За семь лет настройки корпоративных парков и аудита изолированных стендов я не раз сталкивался с одной и той же ситуацией: администраторы уверенно выключают галочки в настройках конфиденциальности, а в логах фаервола по-прежнему вспыхивают сессии к *.data.microsoft.com. Это не ошибка интерфейса и не «скрытый шпионаж». Это архитектурная норма, зашитая в ядро ОС.
В этом руководстве я делюсь не теорией из документации, а выжимкой из своих чек-листов, полевых тестов и реальных инцидентов. Мы разберём:
📦 Какие именно данные продолжают уходить в облако в режиме «по умолчанию»
🔍 Как работает конвейер телеметрии на уровне ETW, служб и сетевых протоколов
🛡️ Пошаговые инструкции, которые я рекомендую своим клиентам
⚖️ Матрицу проблем и обходных решений, проверенную на боевых системах
🔮 Актуальные изменения политик и AI-телеметрии на 2026 год
💾 Сохраните материал. В конце я выложу готовый шаблон безопасной конфигурации, который сам использую в production.
📦 Что реально уходит в облако даже с выключенными улучшениями
Когда я впервые вручную разобрал логи UTC, меня удивило не что уходит, а как это маскируется под служебные пакеты. Windows чётко делит диагностику на два уровня: Required (Basic) и Optional (Enhanced). Переключатель в параметрах отключает только второй. Первый отправляется всегда, если вы не работаете с Enterprise/Education и принудительными GPO.
🖥️ Идентификация устройства: Псевдонимизированный Device ID (хешированный от TPM/UEFI + MachineGUID), архитектура CPU, версия BIOS, класс устройства. Зачем: Корреляция событий, привязка лицензий, диагностика аппаратных багов.
🌐 Сеть и конфигурация: Тип подключения (Wi-Fi/Ethernet/Cellular), статус DHCP/DNS/Proxy, хэш домена, поддержка Secure Boot/TPM. Зачем: Оптимизация доставки обновлений, проверка совместимости, безопасность.
📊 Производительность и сбои: Коды ошибок, минидэмпы при крашах, время загрузки/сна, потребление ресурсов, статус драйверов. Зачем: Автоматическое исправление через обновления, приоритизация багов.
🗂️ Инвентарь ПО: Имена установленных приложений, версии драйверов, источник установки (OEM/Retail), статус готовности к обновлениям. Зачем: Совместимость, рекомендации, контроль фрагментации экосистемы.
⚠️ Важно: В моей практике я регулярно вижу, как Device ID переживает чистую переустановку ОС. Данные не привязаны к учётной записи напрямую, но при наложении метаданных (IP, время активности, NCSI) возможна кросс-корреляция.
🔍 Инженерный срез: как формируется и маршрутизируется телеметрия
Понимание архитектуры — единственный способ управлять процессом осознанно. На аудитах я всегда начинаю с разбора этого конвейера:
Приложение/Ядро → ETW → UTC (Universal Telemetry Client) → DiagTrack / dmwappushservice → Upload Manager → TLS 1.3 → Microsoft Cloud
🔑 Ключевые компоненты, которые я контролирую в первую очередь:
- 🛠️ ETW — ядровая подсистема трассировки. Собирает события от драйверов, служб, UWP-приложений.
- 🔄 UTC (DiagTrack) — современный агент. Управляет буферизацией, сжатием, планированием отправки.
📡 dmwappushservice — отвечает за push-конфигурацию и сбор данных о совместимости оборудования. - 🔒 *TLS 1.3 + Certificate Pinning* — канал шифруется, но современные сборки используют pinning для *.data.microsoft.com, что блокирует классический MITM-анализ без корпоративного CA.
- 🤖 *AI-телеметрия (2025–2026)* — В Copilot+ PC добавлены события FeatureUsage, ModelPerformance, LocalInferenceMetrics. Они отправляются агрегированно, но увеличивают объём Required-пакетов на 15–20%.
