Москва: проверенные б/у ноутбуки с гарантией и проверкой перед оплатой
+7 906 722-94-45
NoutMarketб/у ноутбуки · Москва+7 906 722-94-45

Главная → Статьи → Чистая настройка рабочего ноутбука с нуля после покупки (нового или б/у): проверка BIOS/Computrace, чистая установка ОС, разделение прав и гигиена безопасности

Первые 60 минут после покупки рабочего ноутбука (нового из магазина или б/у с рук): чек-лист безопасной настройки профиля без мусора и закладок прошлого владельца

Пошаговый практический регламент для руководителей, предпринимателей и специалистов ИБ при вводе в работу купленного розничного или подержанного ноутбука: почему КАТЕГОРИЧЕСКИ НЕЛЬЗЯ просто создать нового пользователя на старой Windows от предыдущего хозяина, как проверить в BIOS скрытый агент Absolute Persistence (Computrace) и корпоративный Autopilot/MDM, и настроить разделение прав Admin vs User.

Первые 60 минут после покупки рабочего ноутбука (нового из магазина или б/у с рук): чек-лист безопасной настройки профиля без мусора и закладок прошлого владельца

Купили отличный быстрый ноутбук для работы бухгалтера, юриста или частной практики — особенно если это выгодный корпоративный рефаб после европейского/российского лизинга (как закупать б/у ноутбуки с НДС и гарантией).

Продавец услужливо говорит вам: «Я вам уже установил свежую активированную Windows со всеми нужными программами и офисом, включайте и сразу вставляйте токен банк-клиента!».

СТОП! ЭТО САМАЯ СТРАШНАЯ ОШИБКА БЕЗОПАСНОСТИ, КОТОРУЮ ТОЛЬКО МОЖНО СОВЕРШИТЬ! Вы не имеете ни малейшего представления, откуда взята эта «пиратская сборка Васян-Edition с вырезанным Защитником», какой KMS-троян-стилер вшит в планировщик задач и не оставил ли предыдущий владелец на диске скрытый агент удалённого управления (RMS / AnyDesk / RustDesk Service), который завтра ночью переведёт все деньги с вашего расчётного счёта!

Запомните железную аксиому информационной безопасности: НА ЛЮБОМ Б/У НОУТБУКЕ (И НА ЛЮБОМ НОВОМ НОУТБУКЕ С ПРЕДУСТАНОВКОЙ ОТ МАЛЕНЬКОГО СЕРОГО ПРОДАВЦА) РАБОЧАЯ ЖИЗНЬ ВСЕГДА НАЧИНАЕТСЯ СО СНОСА ВСЕХ РАЗДЕЛОВ ДИСКА «В НОЛЬ» И ЧИСТОЙ УСТАНОВКИ ПРОВЕРЕННОЙ ОС СВОИМИ РУКАМИ!

Четыре скрытые ловушки на уровне микрокода BIOS / UEFI подержанного бизнес-ноутбука, которые ОБЯЗАТЕЛЬНО проверяются ПЕРЕД покупкой и установкой ОС!

Даже полное форматирование SSD НЕ СНИМАЕТ эти 4 корпоративные привязки, живущие прямо во флеш-микросхеме SPI BIOS материнской платы или на серверах вендора:

Проверка в BIOS / UEFI и при первом подключении к Wi-Fi Как выглядит опасность! Как проверить за 2 минуты!
1. Супервизорный пароль BIOS Supervisor Password! На экране F1 / F2 / F10 горит иконка закрытого замочка — вы не сможете ни поменять порядок загрузки, ни включить виртуализацию VT-x, ни обновить BIOS! Зайти в BIOS Setup и попробовать сохранить изменение времени/настройки!
2. Вшитый в прошивку BIOS модуль Absolute Persistence (бывший Computrace)! Во всех корпоративных ThinkPad / Latitude / EliteBook прямо в код UEFI с завода встроен модуль возврата украденных машин Absolute. Если он переведён прошлой компанией в необратимый статус Enabled / Permanently Activated, при первом же выходе в интернет чистой переустановленной вами Windows BIOS САМ ИНЖЕКТИРУЕТ В C:\Windows\System32 ИСПОЛНЯЕМЫЙ СЕРВИС rpcnetp.exe С ПРАВАМИ SYSTEM И ПОЗВОЛЯЕТ БЫВШЕМУ ИТ-ОТДЕЛУ ЧИТАТЬ ВАШ НОУТБУК ИЛИ ЗАБЛОКИРОВАТЬ ЕГО НАМЕРТВО! Зайти в BIOS -> Security -> Absolute Persistence / Computrace: статус ОБЯЗАН быть Disabled (переведите его навсегда в Permanently Disabled!). Если уже горит активная привязка чужой организации без отвязки — верните ноутбук продавцу!
3. Облачная привязка аппаратного хэша материнской платы к чужому Windows Autopilot (или Apple MDM Remote Management)! Вы ставите с флешки абсолютно девственную оригинальную Windows 11 Pro, подключаетесь на этапе OOBE к домашнему Wi-Fi, и вдруг экран пишет: «Добро пожаловать в ООО "Чужая Корпорация"! Введите ваш корпоративный адрес @company.com»! Хэш вашей материнской платы забыли удалить из корпоративного тенанта прошлой компании! Всегда проходите первоначальную настройку Windows 11 / macOS С ВКЛЮЧЁННЫМ ИНТЕРНЕТОМ В ПРИСУТСТВИИ ПРОДАВЦА В ДЕНЬ ПОКУПКИ! На чистом ноутбуке НЕ должно появляться название чужой компании!
4. Intel AMT / vPro (Management Engine MEBx — Ctrl+P) Сетевая карта Intel может иметь оставленный прошлым админом пароль удалённого аппаратного управления AMT поверх ОС Сбросить настройки BIOS / ME к заводским безопасным значениям (Load Factory Defaults + отключение AMT) и обновить прошивку BIOS / UEFI до последней версии с официального сайта производителя ноутбука!

