Что такое Word для веб (Word Web App)
Word для веб — это онлайн‑версия Microsoft Word, доступная через любой современный браузер. Она позволяет:
- просматривать и редактировать документы
.docx,.dotx,.docm,.dotmи некоторые форматы.doc,.dot,.odt(при хранении в SharePoint); - совместно работать над файлом в реальном времени;
- сохранять изменения автоматически в OneDrive или SharePoint.
Однако в веб‑версии отсутствуют некоторые функции настольного клиента Word, а их реализация отличается. Это имеет прямое влияние на безопасность данных.
Основные отличия от настольного Word, влияющие на безопасность
| Функция | Word для веб | Настольный Word |
|---|---|---|
| Поддержка макросов | Макросы открываются только в режиме «Открыть в Word». В браузере они не исполняются. | Полный набор VBA‑макросов, возможность их создания и запуска. |
| Защищённые паролем документы | Не могут быть открыты/отредактированы, открываются только в режиме чтения. | Можно открыть после ввода пароля, но риск утечки пароля выше. |
| Автосохранение | Сохраняет изменения автоматически, но нет ручного «Сохранить как» в оригинальном формате. | Полный контроль над сохранением и версионированием. |
| Управление версиями | Версии хранятся на сервере (OneDrive/SharePoint) и доступны через журнал версий. | Локальные версии могут быть утеряны, если не включён автосохранение. |
| Проверка орфографии и пользовательские словари | Стандартный словарь, пользовательские словари не поддерживаются. | Полный набор словарей, включая пользовательские. |
Почему Word‑документы часто становятся «разносчиками» вредоносного кода
Согласно данным Dr.Web, злоумышленники используют Word‑файлы для скрытой доставки троянов. Основные приёмы:
- Скрытый текст — шрифт задаётся белым цветом, пользователь видит пустой лист.
- Макрос‑загрузчики — при включении макросов запускаеться скрипт, скачивающий вредонос с удалённого сервера.
- Шифрование RSA — документ зашифрован, а расшифровка происходит только внутри макроса.
Эти техники работают как в настольном, так и в веб‑клиенте, но в веб‑версии макросы не активируются автоматически, что снижает риск, если пользователь не открывает файл в настольном клиенте.
Как минимизировать риски при работе с Word для веб
Управление доступом и правами
- Храните документы только в OneDrive for Business или SharePoint с включённым контролем доступа.
- Используйте политику «только чтение» для файлов, которым не требуется редактирование.
- Регулярно проверяйте журнал аудита (лог доступа) в SharePoint.
Отключение и проверка макросов
Если документ требует макросов, откройте его в настольном Word через кнопку «Открыть в Word» и:
- Проверьте подпись макроса (доверенный издатель).
- Запустите сканирование антивирусом (Dr.Web, Windows Defender, etc.) перед активацией.
- Отключите глобальную возможность «Включать макросы без предупреждения».
Защита от фишинга в почте
При получении вложений .doc/.docx:
- Не открывайте файлы от неизвестных отправителей.
- Скачайте вложение в безопасную папку и откройте в просмотре (режим чтения) в Word для веб.
- Если в документе присутствует «белый шрифт» или подозрительные элементы, отклоните его и сообщите ИТ‑службе.
Использование функций автосохранения и версионирования
- Включите «Автосохранение» в OneDrive/SharePoint, чтобы любой нежелательный изменения можно было откатить.
- Периодически создавайте контрольные точки (сохранение копии как
.docx). - При работе с конфиденциальными данными используйте «Настройка прав доступа» (IRM) — ограничения на копирование, печать и скачивание.
Технические меры защиты сервера
Для администраторов SharePoint/OneDrive:
- Включите Microsoft Defender for Cloud Apps с политикой блокировки подозрительных Word‑файлов.
- Настройте политику DLP (Data Loss Prevention) для обнаружения конфиденциальных данных в документах.
- Обновляйте серверные компоненты Office 365, чтобы получались последние исправления уязвимостей.
Практический чек‑лист для конечных пользователей
- Всегда проверяйте, откуда пришёл файл.
- Открывайте вложения в режиме чтения Word для веб, если не требуется редактирование.
- Если документ требует макросов, откройте его в настольном Word и активируйте макросы только после проверки подписи.
- Не отключайте автоматическое сохранение и не удаляйте журнал версий.
- Включайте двухфакторную аутентификацию (2FA) для учётной записи Microsoft 365.
- Регулярно обновляйте браузер и антивирусное ПО.
Сводка: преимущества и ограничения Word для веб с точки зрения безопасности
| Плюсы | Минусы |
|---|---|
|
|
Word для веб предоставляет удобный и относительно безопасный способ работы с документами, если правильно использовать встроенные средства контроля доступа и соблюдать базовые правила кибербезопасности; Ключевые рекомендации:
- Не открывайте вложения от неизвестных отправителей без предварительного просмотра в браузере.
- Всегда проверяйте необходимость макросов и открывайте такие файлы в настольном клиенте только после сканирования.
- Полагайтесь на автосохранение и версионирование в облаке, но регулярно создавайте резервные копии.
- Настройте строгие политики доступа и DLP в SharePoint/OneDrive.
Следуя этим рекомендациям, вы существенно снизите риск компрометации данных и попадания вредоносного кода в вашу информационную инфраструктуру.
Автор статьи: ChatGPT, ваш помощник по ИТ‑безопасности.