企業(yè)須知的Windows 7五大安全功能
Windows 7發(fā)布后，雖然暫時(shí)Windows 7還難以撼動XP的市場地位，但是Windows 7也不是一個(gè)只有外表的花瓶，它除了炫麗的桌面應(yīng)用外，Windows 7在企業(yè)級的安全應(yīng)用上也有不少突破。本次就向大家介紹Windows 7企業(yè)版中鮮為人知的五大安全應(yīng)用功能。
Windows與安全似乎不能總是并存。過去，當(dāng)用戶易操作和系統(tǒng)安全發(fā)生沖突時(shí)，微軟總是選擇犧牲系統(tǒng)安全。Windows XP近段時(shí)間遭受網(wǎng)絡(luò)蠕蟲入侵就是一個(gè)最好的例子，微軟本來是有為XP預(yù)裝抵抗蠕蟲入侵的防火墻，但是為了讓用戶使用更簡單，XP系統(tǒng)中的防火墻默認(rèn)情況下是處于關(guān)閉狀態(tài)的。
除了這些是用戶能明顯感受到的安全問題，Vista系統(tǒng)在安全性能上這邁出了重要的一步，隨后微軟推出的Windows 7除了繼續(xù)上一版系統(tǒng)安全性能上的更新外，在其他方面還增加了很多新功能。其中最明顯的改進(jìn)就是用戶賬戶控制系統(tǒng)（User Account Control System，簡稱UAC），這個(gè)賬戶控制系統(tǒng)在Vista系統(tǒng)中極易收到攻擊，帶來很多安全隱患，以至于很多用戶都將這個(gè)系統(tǒng)關(guān)閉。但是在Windows 7系統(tǒng)中UAC得到很大的改善，改進(jìn)后的UAC具有較好的系統(tǒng)防御功能，提高了對危險(xiǎn)的辨別和工作效率。
除此之外，其實(shí)Windows 7系統(tǒng)還增加了一些不太顯眼的安全保護(hù)功能，特別是以保護(hù)企業(yè)網(wǎng)絡(luò)安全為目的的新功能。其中最重要的功能有以下五個(gè)：
DirectAccess：該功能可以使遠(yuǎn)程計(jì)算機(jī)通過 Internet 自動、無縫地訪問內(nèi)部網(wǎng)絡(luò)，無需連接到虛擬專用網(wǎng)絡(luò) （VPN）。
Windows Biometric Framework（Windows生物識別架構(gòu)）：該功能為指紋掃描和生物識別應(yīng)用提供標(biāo)準(zhǔn)化的方法。
AppLocker：該功能可以為Windows系統(tǒng)中的應(yīng)用程序加鎖，控制應(yīng)用軟件的運(yùn)行狀態(tài)。
BitLocker To Go：這是最重要的一項(xiàng)功能，該功能通過擴(kuò)展BitLocker的硬盤加密方式來擴(kuò)展硬盤設(shè)備。
Multiple active firewall profiles（多項(xiàng)防火墻配置協(xié)調(diào)工作）：改良手動配置多項(xiàng)防火墻程序，達(dá)到了更好的網(wǎng)絡(luò)通信保護(hù)功能。
據(jù)了解目前Windows 7企業(yè)版都具備以上功能，但是Windows 7其他系列的版本中只有最終版才具有以上功能。
即使你無法立刻完全體驗(yàn)到全部新功能的優(yōu)點(diǎn)，但是提前了解這些功能的作用也不錯(cuò)。另外，如果你沒有完全升級到Windows 7企業(yè)版或者最終版的話，你是無法運(yùn)行所有的功能的，至少不能體驗(yàn)DirectAccess。
我們會從你馬上就能用到的功能開始介紹，接下來就一起來看看這些新功能究竟如何保護(hù)Windows網(wǎng)絡(luò)計(jì)算機(jī)的安全。
功能一：多項(xiàng)防火墻配置協(xié)調(diào)工作
