Windows安全概述

       自Windows操作系统问世以来，其版本随着计算机硬件和软件发展不断升级，架构从16位、32位到64位，桌面操作系统版本从最初的Windows 1.0到大家熟知的Windows 95、Windows 98直至现在的Windows 10、Windows 11，其功能在持续更新过程中不断完善。Windows作为市占率最高的桌面操作系统，是恶意攻击者的重要目标，Windows本身的安全机制也在不停的演进和完善以对抗不断变化的安全风险。比如数字化转型的加速和远程和混合工作的扩展为组织和个人带来了新的机遇，也带来了新的威胁和风险。针对这种情况，基于零信任安全模型被大量使用，任何地方的任何人或设备在安全性和完整性得到证明之前都不能获得访问权限。最新的Windows 安全理念也基于了零信任原则构建，同时利用新的安全硬件功能和软件保护机制，提高了安全基线要求。整个安全体系从芯片、底层硬件一直延伸到了云端。实际上，要尽可能的保护操作系统、保护用户数据，安全措施也不能仅仅局限在Windows本身，需要有一个体系化的应对手段。
       零信任安全模型是在正确的时间给予正确的人员和设备正确的访问权限。零信任安全基于三个原则：
 

• 通过对每个访问请求进行明确验证，如用户身份、位置和设备健康等数据点，来降低风险，不做任何例外；
• 验证后，只给予人员和设备必要的时间访问必要的资源；
• 使用持续分析来驱动威胁检测和改善防御。

     对于Windows，零信任原则比较适用于设备和人员引入的风险。最新的Windows 提供了从芯片到云端的安全性，使IT管理员能够使用诸如Windows Hello for Business之类的功能实现授权和身份验证过程。IT管理员还可以获得证明和测量，以确定设备是否满足要求并且可以被信任。Windows与Microsoft Intune和Azure Active Directory协作能实现及时的访问授权。此外，IT管理员还可以自定义Windows去满足特定用户和策略对访问、隐私、合规等方面的要求。
    下图整理了从云端、身份认证、应用、操作系统层、硬件、安全基础等几个方面的Windows安全功能和手段。
 

       借助芯片等硬件隔离安全性，Windows 可以将敏感数据存储在与操作系统分离的其他防护手段后面。因此，包括加密密钥和用户凭据在内的信息受到了防止未经授权访问和篡改的保护。但相关功能在国内使用的时候会面临合规性问题，比如硬件中使用的密码算法是否能够替换成国密算法等等，目前还需要进行进一步的探索才能使得这些功能在国内落地。同时硬件和软件还可以协同工作以保护操作系统。例如，默认启用基于虚拟化的安全（VBS）和安全启动（Secure Boot），以限制和防止恶意软件利用。
       在帮助保护个人和业务信息的安全性和隐私性方面，Windows 提供应用程序安全防护功能，可保护关键数据和代码完整性。应用程序隔离和控制、代码完整性、隐私控制和最小特权原则使开发人员能够从一开始就构建安全性和隐私性。这种集成安全性可以防止违规行为和恶意软件，帮助保持数据私密，并为IT管理员提供所需的控制。Microsoft Defender Application Guard使用Hyper-V虚拟化技术将不受信任的网站和Microsoft Office文件隔离在容器中，与主机操作系统和企业数据分离。为了保护隐私，Windows可以控制哪些应用程序和功能可以收集和使用数据，例如设备的位置，或访问资源，如摄像头和麦克风。
       身份认证凭据也是网络犯罪分子的主要目标。Windows 提供了防止凭据盗窃的保护，具有芯片级别的硬件安全性。凭据受到诸如TPM 2.0、VBS和/或Windows Defender Credential Guard等硬件和软件安全层的保护，使攻击者更难从设备上窃取凭据。借助Windows Hello for Business，用户可以使用面部、指纹或PIN进行无密码保护快速登录，目前Windows 是可以支持FIDO2安全密钥进行无密码身份验证的。
       正如前面提到的，微软正在将越来越多的功能往云上迁移，除了提供用于身份、存储和访问管理的综合云服务外，还提供了验证连接到网络的Windows设备是否值得信赖所需的工具。用户可以使用现代设备管理（MDM）服务（如Microsoft Intune）来强制执行合规性和条件访问，该服务与Azure Active Directory和Microsoft Azure Attestation协同工作，通过云端控制对应用程序和数据的访问。微软账户也具备一定的个人数据保护功能。但和云联系越紧密，在国内的落地应用就越困难，由于中国的数据安全和个人信息保护法律法规越来越完善，这一部分的功能就需要满足中国的要求才能落地使用，这方面神州网信政府版正在进行一些积极的探索，以便用户在满足合规要求的同时也能用上安全先进的产品和服务。
       本文对Windows的最新安全功能做了一个初步的描述，并整理了相关安全体系，在后继的系列文章中尝试对这个体系进行一些深入探讨。