, program korzystający z lokalizacji oraz osobę odpowiedzialną za jej utrzymanie. Przydatne jest też okresowe usuwanie nieużywanych reguł. Folder, który nie jest już potrzebny, powinien zostać usunięty z listy zaufanych miejsc, a jego zawartość przejrzana pod kątem pozostałych dokumentów i plików pomocniczych.

W przypadku pracy na kilku komputerach trzeba pamiętać, że ustawienie może być lokalne dla konkretnego urządzenia lub profilu użytkownika. Przeniesienie samego dokumentu nie musi przenosić konfiguracji. Jeżeli używane jest oprogramowanie zarządzane centralnie, dostępne opcje mogą być ograniczone przez zasady ustalone dla danego środowiska. Brak możliwości zapisania zmiany nie zawsze oznacza błąd programu; może wynikać z uprawnień albo z celowej polityki ochrony.

Kiedy sprawdzić problem z Zaufanymi lokalizacjami

Do sprawdzenia konfiguracji warto przystąpić wtedy, gdy znane dokumenty są każdorazowo otwierane w trybie chronionym, makra nie uruchamiają się mimo prawidłowego pochodzenia, aplikacja nie rozpoznaje wskazanego folderu albo po zmianie dysku pojawiają się nowe ostrzeżenia. Pomocna jest dokładna informacja o nazwie programu, rodzaju pliku, miejscu jego zapisania oraz treści komunikatu. Bez tych danych łatwo zmienić niewłaściwą opcję i niepotrzebnie osłabić ochronę.

Jeżeli ostrzeżenia pojawiły się po pobraniu pliku z nieznanego źródła, nie powinno się dodawać całego katalogu do zaufanych miejsc tylko po to, aby szybko ominąć komunikat. Najpierw należy ustalić pochodzenie dokumentu, sprawdzić go narzędziem ochronnym i upewnić się, że jego uruchomienie jest potrzebne. Szczególnej ostrożności wymagają pliki zawierające makra, skrypty, dodatki oraz elementy automatycznie wykonujące działania po otwarciu.

W razie trudności z oceną ustawień lub podejrzenia, że zaufana lokalizacja została wykorzystana do uruchomienia niepożądanej zawartości, można zgłosić komputer do Warszawskiego Pogotowia Komputerowego 24/7. W ramach takiego zgłoszenia można przeanalizować komunikaty, konfigurację aplikacji, uprawnienia folderu oraz sposób otwierania dokumentów, a następnie uporządkować wyjątki tak, aby zaufanie obejmowało tylko potrzebny zakres.