Windows Vista 安全性和数据保护改进

　　安全性威胁在不断地加大。为了防止受到来自 Internet和无线网络上的威胁，MicrosoftWindows客户端操作系统也必须加以完善。Windows Vista是迄今为止最安全、最值得信赖的 Windows 操作系统，它可帮助各个组织满怀信心地实现其业务和计算目标。

　　本文将介绍最显著的安全性改进、这些改进带来的益处，以及为什么新功能对 IT 专业人员息息相关。

　　概述

　　为使客户更加安全，Microsoft 正在技术方面进行基本投资。所做的工作包括使用安全性开发生命周期来开发更安全的软件，以及提供平台方面的技术创新以提供分层防御或深层防御。Windows Vista 中含有许多安全性功能和改进，以保护客户端计算机免受包括蠕虫、病毒和其他恶意软件（统称为 malware）在内的最新威胁。

　　“用户帐户保护”可提高用户的工作效率，并允许用户更改公共设置而不要求具有管理权限。这可防止用户对其计算机进行具有潜在危险性的更改，而又不限制其运行应用程序的能力。

　　Windows vista 的内置 Web 浏览器、Microsoft Internet Explorer(IE) 中包含了许多安全性增强功能，这些增强功能可使用户免受网页仿冒和电子欺骗攻击。新功能包括受保护模式的 Internet Explorer，它有助于防止恶意 Web 站点或 malware 删除或更改用户数据和配置设置。

　　Windows Vista 的防 malware 功能可检测出许多种类型的潜在可疑软件，并可在用户允许应用程序进行潜在恶意更改前对用户进行提示。

　　防火墙的新出站筛选功能提供了对对等共享应用程序和业务希望对其加以限制的其他类似应用程序的管理控制。

　　“Windows 服务增强”对破坏进行了限制，攻击者可在其能够成功损害服务的不可靠事件中执行这些破坏。这就降低了攻击者对 Windows Vista 客户端进行永久性更改或攻击网络中其他计算机的风险。

　　管理员可使用“网络访问保护”来防止不符合内部系统运行状况策略的客户端与内部网络连接并防止将 malware 潜在地传播给其他计算机。

　　使用具有相应启用硬件的计算机的企业用户将受益于具有“安全启动”的丢失或被盗计算机上的数据保护功能。运行有“安全启动”的计算机会使其硬盘驱动器完全加密，从而使试图进入计算机的任何人都无法访问数据、文件、电子邮件和知识产权信息。

　　最后，为确保 IT 部门具有可供其选择的各种身份验证机制，Windows Vista 中新增了更便于第三方开发人员扩展的身份验证体系结构。最终使得可在“智能卡”、指纹扫描器和其他严格的身份验证形式之间进行更广泛的选择。总之，这些安全性改进将使用户在使用其 PC 时更信心十足。

　　如今，许多 Windows 用户在企业和家中均使用管理权限运行计算机。以管理员身份运行会导致桌面难以管理，且可能需要较高的支持费用。以非管理员的身份部署桌面则可以节约成本，因为非管理用户将不再能够意外误配置网络或安装可能影响系统稳定性的应用程序。目前，在没有管理权限的情况下运行正面临着挑战，因为许多应用程序无法运行，且最终用户会因无法执行常规任务（如添加打印机）而感到很不方便。在 Windows Vista 中，“用户帐户保护”初始版本引入了基本的操作系统更改，以增加非管理用户的经验。例如，在企业环境中，移动便携式计算机用户将能够设置附加到家庭无线网络上的 WEP 密钥、安装打印机、下载和安装应用程序更新、设置和配置 VPN（虚拟专用网）连接以及执行许多其他标准任务，所有这些操作都是以非管理员身份运行的情况下进行的。

　　默认情况下，Windows Vista 会以有限权限运行大部分应用程序，即使用户以管理权限登录到其计算机也会如此。这不会阻止用户执行已授予其执行权限的管理任务。当用户尝试执行管理任务时，Windows Vista 将明确要求其确认其意图或提供管理凭据（取决于所选的策略设置）。还可使用“组策略”设置控制此功能。

　　如果用户以标准用户（非“管理员”本地组的成员）身份登录，他们仍可运行大部分 Windows Vista 应用程序而不需要额外权限。虽然会有一些例外情况，但大部分应用程序无论是在管理员帐户下还是在标准用户帐户下都将运行得一样好。

　　当需要管理员权限时，您不必单击 Run As（运行为），因为 Windows Vista 会自动提示您，如图 1 所示。

　　图 1：当需要管理员凭据时，Windows Vista 会自动提示您提供该凭据。

　　在没有管理权限的情况下，某些应用程序将不能在 Windows XP下运行，因为它们将尝试对影响整个计算机的文件和注册表位置（如 C:\Program Files、C:\Windows 或 HKEY_LOCAL_MACHINE）进行更改。如果用户没有管理权限，则 Windows Vista 中的注册表和文件虚拟化会将每个机器的文件和注册表写入重新定向到每个用户的位置。这使得标准帐户能够运行这样一些应用程序，即需要向只有管理员才可对其进行访问的注册表或文件系统的区域写入的应用程序。

