Vista安全性和数据保护改进

出处：TechNet 作者：TechNet 时间：2006-7-4 13:40:00

安全性威胁在不断地加大。为了防止受到来自 Internet 和无线网络上的威胁，Microsoft Windows 客户端操作系统也必须加以完善。Windows Vista 是迄今为止最安全、最值得信赖的 Windows 操作系统，它可帮助各个组织满怀信心地实制湟滴窈图扑隳勘辍１疚慕樯茏钕灾陌踩愿慕⒄庑└慕吹囊娲Γ约拔裁葱鹿δ芏?IT 专业人员息息相关。

　　概述

　　为使客户更加安全，Microsoft 正在技术方面进行基本投资。所做的工作包括使用安全性开发生命周期来开发更安全的软件，以及提供平台方面的技术创新以提供分层防御或深层防御。Windows Vista 中含有许多安全性功能和改进，以保护客户端计算机免受包括蠕虫、病毒和其他恶意软件(统称为 malware)在内的最新威胁。

　　•“用户帐户保护”可提高用户的工作效率，并允许用户更改公共设置而不要求具有管理权限。这可防止用户对其计算机进行具有潜在危险性的更改，而又不限制其运行应用程序的能力。
　　•Windows Vista 的内置 Web 浏览器、Microsoft Internet Explorer (IE) 中包含了许多安全性增强功能，这些增强功能可使用户免受网页仿冒和电子欺骗攻击。新功能包括受保护模式的 Internet Explorer，它有助于防止恶意 Web 站点或 malware 删除或更改用户数据和配置设置。
　　•Windows Vista 的防 malware 功能可检测出许多种类型的潜在可疑软件，并可在用户允许应用程序进行潜在恶意更改前对用户进行提示。
　　•防火墙的新出站筛选功能提供了对对等共享应用程序和业务希望对其加以限制的其他类似应用程序的管理控制。
　　•“Windows 服务增强”对破坏进行了限制，攻击者可在其能够成功损害服务的不可靠事件中执行这些破坏。这就降低了攻击者对 Windows Vista 客户端进行永久性更改或攻击网络中其他计算机的风险。
　　•管理员可使用“网络访问保护”来防止不符合内部系统运行状况策略的客户端与内部网络连接并防止将 malware 潜在地传播给其他计算机。

　　使用具有相应启用硬件的计算机的企业用户将受益于具有“安全启动”的丢失或被盗计算机上的数据保护功能。运行有“安全启动”的计算机会使其硬盘驱动器完全加密，从而使试图进入计算机的任何人都无法访问数据、文件、电子邮件和知识产权信息。

　　最后，为确保 IT 部门具有可供其选择的各种身份验证机制，Windows Vista 中新增了更便于第三方开发人员扩展的身份验证体系结构。最终使得可在“智能卡”、指纹扫描器和其他严格的身份验证形式之间进行更广泛的选择。总之，这些安全性改进将使用户在使用其 PC 时更信心十足。

　　用户帐户保护

　　如今，许多 Windows 用户在企业和家中均使用管理权限运行计算机。以管理员身份运行会导致桌面难以管理，且可能需要较高的支持费用。以非管理员的身份部署桌面则可以节约成本，因为非管理用户将不再能够意外误配置网络或安装可能影响系统稳定性的应用程序。目前，在没有管理权限的情况下运行正面临着挑战，因为许多应用程序无法运行，且最终用户会因无法执行常规任务(如添加打印机)而感到很不方便。在 Windows Vista 中，“用户帐户保护”初始版本引入了基本的操作系统更改，以增加非管理用户的经验。例如，在企业环境中，移动便携式计算机用户将能够设置附加到家庭无线网络上的 WEP 密钥、安装打印机、下载和安装应用程序更新、设置和配置 VPN(虚拟专用网)连接以及执行许多其他标准任务，所有这些操作都是以非管理员身份运行的情况下进行的。

　　默认情况下，Windows Vista 会以有限权限运行大部分应用程序，即使用户以管理权限登录到其计算机也会如此。这不会阻止用户执行已授予其执行权限的管理任务。当用户尝试执行管理任务时，Windows Vista 将明确要求其确认其意图或提供管理凭据(取决于所选的策略设置)。还可使用“组策略”设置控制此功能。