Чистый 5-шаговый старт идеального рабочего ноутбука за 45 минут

  1. Полная очистка SSD: выполните аппаратную очистку NVMe Sanitize или полное удаление всех разделов диска в установщике ОС;
  2. Установка эталонного проверенного образа ОС: с проверенной по контрольной сумме SHA-256 официальной ISO-флешки (Windows 11 Pro или отечественного дистрибутива Astra Linux / РЕД ОС / Альт); удаление из новой розничной ноутбучной сборки навязчивого рекламного мусора (Bloatware: пробных 30-дневных сторонних антивирусов, замедляющих систему, игр и всплывающих панелей);
  3. ГЛАВНЫЙ ПРИЁМ БЕЗОПАСНОСТИ ОПЫТНЫХ АДМИНОВ — ДВЕ УЧЁТНЫЕ ЗАПИСИ НА НОУТБУКЕ (Admin + Work):
    • создайте локальную учётную запись LocalAdmin со сложным 16-значным паролем — и ВЫЙДИТЕ ИЗ НЕЁ;
    • для своей ежедневной работы создайте вторую учётную запись Имя_Работа со СТАНДАРТНЫМИ ПРАВАМИ ПОЛЬЗОВАТЕЛЯ (БЕЗ прав Администратора!)!
    • Почему один этот приём блокирует 94 % всех троянов и вирусов-шифровальщиков мира?! Когда вы сидите под обычным пользователем и случайно кликаете вредоносный макрос или скрипт в почте, зловред НЕ МОЖЕТ прописаться в системные службы ядра, не может отключить антивирус и не может удалить теневые копии VSS, потому что система мгновенно выбрасывает защищённое окно UAC: Введите пароль LocalAdmin! А когда вам действительно нужно раз в месяц поставить легальную программу, вы просто вводите в этом окошке пароль LocalAdmin за 3 секунды!
  4. Включите полнодисковое шифрование BitLocker / LUKS2 / FileVault и сохраните резервный ключ восстановления в надёжном месте ВНЕ ноутбука!
  5. Включите в штатном Microsoft Defender (или отечественном антивирусе Kaspersky) Контролируемый доступ к папкам (Controlled Folder Access — защита папки Документы от несанкционированного шифрования неизвестными процессами)!

Чек-лист перед началом работы с деньгами и документами

  • [ ] На ноутбуке установлен DNS с фильтрацией фишинговых и вредоносных доменов (например, защищённый режим Безопасного поиска / Яндекс DNS Безопасный), а в браузере включено расширение блокировки вредоносных рекламных баннеров (половина фейковых сайтов «Скачать КриптоПро / WhatsApp / Альта-ГТД» в поиске — это поддельные рекламные ссылки мошенников!).

Частые вопросы

Как понять при покупке нового или б/у Windows-ноутбука, легальный ли ключ Windows зашит в материнскую плату с завода (OEM OA3 Digital License)? В командной строке выполните wmic path softwarelicensingservice get OA3xOriginalProductKey (или powershell "(Get-CimInstance -query 'select * from SoftwareLicensingService').OA3xOriginalProductKey"): если плата с завода поставлялась с лицензионной ОС Windows Pro, вы увидите 25-значный заводской ключ прямо из таблицы ACPI MSDM материнской платы, который активирует чистый официальный образ автоматически без единого стороннего скрипта!