　　优点

　　“用户帐户保护”允许将各组织移至一个便于管理的桌面，支持费用可能会更低。这有助于减少组织因用户配置发生更改而不得不重新映像计算机的需要，并会降低由 malware 造成系统级影响的风险。

　　为了了解“用户帐户保护”的优点，设想一个一般用户因公出差，在不知道本地“管理员”密码的情况下使用了标准用户帐户。为了打发在旅馆中的时间，他（或她）尝试从 Internet 下载一个游戏。然而，此游戏是一个特洛伊木马程序，并尝试安装 malware（计算机启动时将自动启动）。由于该用户不是管理员，因此游戏安装失败，该用户的计算机得到了保护，未受到特洛伊木马程序的攻击。而后，为了能在旅馆打印机上打印文档，该用户需要安装一个新的打印机驱动程序。为确保该驱动程序不由恶意软件添加，Windows Vista 提示该用户验证他（或她）是否确实想安装该驱动程序。这样，“用户帐户保护”保护了用户，而没有限制其所能执行的操作。

　　为什么重要

　　使用 Microsoft Windows XP 和 Windows 操作系统的早期版本时，IT 专业人员有以下两种选择：

　　授予用户管理权限并处理因软件安装或配置更改不正确而导致的技术求援。

　　授予用户有限权限并处理应用程序未正常运行时的技术求援。

　　使用 Windows Vista 时，则不必做出让步。用户的工作效率会很高，且可以防止会滥用管理权限的 malware 的攻击，而且仍可运行几乎所有的应用程序。当用户确实需要执行管理任务时，Windows Vista 会确认其请求。这最终意味着，所需的技术支援将减少，当配置于有限权限下运行的应用程序时所花费的工程时间将更少。

　　Windows Vista 仍具有对密码和“智能卡”的内置身份验证支持。由于许多客户正在寻找使用密码进行身份验证的替代方法，因此 Windows Vista 使得开发人员向 Windows 中添加其自定义身份验证方法（如生物尺度和令牌）的操作更为简单。Windows Vista 还提供了 Kerberos 身份验证协议和智能卡登录的增强功能。部署和管理工具[如自助个人识别码 (PIN) 重置工具] 使“智能卡”更易于管理。智能卡开发人员的公共“应用程序编程接口 (API)”模型也使得这些工具更易于开发。

　　优点

　　Windows Vista 中的“智能卡”改进使各组织更易于部署和支持此内置身份验证方法。Windows Vista 使实现身份验证机制更为容易，从而使提供自定义身份验证机制（如生物尺度和令牌）的开发人员直接受益。这使得 IT 部门间接受益，因为这些部门可从第三方供应商那里获得更多的选择。

　　为什么重要

　　对于许多组织而言，单一因素的身份验证还不够。非常重视安全性的 IT 组织需要进行多因素身份验证。通过使开发人员更易于创建自定义的身份验证方法，IT 部门将可在生物尺度、“智能卡”以及其他类型的严格身份验证之间进行更多选择。

　　本文前面讨论的“用户帐户保护”以及 Internet Explorer 的安全性改进（包括将在稍后对其进行讨论的新的受保护模式）可降低 Windows Vista 中 malware 传播的影响。除了这些功能之外，Windows Vista 还可清除许多蠕虫、病毒和 root kits，从而保护操作系统的完整性和用户数据的保密性。其还可检测、清除和实时阻止间谍软件。

　　注意内置防间谍软件的检测、清除和实时阻止功能主要针对个人用户。对于通过除启用/禁用保护以外的组策略的防 malware，当前计划中未包含企业管理。

　　优点

　　Malware 通常在用户计算机的后台运行，从而降低了系统的性能。这通常会导致用户过早地得出这样的结论：其计算机运行速度太慢，需要重新映像。从而将增加计算机的维护成本。更糟糕的是，malware 通常有问题，使计算机变得不可靠。

　　然而，Malware 的最大威胁则是对安全性的威胁。Malware 可能会给计算机带来其他安全漏洞。如果攻击者利用了这些漏洞，就有可能能够对保密数据进行访问。因此，Windows Vista 中新增的 malware 保护可提高网络中计算机的整体性能、减少技术求援并提高安全性。

　　为什么重要

　　IT 部门在解决 malware 所导致的问题时浪费了许多资源：降低了计算机的性能、可靠性差、安全性受到了影响。Windows Vista 中内置的防 malware 功能使用户可更好地控制其计算机上所安装并运行的软件。高级用户可从 Security Center（安全中心）查看防 malware 软件的状态。

　　Windows Vista 中含有一个代理，如果某客户端缺少当前安全更新、病毒签名或不符合安全条件，该代理将阻止该客户端连接到内部网络。