Microsoft удалила антивирус из ядра Windows — вот почему это важно.

• Microsoft переносит средства антивирусной защиты и обнаружения угроз на конечных устройствах из ядра Windows, чтобы повысить стабильность системы и минимизировать риски сбоев.
• Этот сдвиг позволит изолировать программное обеспечение безопасности в пользовательском режиме, предотвращая проблемы, подобные инциденту с CrowdStrike в 2024 году, который вызвал массовые ошибки типа «синий экран смерти».
• Microsoft Defender и сторонние антивирусные программы продолжат работать в обычном режиме, но в более безопасной и контролируемой среде.

Microsoft меняет принцип работы антивирусного программного обеспечения (AV) и программного обеспечения для обнаружения и реагирования на угрозы на конечных устройствах (EDR), удаляя его из ядра Windows. Это изменение приближается к стадии закрытого предварительного просмотра и является частью более масштабной инициативы Windows Resilience Initiative — долгосрочной стратегии по минимизации критических сбоев системы, подобных тому, что мы наблюдали с CrowdStrike в 2024 году, когда миллионы систем стали непригодны для использования после некорректного обновления на уровне ядра.

Почему Microsoft вносит эти изменения

Традиционно антивирусные и EDR-инструменты работали глубоко в ядре (привилегированном ядре Windows 11, 10 и более старых версий), получая полный доступ к процессам, памяти и драйверам. С одной стороны, это делало их эффективными в обнаружении сложных угроз, но с другой стороны, это также делало их опасными, поскольку ошибка или неудачное обновление в ядре могут привести к сбою всей системы, как это было показано в инциденте с CrowdStrike.

Изолируя инструменты антивирусной защиты/удаления вредоносного ПО в пользовательском режиме, Microsoft ограничивает свой доступ к критически важным компонентам системы, а это значит, что если антивирусный движок работает некорректно, вероятность сбоя компьютера значительно снижается.

Что это значит для обычных потребителей?

Для обычных пользователей Windows 11 этот переход будет практически незаметен, и это хорошо. Антивирус Microsoft Defender (или любой другой сторонний антивирус) продолжит работать, и ваш ноутбук, планшет или настольный компьютер останутся защищенными. Однако он будет работать в более безопасной и контролируемой среде в фоновом режиме.

Сможете ли вы теперь удалить Microsoft Defender? Короткий ответ: нет, пока нет. Microsoft Defender останется компонентом безопасности по умолчанию в операционной системе, особенно для пользователей, которые не устанавливают стороннее антивирусное программное обеспечение. Однако перенос Defender из ядра может открыть возможности для большей модульности. В будущем может стать проще отключить или заменить антивирус по умолчанию без ущерба для целостности системы.

Ещё один важный момент: если обновление антивируса не удастся, остальная часть вашей системы будет защищена, что приведёт к уменьшению количества ошибок типа «синий экран смерти» .

Кроме того, программный гигант работает над новой функцией под названием «Быстрое восстановление машин», которая позволит сетевым администраторам быстрее восстанавливать устройства, которые не загружаются, — это прямой ответ на хаос, вызванный сбоем ядра CrowdStrike. Эта функция будет доступна не только организациям, но и частным пользователям.

Что это значит для бизнеса

Для предприятий и профессионалов это также долгожданное изменение. Антивирусные системы на уровне ядра всегда представляли риски, такие как неудачное обновление, конфликт драйверов или пропущенная проверка совместимости, которые могут мгновенно вывести из строя тысячи машин. Это изменение архитектуры изолирует сторонние инструменты безопасности от критически важных уровней операционной системы, делая организации менее уязвимыми к сбоям и упрощая восстановление.

Microsoft уже сотрудничает с партнерами , включая CrowdStrike, Bitdefender, Sophos, Trend Micro и ESET, чтобы обеспечить работу их инструментов вне ядра операционной системы. Компания также подчеркивает, что это не одностороннее решение. Это совместная работа по перепроектированию интеграции антивирусного программного обеспечения в операционную систему.

Кроме того, новая платформа позволяет более контролируемо развертывать обновления безопасности. Технологические отделы получат выгоду от поэтапного внедрения, улучшенной телеметрии и расширенных возможностей отката.

Microsoft также хочет исправить систему защиты от читерства.

Хотя удаление антивируса из ядра — это позитивный шаг вперед, это не единственная проблема. Многие античитерские решения в играх используют драйверы на уровне ядра для обнаружения инструментов читерства и манипуляций с памятью. Однако это сопряжено с теми же рисками, что и антивирусное программное обеспечение, такими как некачественный код или устаревшие обновления, которые могут поставить под угрозу стабильность системы.

В настоящее время Microsoft сотрудничает с разработчиками игр для создания механизмов защиты от читерства, не зависящих от ядра системы, что может привести к более стабильному игровому процессу и уменьшению количества ложных срабатываний блокировки.

Новая архитектура для антивирусных программ и инструментов EDR в настоящее время разрабатывается с учетом Windows 11 и будущих версий. Нет никаких указаний на то, что это изменение будет перенесено в Windows 10. Однако, поскольку компания планирует упростить пользователям продолжение использования Windows 10 после окончания поддержки 14 октября 2025 года, все еще существует вероятность того, что это изменение также появится в предыдущей версии операционной системы.