Controlled folder access в Windows: как включить защиту папок и чего от неё не ждать
Коротко. Controlled folder access (CFA) — функция Microsoft Defender, которая разрешает изменять файлы в защищённых папках только доверенным программам. Если неизвестное приложение пытается перезаписать или удалить документ, операция блокируется, а в журнале появляется запись. Функция выключена по умолчанию, работает только при активном Defender с включённой защитой в реальном времени и не заменяет резервную копию: уже зашифрованные файлы она не восстановит.
Правильный порядок включения — сначала режим аудита на несколько дней, потом блокировка. Иначе первыми под удар попадут программы резервного копирования, синхронизации и игровые лаунчеры.
Что именно защищает CFA
Microsoft описывает три элемента:
- Защищённые папки. Набор по умолчанию изменить нельзя, но можно добавить свои. Обычно это рабочий стол, документы, изображения, видео, музыка и ряд системных папок.
- Доверенные приложения. Defender оценивает исполняемые файлы (
.exe,.scr,.dllи другие) и автоматически доверяет большинству распространённых программ по репутации. Остальные можно добавить вручную. - Секторы диска. Запись в загрузочные сектора для недоверенных приложений блокируется — это защита от загрузочных вирусов и вайперов.
Ключевая формулировка: CFA блокирует недоверенные приложения. Он не «лечит» зашифрованные файлы и не мешает программе, которая уже получила доверие или действует через системный процесс.
Требования
- Microsoft Defender Antivirus должен быть основным антивирусом и работать в активном режиме.
- Защита в реальном времени должна быть включена.
- CFA не работает, если Defender переведён в пассивный режим сторонним антивирусом, в режим ограниченного периодического сканирования или отключён.
- Поддерживаются Windows 10, Windows 11 и Windows Server 2019+.
Если на ноутбуке стоит сторонний антивирус, который отключил Defender, CFA включать бессмысленно: настройка сохранится, но защищать не будет.
Включение через интерфейс
- Откройте «Безопасность Windows».
- Перейдите в «Защита от вирусов и угроз».
- В разделе «Защита от программ-вымогателей» нажмите «Управление защитой от программ-вымогателей».
- Найдите «Контролируемый доступ к папкам» и переключите в положение «Вкл.».
После включения попробуйте открыть и сохранить документ в «Документах» привычной программой. Если она не входит в список доверенных, сохранение будет заблокировано, а в центре уведомлений появится сообщение.
Режим аудита: включить до блокировки
В документации есть три режима:
| Режим | Код | Поведение |
|---|---|---|
| Отключён (по умолчанию) | 0 | все приложения могут менять файлы |
| Включён / блокировка | 1 | недоверенные приложения блокируются |
| Аудит | 2 | изменения разрешены, но попытки записываются в журнал |
Аудит полезен, чтобы понять, какие ваши программы будут заблокированы. Включить его можно через PowerShell от имени администратора:
Set-MpPreference -EnableControlledFolderAccess AuditMode
Через несколько дней проверьте журнал:
- «Безопасность Windows» → «Защита от вирусов и угроз» → «Журнал защиты»;
- либо «Просмотр событий» → журналы Microsoft Defender → события с идентификатором 1123/1124.
Если в журнале только ожидаемые программы (синхронизация, backup, редактор фото), добавьте их в разрешённые и переключайтесь в режим блокировки:
Set-MpPreference -EnableControlledFolderAccess Enabled
Добавление своих папок
По умолчанию защищены стандартные папки пользователя. Если рабочие документы лежат на диске D:\Проекты, их нужно добавить отдельно.
Через интерфейс: «Защита от программ-вымогателей» → «Контролируемый доступ к папкам» → «Защищённые папки» → «Добавить».
Через PowerShell:
Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Проекты"
Важно: для добавления используйте Add-MpPreference, а не Set-MpPreference. Второй перезаписывает существующий список, и вы можете потерять ранее добавленные папки.