　　如果用户以标准用户(非“管理员”本地组的成员)身份登录，他们仍可运行大部分 Windows Vista 应用程序而不需要额外权限。虽然会有一些例外情况，但大部分应用程序无论是在管理员帐户下还是在标准用户帐户下都将运行得一样好。

　　当需要管理员权限时，您不必单击 Run As(运行为)，因为 Windows Vista 会自动提示您，如图 1 所示。

　　图 1:当需要管理员凭据时，Windows Vista 会自动提示您提供该凭据。

　　在没有管理权限的情况下，某些应用程序将不能在 Windows XP 下运行，因为它们将尝试对影响整个计算机的文件和注册表位置(如 C:\Program Files、C:\Windows 或 HKEY_LOCAL_MACHINE)进行更改。如果用户没有管理权限，则 Windows Vista 中的注册表和文件虚拟化会将每个机器的文件和注册表写入重新定向到每个用户的位置。这使得标准帐户能够运行这样一些应用程序，即需要向只有管理员才可对其进行访问的注册表或文件系统的区域写入的应用程序。

　　优点

　　“用户帐户保护”允许将各组织移至一个便于管理的桌面，支持费用可能会更低。这有助于减少组织因用户配置发生更改而不得不重新映像计算机的需要，并会降低由 malware 造成系统级影响的风险。

　　为了了解“用户帐户保护”的优点，设想一个一般用户因公出差，在不知道本地“管理员”密码的情况下使用了标准用户帐户。为了打发在旅馆中的时间，他(或她)尝试从 Internet 下载一个游戏。然而，此游戏是一个特洛伊木马程序，并尝试安装 malware(计算机启动时将自动启动)。由于该用户不是管理员，因此游戏安装失败，该用户的计算机得到了保护，未受到特洛伊木马程序的攻击。而后，为了能在旅馆打印机上打印文档，该用户需要安装一个新的打印机驱动程序。为确保该驱动程序不由恶意软件添加，Windows Vista 提示该用户验证他(或她)是否确实想安装该驱动程序。这样，“用户帐户保护”保护了用户，而没有限制其所能执行的操作。

　　为什么重要

　　使用 Microsoft Windows XP 和 Windows 操作系统的早期版本时，IT 专业人员有以下两种选择:

　　•授予用户管理权限并处理因软件安装或配置更改不正确而导致的技术求援。
　　•授予用户有限权限并处理应用程序未正常运行时的技术求援。

　　使用 Windows Vista 时，则不必做出让步。用户的工作效率会很高，且可以防止会滥用管理权限的 malware 的攻击，而且仍可运行几乎所有的应用程序。当用户确实需要执行管理任务时，Windows Vista 会确认其请求。这最终意味着，所需的技术支援将减少，当配置于有限权限下运行的应用程序时所花费的工程时间将更少。

　　身份验证

　　功能说明

　　Windows Vista 仍具有对密码和“智能卡”的内置身份验证支持。由于许多客户正在寻找使用密码进行身份验证的替代方法，因此 Windows Vista 使得开发人员向 Windows 中添加其自定义身份验证方法(如生物尺度和令牌)的操作更为简单。Windows Vista 还提供了 Kerberos 身份验证协议和智能卡登录的增强功能。部署和管理工具 [如自助个人识别码 (PIN) 重置工具] 使“智能卡”更易于管理。智能卡开发人员的公共“应用程序编程接口 (API)”模型也使得这些工具更易于开发。

　　优点

　　Windows Vista 中的“智能卡”改进使各组织更易于部署和支持此内置身份验证方法。Windows Vista 使实现身份验证机制更为容易，从而使提供自定义身份验证机制(如生物尺度和令牌)的开发人员直接受益。这使得 IT 部门间接受益，因为这些部门可从第三方供应商那里获得更多的选择。

　　为什么重要

　　对于许多组织而言，单一因素的身份验证还不够。非常重视安全性的 IT 组织需要进行多因素身份验证。通过使开发人员更易于创建自定义的身份验证方法，IT 部门将可在生物尺度、“智能卡”以及其他类型的严格身份验证之间进行更多选择。

　　防 Malware

　　功能说明

　　本文前面讨论的“用户帐户保护”以及 Internet Explorer 的安全性改进(包括将在稍后对其进行讨论的新的受保护模式)可降低 Windows Vista 中 malware 传播的影响。除了这些功能之外，Windows Vista 还可清除许多蠕虫、病毒和 root kits，从而保护操作系统的完整性和用户数据的保密性。其还可检测、清除和实时阻止间谍软件。