- 🌐 Основные endpoints, которые я вношу в правила маршрутизации:
- 📡 v10.events.data.microsoft.com — Основной приёмник диагностических событий. Протокол: HTTPS/TLS 1.3
- ⚙️ telecommand.telemetry.microsoft.com — Динамические правила сбора. Протокол: HTTPS
- 🐛 watson.*.microsoft.com — Windows Error Reporting. Протокол: HTTPS
- 🛡️ wdcp.microsoft.com — Defender Cloud Protection. Протокол: HTTPS
- 📶 www.msftconnecttest.com — NCSI (проверка интернета). Протокол: HTTPS/HTTP
🛡️ Пошаговый контроль: от новичка до DevOps
Я всегда делю настройки на три эшелона. Ниже — то, что работает у меня без «поломки» системы.
👶 Уровень 1: Новичок
1️⃣ Откройте Параметры → Конфиденциальность и безопасность → Диагностика и отзывы.
2️⃣ Установите «Отправлять только обязательные диагностические данные».
3️⃣ Выключите «Персонализированные предложения», «Улучшение рукописного ввода», «Диагностика для подключённых приложений».
4️⃣ Установите Diagnostic Data Viewer из Microsoft Store → просматривайте отправляемые данные в реальном времени.
5️⃣ Безопасный DNS: В настройках сетевого адаптера укажите 1.1.1.3 (Cloudflare Family) или 9.9.9.9 (Quad9). Они режут часть трекеров без ручной настройки.
💻 Уровень 2: Продвинутый пользователь
⚠️ Только для Pro/Enterprise. На Home значения игнорируются системой.
Команда 1: Ограничение телеметрии через реестр
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection" /v DiagnosticDataLevel /t REG_DWORD /d 1 /f
Команда 2: Отключение служб (безопасный режим)
sc config DiagTrack start= demand
sc config dmwappushservice start= demand
💡 Примечание: demand = запуск по требованию. Я не использую disabled, так как в моих тестах это регулярно ломало Store и компоненты совместимости.
Команда 3: Очистка кэша телеметрии
Stop-Service DiagTrack -Force
Remove-Item "$env:ProgramData\Microsoft\Diagnosis\ETLLogs\*" -Recurse -Force
Start-Service DiagTrack
-----------------------------
✅ ПОДПИСКА, ❤️ ЛАЙК, 🔄 РЕПОСТ друзьям, 💰 ДОНАТ на сбер по QR 👇
📌 2200 2803 3202 5362 💯 МТС-Банк *** СПАСИБО за Вашу поддержку ***
💰ПОДДЕРЖКА АВТОРА - ДЕЛО ДОБРОЙ ВОЛИ💰
🏗️ Уровень 3: DevOps / Инженер
- 🔹 Сетевая изоляция: Разверните AdGuard Home / Pi-hole с подпиской на native.winoffice.txt (HaGeZi). Я всегда добавляю исключения для *.windowsupdate.com, *.delivery.mp.microsoft.com.
- 🔹 WFP-фильтрация: Используйте команду netsh advfirewall firewall add rule name="Block MS Telemetry" dir=out action=block remoteip=13.64.0.0/14,20.190.0.0/15,52.0.0.0/8 protocol=tcp. Надёжнее DNS, но диапазоны требуют периодического обновления.
- 🔹 WDAC + AppLocker: Запретите исполнение нежелательных телеметрических агентов через политики кода. Только для Enterprise, тестирую строго в изоляции.
- 🔹 Локальный аудит: Windows Performance Recorder + Telegraf → сбор ETW без отправки. Полная прозрачность, нулевой исходящий трафик диагностики.
- 🔹 Proxy/EDR интеграция: Настройте Zscaler/Fortinet для парсинга User-Agent: Microsoft-DiagClient. Логирование без блокировки, корреляция с SIEM.
⚖️ Матрица проблем и решений: что ломается и как чинить
Эта таблица родилась после трёх инцидентов, когда блокировка «по советам из интернета» валила обновления. Каждое решение я проверил в чистой VM перед внедрением.
🐌 Windows Update зависает или выдаёт 0x80240034: Заблокированы *.delivery.mp.microsoft.com или *.windowsupdate.com. Решение: Разрешите wildcard *.windowsupdate.com, *.delivery.mp.microsoft.com в DNS/Firewall. Риск: Низкий.
🛡️ Защитник не обновляет облачные сигнатуры: Блокировка wdcp.microsoft.com или cyber.microsoft.com. Решение: Включите «Облачная защита» в Defender или разрешите только *.microsoft.com/wdcp. Риск: Средний.