Не добавляйте в защиту сетевые диски и папки, которые постоянно меняются другими устройствами: получите поток блокировок и ложных срабатываний.
Разрешение программ
Если CFA блокирует нужную программу, её можно добавить в исключения:
Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\MyBackup\backup.exe"
Через интерфейс: «Контролируемый доступ к папкам» → «Разрешить приложение через контролируемый доступ к папкам» → выбрать .exe.
Правила безопасности:
- добавляйте только программы, в которых уверены;
- указывайте полный путь к исполняемому файлу, а не папку;
- не добавляйте скрипты, интерпретаторы (
powershell.exe,cmd.exe,wscript.exe) и браузеры: это открывает дорогу любому коду, запущенному через них; - периодически пересматривайте список.
Типичные ложные срабатывания
| Программа | Что происходит | Решение |
|---|---|---|
| Средство резервного копирования | не может прочитать или записать файл | добавить в разрешённые, проверить, что копия создаётся |
| Клиент синхронизации облака | не сохраняет изменения | разрешить, проверить историю версий |
| Фоторедактор, видеоредактор | ошибка сохранения | разрешить .exe редактора |
| Игровой лаунчер | не может обновить файлы в «Документах» | разрешить или перенести папку игры |
| Скрипт автоматизации | блокируется | переписать на подписанный исполняемый файл или отказаться от автоматизации в защищённой папке |
Если после включения CFA перестала работать программа, которую вы не узнаёте, — это не обязательно ложное срабатывание. Сначала проверьте файл антивирусом, потом решайте, добавлять ли его в исключения.
Границы защиты
CFA не защищает от:
- уже зашифрованных файлов — он предотвращает запись, но не откатывает изменения;
- атак через доверенные процессы — если вредоносный код внедрился в программу, которой Defender доверяет, блокировка может не сработать;
- удаления через проводник или системные утилиты — защита нацелена на приложения, а не на все возможные пути;
- атак на сетевые хранилища — защищаются локальные папки;
- потери диска — нужна резервная копия.
Поэтому CFA — дополнительный слой, а не замена резервному копированию. CISA рекомендует правило 3-2-1: три копии, два типа носителей, одна копия вне дома, плюс регулярная проверка восстановления. Как это сделать — в материале правило 3-2-1 на практике.
Проверка, что защита работает
- Создайте в «Документах» тестовый текстовый файл.
- Откройте его программой, которой нет в списке доверенных (например, портативным редактором с флешки).
- Попробуйте сохранить изменения.
- Убедитесь, что появилось уведомление о блокировке и запись в журнале.
- Удалите тестовый файл.
Если блокировки нет, проверьте: включён ли CFA, активен ли Defender как основной антивирус, включена ли защита в реальном времени.
FAQ
CFA заменяет антивирус?
Нет. Это одна из функций защиты, которая ограничивает запись в папки. Обнаружение и удаление вредоносных программ выполняет антивирусный движок Defender.
Почему после включения перестала работать синхронизация?
Клиент синхронизации — типичная «недоверенная» программа для CFA. Добавьте его исполняемый файл в разрешённые и проверьте, что файлы снова синхронизируются. Не отключайте защиту целиком.
Можно ли защитить папку на внешнем диске?
Да, папку можно добавить в защищённые. Но внешний диск, подключённый постоянно, всё равно уязвим: при атаке шифровальщик может добраться до него, если программа получит доверие. Офлайн-копия обязательна.
Влияет ли CFA на скорость работы?
Обычно влияние незаметно: проверка выполняется при попытке записи в защищённые папки. На слабых ноутбуках с большим количеством мелких файлов возможна небольшая задержка при сохранении.
Что делать, если CFA заблокировал обновление Windows?
Системные компоненты Microsoft имеют доверие. Если блокировка всё же произошла, проверьте журнал и обновите определения Defender; не отключайте защиту навсегда — используйте временный аудит.