　　注意内置防间谍软件的检测、清除和实时阻止功能主要针对个人用户。对于通过除启用/禁用保护以外的组策略的防 malware，当前计划中未包含企业管理。

　　优点

　　Malware 通常在用户计算机的后台运行，从而降低了系统的性能。这通常会导致用户过早地得出这样的结论:其计算机运行速度太慢，需要重新映像。从而将增加计算机的维护成本。更糟糕的是，malware 通常有问题，使计算机变得不可靠。

　　然而，Malware 的最大威胁则是对安全性的威胁。Malware 可能会给计算机带来其他安全漏洞。如果攻击者利用了这些漏洞，就有可能能够对保密数据进行访问。因此，Windows Vista 中新增的 malware 保护可提高网络中计算机的整体性能、减少技术求援并提高安全性。

　　为什么重要

　　IT 部门在解决 malware 所导致的问题时浪费了许多资源:降低了计算机的性能、可靠性差、安全性受到了影响。Windows Vista 中内置的防 malware 功能使用户可更好地控制其计算机上所安装并运行的软件。高级用户可从 Security Center(安全中心)查看防 malware 软件的状态。
网络访问保护

　　功能说明

　　Windows Vista 中含有一个代理，如果某客户端缺少当前安全更新、病毒签名或不符合安全条件，该代理将阻止该客户端连接到内部网络。“网络访问保护”可用于保护远程访问客户端和局域网 (LAN) 连接。该代理将 Windows Vista 客户端的运行状况状态(例如，安装了当前更新和最新病毒签名)报告给基于服务器的网络访问保护增强服务，该服务确定是授予客户端访问内部网络的权限还是限定其访问某个受保护的网络。客户端的功能取决于“网络访问保护”基础结构，该结构将包含在 Windows Server "Longhorn" 中。

　　优点

　　“网络访问保护”可提高移动计算机和内部网络的安全性。通常，带着计算机旅行的用户不会连续几个星期与内部网络相连。当他们连接时，连接时间可能会非常短，以至于其计算机还没来得及下载最新的更新内容、安全配置设置和病毒签名。因此，移动计算机所处的安全状态往往不及其他计算机。“网络访问保护”可提高这些移动计算机的安全性，因为它可确保在用户连接到网络前安装最新的更新内容。

　　为什么重要

　　病毒和蠕虫通常会由与网络相连的远程客户端或受感染计算机传播给受保护的内部网络。Windows Vista 中的“网络访问保护”与即将推出的 Windows Vista Server 一起使用时，您可通过它来设置远程访问客户端运行状况状态的要求。如果客户端计算机不符合运行状况要求，则可以:

　　•阻止计算机连接到内部网络和潜在地传播病毒或蠕虫。
　　•向用户提供有关如何更新其计算机(或当存在相应的修补技术时如何自动更新其计算机)的说明。
　　•授予对网络中有限数量的服务器进行访问的权限，以允许用户下载更新。

　　防火墙

　　功能说明

　　Windows Vista 中内置的个人防火墙基于 Microsoft Windows XP Service Pack 2 中包含的功能构建。它还包括应用程序相关的出站筛选，该筛选可提供对通信的完全、定向控制。例如，Windows Vista 中的 Windows 防火墙将允许管理员阻止应用程序(例如，对等共享应用程序或即时消息传递应用程序)联系或响应其他计算机。此外，Windows Vista 防火墙设置可由“组策略”对象进行配置，以简化可管理性。

　　优点

　　许多存在潜在危险的应用程序(例如，可能会通过 Internet 传输个人信息的对等共享客户端应用程序)专门用于绕过阻止传入连接的防火墙。Windows Vista 的防火墙使企业管理员能够为应允许或阻止的应用程序设置“组策略”设置，从而使其能够控制可在网络上进行通信的应用程序。

　　为什么重要

　　IT 部门降低安全风险的最重要方法之一就是对可访问网络的应用程序加以限制。Windows Vista 中内置的个人防火墙是此策略的重要组成部分。通过使用个人防火墙，管理员可允许应用程序在计算机上本地运行，但会阻止其通过网络进行通信。这就使得管理员可进行精确控制以便降低安全风险，同时又不会对用户的工作效率造成负面影响。

