Windows 8最新安全功能面面观

自从将关注重点放到可信赖计算项目上之后，微软就开始坚持在Windows的每个新版本中都推出安全方面的新功能，这种做法让系统面临的安全态势发生了极为明显的改善。现在看来，Windows 8在这方面也没有例外。尽管由于公众将关注重点放在了新用户界面以及两极分化非常严重的使用效果上，从而导致安全方面的更新显得不那么引人注目了。在本文中，我们将共同了解一下各版本中都新增加了哪些安全功能，它们之间有何不同以及实际效果究竟如何。

请注意，由于Windows 8依然处于开发阶段，因此到正式发布的时间本文中所讲述的功能可能会进行过调整。

Windows 8系统提供的基本安全功能

　　这些功能将出现在Windows系统的所有版本中。不论它属于面向家庭用户的Windows 8，还是面向商业用户的专业以及企业版本，情况都不会有所例外：

UEFI安全启动功能将获得支持

　　尽管该功能在某些情况下可能会导致潜在问题出现的缺陷引来了不少非议，但安全启动依然属于本版本Windows所提供的一项非常重要的安全新特性。众所周知，统一可扩展固件接口（UEFI——目前最新的版本是２．３．１）的目标是作为个人计算机的新一代固件接口来取代传统的基本输入输出系统（BIOS）。现在，如果系统选择使用安全启动功能的话，Windows 8对于rootkit之类恶意软件的有效防范能力就可以大为提高。在安全启动功能的支持下，操作系统可以对所有启动组件的数字签名进行验证，防恶意软件驱动程序能够对所有篡改操作进行监控。如果发现组件签名不正确（已经被篡改了）的话，Windows就会启用恢复模式来尝试对操作系统进行相应处理。对于rootkit类恶意软件来说，通常所采取的做法就是在绝大多数防恶意软件工具启动之前就篡改掉关键的操作系统文件，并在引导过程中保持活动模式。而最新的安全启动功能就可以检测出所有类型的篡改操作并防止rootkit加载进来。对于公司用户来说，现在最佳的方案就是在部署Windows 8的时间直接启用此功能，并禁止员工进行关闭处理。

智能窗口过滤器的覆盖范围进一步增加

　　对于智能窗口技术来说，最早出现的位置是Internet Explorer浏览器。而现在，它的覆盖范围将扩展到操作系统之中。在NSS实验室进行的相关测试中，该功能已经被证明属于现代浏览器检测并阻止社会化工程类恶意软件的最佳选择。智能窗口技术由URL信誉检验系统与应用程序和文件信誉检验系统两部分组成。URL信誉检验系统可以用来帮助用户防范网络钓鱼以及社会化工程等类型的攻击。文件信誉检验系统则可以对文件下载情况进行全面跟踪，并对相关信誉情况进行验证。如果下载文件被确认为属于恶意类型的话，就将遭到阻止，并给出如下所示的警告信息来：

图A

　　如果它属于新文件，或者系统无法进行有效识别的情况，则将会显示出类似下图的警告信息：

图B

　　由于在涉及未知类型的文件时，这种做法很可能会导致出现用户选择绕过警告信息选择强行打开可疑的情况。因此，系统管理员需要进行及时有效干预，以防止警告信息被忽视。

内置免费防恶意软件/病毒工具：Windows Defender

　　在Windows 8中，微软还将提供一套功能非常完整的防恶意软件解决方案。所采取的做法就是在Windows Defender中增加微软安全解决方案使用的防病毒功能。这就意味着该版本的Windows Defender将具备更高的性能，对于系统内存/CPU的占有率也变得更低。对于企业级用户来说，现在也是做好更换防恶意软件产品准备的时间了。因此，当前企业正确的做法就是针对解决方案对于兼容Windows 8的规划情况向各家防恶意软件供应商进行全面咨询。毕竟，在安全启动功能的支持下，公司现在可以轻松建立起安全可靠的网络环境，潜在漏洞将会变得更少，反应速度则会变得更快。

图片密码

　　对于安全登录来说，图片密码就属于一种采用触摸模式的新方式。现在，用户可以选择一张图片，并在上面做出三种触摸手势。系统就可以将手势序列作为用户“密码”保存起来，以后，用户就可以通过重复操作进行登录。依靠手势序列与图形之间的关联，这种模式就可以达到提高登录安全性的目标。举例来说，用户可以选择一张包含有两名人物的图片，在其中一位的脸上画张笑脸，并触摸另一位的两只眼睛。尽管这种模式听起来非常有趣，但相比传统模式而言，系统的可靠性将会如何依然有待观察。

