Z toho, co popisuješ, je vidět, že tomu asi moc nerozumíš.
Zaprvé, tyhle sračky cílí na uživatelská data, k těm má uživatel tedy plný přístup, jinak by s nimi nemohl pracovat. A těm sračkám je vesměs jedno, jestli jsi admin, nebo user, nejdou po systému, jdou po datech uživatele.Za další, i když máš sebevíc restriktivní internet, tak většinou přileze problém poštou. Naposledy jako doc s makrem, který uživatel omylem odbouchne (stačí ťuknout jen na položku "povolit obsah"). Pak to začne šifrovat uživatelská data.
Pokud v AV není nastaven nějaký spešl filtr (třeba u ESETu je to HIPS, mají na to KB), tak si toho AV nevšimne.
jinak to ani nemusí být problém uživatele, stačí využití nějaké zranitelnosti v Office a projde to bez interakce uživatele. Účinnost AV je proti takovým věcem minimální.Dále, co vím, tak Win už nemají applocker (jen ty verze s předplatným. tj. enterprise a verze pro školy), takže většina firem si nemůže řídit "seznam povolených app".
Jenomže toto nezabraňuje spouštění maker a systémových příkazů, což červy využívají (nepoužívají nějaký exáč z tempu).
Toto lze obejít použitím sw třetích stran, třeba Antivirových řešení. Jenomže i toto není dokonalé.Pokud třeba použiješ ESET a nastavíš si HIPS dle KB od ESETu, tak si uživatel nebude moci otevřít obrázek z outlooku v klasickém win prohlížeči obrázků, protože jej ESET zakáže (spouští se né úplně standardně). Postupně zjistíš, že problémů může být více a nároky na HW nejsou také úplně zanedbatelné, protože takové kontroly nejsou úplně bez režií a snižují latence při práci.My třeba mažeme v emailech všechny přílohy, co mají v sobě něco spustitelného (i zip v zipu apod.), mažeme i to, na co AV přijde(což bývá ale se zpožděním). Měli jsme ESETa bez nastavených filtrů v HIPS a ransomware prošel a klidně zašifrovat 100 000 souborů na share, kam měl uživatel přístup (máme hodně restriktivní politiky, takže to zasáhlo jen zlomek dat).To, co ty píšeš, je tedy podle mně hodně zjednodušený pohled laika, který se snaží být chytrý.Zdar Max
PS: zkoušel jsi si třeba někdy zablokovat přístup na internet a povolovat jen vybrané weby? Protože pokud by jsi si to někdy zkusil, tak zjistíš, že s jedním webem se váže 20 dalších, které musíš povolit (různé js. css apod. věci, co se tahají z různých subdobmén, jiných domén, nebo přímo ze skriptů je odkazováno jinam). A když tohle nakonec všechno šéfneš, tak nemáš zaručeno, že to bude fungovat napořád (provozovatel webu udělá změnu a řešíš problém na novo).
Podle mně je řešení blacklist/whitelist z minulého století. Dnes jedině proxy s regexp filtry, AV apod. nástroji.