　　Windows 服务增强

　　功能说明

　　“Windows 服务增强”可禁止关键 Windows 服务在文件系统、注册表、网络或可用于允许 malware 进行自身安装或攻击其他计算机的其他资源中进行异常活动。例如，可禁止“远程过程调用 (RPC)”服务替换系统文件或修改注册表。

　　“Windows 服务”代表了 Windows 中整个受攻击面的相当大的一部分 - 从系统中整个 "always-on" 代码量和该代码的权限级别角度来看。Windows Vista 对默认情况下运行和操作的服务的数量做出了限制。现在，许多系统和第三方服务以 LocalSystem 帐户运行，这种情况下，任何违规行为都会对本地计算机造成极大的破坏 - 包括磁盘格式化、用户数据访问或驱动程序安装。

　　“Windows 服务增强”降低了受损服务造成破坏的可能性，因为引入了由 Windows 服务使用的新概念:

　　•引入了每个服务的安全标识符 (SID)。它启用了每个服务的标识，该标识随后又通过现有 Windows 访问控制模型(包括使用访问控制列表 (ACL) 的所有对象和资源管理器)启用访问控制分区。现在，服务可将显式 ACL 应用于该服务专用的资源，从而可防止其他服务和用户访问该资源。
　　•将服务从 LocalSystem 移至权限较低的帐户(如 LocalService 或 NetworkService)。这会降低服务的总体权限级别，这类似于“用户帐户保护”所带来的益处。
　　•基于每个服务除去不必要的 Windows 权限，例如进行调试的能力。
　　•将限制写入的令牌应用于服务进程。当由服务写入的对象集已绑定且可对其进行配置时，可使用此概念。向未明确授予服务 SID 访问的资源中进行的写入尝试将失败。
　　•为服务分配网络防火墙策略，这样可防止服务程序常规绑定以外的网络访问。防火墙策略直接与每个服务的安全标识符 (SID) 链接在一起。

　　优点

　　“Windows 服务增强”基于深层防御的安全原则为服务提供了一个附加保护层。“Windows 服务增强”不能防止易受攻击的服务免遭破坏;而其他 Windows Vista 组件和深层防御策略(例如，Windows 防火墙)和好的补丁管理进程则有助于解决此问题。而“Windows 服务增强”则对攻击者在其能够识别和利用易受攻击服务的不可靠事件中所能进行的破坏程度做出了限制。

　　“Windows 服务增强”还支持第三方服务编写者的使用，这样，应用程序编写者就可以为其代码获得此相同的安全益处。

　　为什么重要

　　安全性受损的成本可能非常大。保密数据可能会遭到破坏、用户可能会丢失数据且可能会降低工作效率。IT 部门可能需要花几周的时间来修补严重安全性问题所造成的破坏。“Windows 服务增强”可防止受损服务更改重要的配置设置或感染网络中的其他计算机，从而可大大减少该受损服务所造成的破坏。使用“Windows 服务增强”后，可潜在地将本来是重大安全漏洞的问题限制为程度较轻的损害。

　　Internet Explorer 增强功能

　　功能说明

　　Windows Vista 将构建于“用户帐户保护”初始版本之上，以将 Internet Explorer 限制为只有浏览 Web 的足够权限，但在默认情况下，没有修改用户文件或设置的足够权限。此仅限 Windows Vista 的功能(被称为“受保护”模式)将存在于 Beta 2 中。因此，即使某个恶意站点攻击 Internet Explorer 中的潜在漏洞，该站点的代码也没有足够的权限安装软件、将文件复制到用户的“启动”文件夹中或攻击浏览器主页或搜索访问接口的设置。

　　为了有助于保护用户的个人信息，Internet Explorer:

　　•访问“安全套接字层”保护的站点时突出显示新的安全状态栏并使用户能够很容易地检查站点安全证书的有效性。
　　•具有一个网页仿冒筛选器，当 Web 站点试图窃取用户保密信息时该筛选器会通知用户，以帮助用户以更为安全的方式进行浏览。该筛选器的工作方式是分析 Web 站点内容、查找网页仿冒技术的已知字符，并使用数据源的全球网络来确定是否应信任该 Web 站点。筛选数据每小时更新数次，当给定了网页仿冒站点可能用其来显示和采集用户数据的速度时，这一点尤为重要。
　　•通过单击一下鼠标即可清除所有缓存数据。