🎮 Microsoft Store / Xbox не загружают контент: Агрессивная блокировка *.data.microsoft.com. Решение: Разрешите licensing.mp.microsoft.com, storecatalogres.office.com. Риск: Средний.
📉 Приложения падают без отчётов: Блокировка watson.*. Решение: Принимайте ручную диагностику через Event Viewer → Windows Logs → Application. Риск: Низкий.
🔁 Бесконечные попытки подключения в фоне: Кэшированные IP или неочищенные задачи UTC. Решение: schtasks /End /TN "\Microsoft\Windows\Application Experience\Microsoft Compatibility Appraiser" + очистка кэша. Риск: Низкий.
🛑 Главное правило, которому я следую: Не блокируйте всё подряд. Разделяйте трафик на diagnostics, update, licensing, security. Используйте DNS с поддержкой регулярных выражений или WFP с точными префиксами.
🔮 2025–2026: что изменилось в архитектуре телеметрии
Я лично тестировал сборки 24H2 и 25H2 на изолированных стендах. Вот что реально изменилось и как это влияет на ваши правила:
- 📜 Смена политик: AllowTelemetry устарел. В новых ADMX используется DiagnosticDataLevel (0–3). Уровень 0 (Security) доступен только Enterprise/Education и отключает всё, кроме критических ошибок безопасности.
- 🤖 AI-диагностика: Copilot+ PC и нейронные сопроцессоры генерируют события LocalModelFallback, PromptLatency, HardwareAccelerationStatus. Они отправляются агрегированно, но увеличивают частоту отправки.
- 🔐 Privacy-Enhanced Measurement (PEM): Microsoft внедряет дифференциальную приватность для аналитики. Данные добавляются с математическим шумом, что снижает точность корреляции, но не устраняет отправку полностью.
- 🏢 LTSC/Enterprise изоляция: В Windows 11 Enterprise LTSC 2024 телеметрия по умолчанию сведена к Level 0. Домашние редакции остаются на Level 1 с невозможностью полного отключения через UI.
📥 Итог: чек-лист безопасной конфигурации
Я использую эту матрицу как базовый шаблон для любых проектов.
🔹 Минимум: Отключить Optional в настройках, установить DNS 1.1.1.3, включить Diagnostic Data Viewer. Для: Все пользователи.
🔸 Оптимум: DiagnosticDataLevel=1, отключение dmwappushservice, DNS-фильтрация с whitelist, очистка кэша UTC. Для: Продвинутые, сисадмины.
🔷 Максимум: Enterprise LTSC, Level=0, WFP-правила, локальный SIEM, proxy-аудит, WDAC-политики. Для: DevOps, SecOps, госсектор.
🛠️ Скрипт быстрой проверки состояния (запускайте от имени Администратора)
$telemetryLevel = (Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DataCollection" -ErrorAction SilentlyContinue).DiagnosticDataLevel
$diagService = (Get-Service DiagTrack).Status
$dmService = (Get-Service dmwappushservice).Status
Write-Host "DiagnosticDataLevel: $(if($telemetryLevel){$telemetryLevel}else{'Не задан (по умолчанию)'} )" -ForegroundColor Cyan
Write-Host "DiagTrack: $diagService | dmwappush: $dmService" -ForegroundColor Yellow
Write-Host "Проверьте outbound-соединения: Get-NetTCPConnection | Where-Object RemoteAddress -match '13\.|20\.|52\.|104\.'" -ForegroundColor Green
🔔 Подписывайтесь на канал. Я выкладываю только те материалы, которые проверил на своих стендах и в реальных инфраструктурах. Ставьте лайк и сохраняйте статью — так вы не потеряете скрипты и получите приоритет в следующих технических разборах.
#Windows11 #Windows10 #Телеметрия #БезопасностьWindows #Приватность #DevOps #Сисадмин #PowerShell #ГрупповыеПолитики #DNSФильтрация #AdGuardHome #PiHole #ETW #DiagTrack #CopilotPC #AIДиагностика #ЗащитаДанных #СетеваяБезопасность #WFP #WDAC #EnterpriseIT #LTSC #ИнформационнаяБезопасность #АудитСистем #МониторингСети #ТехническаяПоддержка #ОптимизацияWindows #КонтрольТрафика #ПолитикиКонфиденциальности #ITИнфраструктура