内置PDF阅读器：Windows Reader

　　作为Windows 8中新集成的文档阅读器，微软将会为Windows Reade增加一种非常有趣的安全新功能。该阅读器可以支持目前极为流行攻击者也相当愿意使用的PDF文件格式。通过集成使用系统常规更新模式的简易版阅读器，操作系统就可以减少对于包含潜在风险的应用程序或插件的需求，从而达到提高平台默认安全性的目标。

ASLR与减少攻击

　　地址空间布局随机化（ASLR）最早出现的位置是Windows Vista之中，而既定目标则是减轻代码与数据在内存中的位置随机移动从而导致臭名昭著的“缓冲区溢出”漏洞出现所带来的危害。在Windows 8中，为了防范绕过ASLR的技术企图得以实现，随机化程度被进一步提升。涉及的其它措施还包括了对Windows内核与堆进行调整，即利用类似ASLR的方法来进行全新的完整性检查以及随机化处理。并且，对于Internet Explorer 10来说，也将从这些变化中获得好处：除了“增强保护模式”沙箱之外，这里还包括了一个名为“ForceASLR”的IE10选项。它可以对浏览器内存中加载的所有模块都进行随机化处理，不受到它们是否选择使用保护ASLR技术（通过使用可选/DYNAMICBASE标志来创建模块，开发人员就可以获得ASLR技术带来的好处）的限制。

Windows 8专业版中提供的安全功能

　　下面列出的几项功能将只会出现在面向商业用户的Windows 8专业与企业版中：

磁盘加密工具：BitLocker与BitLocker To Go

　　在Windows Vista中，微软提供了Bitlocker作为全盘加密解决方案。而在Windows 7中，Bitlocker被Bitlocker To Go所代替。在新版本中，该工具的变化并不大。不过，它也增加了将Bitlocker To Go的加密密钥备份到SkyDrive帐户的新选项。

加密文件系统

　　作为微软最早提供的加密解决方案，EFS可以支持针对单个文件、文件夹以及驱动器的操作。它最早出现于二十多年前的 Windows NT系列产品中。不过目前已经基本上被Bitlocker、Bitlocker To Go以及大量免费加密工具所代替。

域成员与组策略对象

　　如同先前的情况没有区别，这两项功能依然属于区隔Windows家用与商用版本的主要差别所在。对于需要集中进行管理的网络环境来说，可以在活动目录域加入新成员就属于至关重要的功能。一旦用户加入进来，管理员就可以针对域成员创建并应用组策略对象，实现对包括安全在内很多方面的日常工作进行全面控制。在Windows 8中，微软针对新操作系统引入了新策略：

图C

Windows 8企业版中的安全功能

　　最后，签订了软件保障协议的公司将有机会获得Windows 8企业版，它将包括下面列出的几项安全功能：

应用程序控制策略工具：Applocker

　　作为微软提供的应用程序控制解决方案，采用黑白名单技术的Applocker最早是在Windows 7中出现的。在AppLocker的帮助下，系统管理员可以通过建立策略来对用户安装以及运行特定应用程序之类的活动进行全面控制。而在Windows 8中，AppLocker可以对传统桌面应用程序以及新出现的Metro应用程序进行管理。

直接访问功能

　　作为外部计算机利用VPN安全连接公司内网的替代选择，微软推出了直接访问功能。在使用的时间，直接访问并不需要其它应用的支持，并且能够帮助公司确保远程模式或者移动计算机在应用以及补丁策略方面不会出现兼容性问题。相比Windows 7中出现的最初版本，该功能并没有发生什么大变化。

系统镜像功能：Windows To Go

　　紧随“使用自有设备”浪潮的发展，微软也宣布推出Windows To Go系统镜像功能。由于可以支持全面管理，并具有完全的连接无关性；因此，系统管理员就可以利用外部USB驱动器来保存Windows 8企业镜像，并在任意x64系统上进行启动。作为企业系统的完全镜像，包括Windows更新策略、企业防病毒解决方案以及加密工具BitLocker在内的项目都属于可管理的。目前，Windows To Go的最低要求是至少拥有32GB空间的USB驱动器，并且只能在x64机器上启动。尽管存在这么多的限制条件，但对于不少公司，尤其是那些关注自带设备举措导致以及灾难恢复方案带来的安全风险的来说，它依然属于非常有价值的功能。