　　优点

　　Internet Explorer 中的新功能可帮助用户在将安全威胁降至最低的同时访问 Internet 上的资源。降低恶意 Web 站点所带来的风险有助于减少潜在的安全成本。

　　为什么重要

　　恶意 Web 站点可能会损害您的用户的计算机，即使他们仅访问看似安全的站点。Windows Vista 中对 Internet Explorer 的改进可大大降低浏览器受损的风险，从而降低了您的安全风险。通过同时使用“用户帐户保护”和 Internet Explorer 的新的受保护模式，您将不会再接到类似以前用户抱怨其主页被更改或出现了不想要的 Internet Explorer 工具栏方面的大量技术求援。

　　数据保护

　　功能说明

　　公司知识产权信息被窍或丢失的问题正越来越多地引起各组织的关注。Windows Vista 增强了对文档、文件、目录和计算机级别的数据保护的支持。集成的“权限管理”客户端允许各组织加强有关文档使用的策略。可提供基于用户的文件和目录加密的“加密文件系统”已得到了增强，允许将加密密钥存储在“智能卡”上，从而可更好地保护加密密钥。此外，新的安全启动企业功能增加了计算机级别的数据保护。在具有相应启用硬件的计算机上，该功能可对系统卷进行整卷加密(包括 Windows 系统文件和休眠文件)，这有助于防止丢失或被盗计算机上的数据被泄漏。为了提供易于部署和管理的解决方案，使用“受信平台模块 (TPM)”1.2 芯片来存储可对 Windows 硬盘驱动器上的扇区进行加密和解密的密钥。需要 TPM 和企业管理基础结构来确保该功能易于供最终用户使用。

　　安全启动的整卷加密将对称加密密钥封存在受信平台模块 (TPM) 1.2 芯片中。TPM 芯片是存在于某些较新计算机中的一种硬件组件，用来存储密钥、密码和数字证书。

　　“安全启动”还将核心操作系统文件的测量值存储在 TPM 芯片中。每次启动计算机时，Windows Vista 都会验证操作系统文件是否没有在离线攻击中被修改。离线攻击是指攻击者为了获得对系统的控制而引导备用操作系统的情况。如果文件已被修改，则 Windows Vista 会向用户发出警报，并拒绝释放访问 Windows 所需的密钥。然后，系统将转入恢复模式，提示用户提供恢复密钥，以允许访问引导卷。

　　当将磁盘驱动器转移到另一系统时，也将使用恢复模式。恢复模式需要使用启用“安全启动”时生成的恢复密钥，该密钥是特定于一台计算机的。因此，为具有管理基础结构的企业而设计的“安全启动”可存储恢复密钥(如 Active Directory)。否则，当计算机出现故障，其驱动器被移动到了另一计算机且恢复密钥不可用时，将会存在丢失数据的可能性。

　　优点

　　Windows XP 及 Windows 的早期版本很容易受到离线攻击的伤害，这些攻击将试图获取丢失或被盗计算机上的用户数据。与操作系统正在运行时发生的在线攻击(因此可通过防火墙和防病毒软件加以缓解)不同，离线攻击发生在关闭操作系统时。最常见的离线攻击类型有:

　　•使用引导盘启动一台离线计算机并重置管理员密码，以便攻击者可启动操作系统并进行身份验证。
　　•通过另一个操作系统直接访问计算机硬盘，以绕过文件权限。
　　可通过“安全启动”来防止以上两种类型的攻击。此保护对于移动计算机而言尤为重要，因为它们容易被盗。

　　为什么重要

　　丢失或被盗计算机中经常含有保密的公司知识产权信息或同客户有关的个人标识信息。当失窃消息被公开后，这些数据的泄露可导致组织受到不希望出现的注意，这种情况发生在组织通知客户其个人信息丢失时。这可能会导致客户失去信心以及在出版物上出现对该客户不利的文章。

　　通过使用 Windows Vista 的整卷加密，可大大降低攻击者因使用离线攻击而使保密文件受损的风险。这可确保当便携式计算机丢失或被盗时，攻击者将无法访问该计算机上敏感的公司或客户数据。

　　注意本站点所述功能可能有所更改。由于市场、技术或其他原因，最终产品中可能不含某些功能。

分享到：