比起Vista系統(tǒng)，Windows 7有一個(gè)看似很小但是很重要的改進(jìn)，那就是防火墻的配置。Vista系統(tǒng)允許用戶為公私用戶開啟多個(gè)防火墻配置和域名鏈接。每個(gè)私有網(wǎng)絡(luò)都可能成為你的主Wi-Fi網(wǎng)絡(luò)；只要用戶輸入正確的WEP或者WPA鑰匙就可以隨意登錄私有網(wǎng)絡(luò)，這過程中不需要任何的認(rèn)證信息。但是登錄域名網(wǎng)絡(luò)就要求身份驗(yàn)證，驗(yàn)證方式有密碼、指紋、密碼卡或者一些組合的信息等。
每一個(gè)配置文件都能通過防火墻選擇性地連接應(yīng)用。比如，現(xiàn)在需要搭建的是家用或者企業(yè)的小型私有網(wǎng)絡(luò)，就可以設(shè)置共享文件和打印。但是對于公用網(wǎng)絡(luò)，你應(yīng)該就不會共享你的文件了。
Vista系統(tǒng)的防火墻一般情況下都可以正常工作，除了將計(jì)算機(jī)同時(shí)連接到多個(gè)網(wǎng)絡(luò)中，比如同時(shí)連接到以太網(wǎng)和無線網(wǎng)中。在這種情況下，系統(tǒng)會默認(rèn)采用最嚴(yán)格的配置。這樣就會帶來很多問題，比如，當(dāng)你通過公共Wi-Fi熱點(diǎn)區(qū)域連接到公司的VPN中時(shí)，Vista系統(tǒng)就會同時(shí)向公共網(wǎng)絡(luò)和域網(wǎng)絡(luò)提交公共配置。
所有使用Windows 7系列的計(jì)算機(jī)可以同時(shí)啟動幾個(gè)防火墻配置，這樣可以保證網(wǎng)絡(luò)訪問更加可信，同時(shí)減少不可信網(wǎng)絡(luò)的接入。由于遠(yuǎn)程接入功能對于防火墻配置限制較少，所以用戶目前也沒有必要過多的擔(dān)心外來網(wǎng)絡(luò)對于企業(yè)內(nèi)部網(wǎng)的入侵問題，可以放心使用。
圖：在Windows 7系統(tǒng)中，所有ude網(wǎng)絡(luò)連接都可以使用自己特殊的防火墻配置
功能二：Windows生物識別框（Biometric Framework）
隨著指紋識別技術(shù)在筆記本中的應(yīng)用越來越廣泛，制定出一套處理人體識別數(shù)據(jù)的標(biāo)準(zhǔn)是很重要的。為了解決這種需求，Windows 7系統(tǒng)開發(fā)了生物識別框功能。進(jìn)入Windows系統(tǒng)的生物識別框，會有一個(gè)標(biāo)準(zhǔn)的存儲指紋數(shù)據(jù)方法和一個(gè)共同的API來訪問這些數(shù)據(jù)。雖然很多開發(fā)商對于該系統(tǒng)的很多子功能都很感興趣，但是在應(yīng)用之前有兩件事是企業(yè)必須知道的。
圖：指紋識別框中可以識別10個(gè)手指指紋
首先，傳統(tǒng)的指紋掃描儀可以連接到計(jì)算機(jī)上，但是不能連接到企業(yè)網(wǎng)絡(luò)中，但是微軟的Windows生物識別框就能做到。
其次，Windows 7的指紋識別系統(tǒng)可以為每個(gè)用戶存儲10個(gè)手指的指紋信息，雖然我們都不愿意手指受傷，但是一旦某個(gè)手指出現(xiàn)意外，還可以通過其他手指登錄系統(tǒng)，這顯然比傳統(tǒng)的智能多了。
指紋是通過Windows 7控制面板下的生物識別裝置小程序來存儲信息的，任何Windows 7系統(tǒng)和指紋掃描儀綁定后，就可以通過指紋來登錄系統(tǒng)。要注意的是，你必須以管理員身份來添加或者管理指紋。
功能三：BitLocker To Go
目前最嚴(yán)重的安全隱患就是在移動網(wǎng)絡(luò)應(yīng)用中丟失商業(yè)機(jī)密。Vista中的BitLocker通過為筆記本全部的硬件設(shè)備加密方式來保護(hù)用戶信息，這樣即使內(nèi)容被盜或者丟失，也沒有人能夠讀取里面的信息。而Windows 7的BitLocker To Go也是通過加密方式來保護(hù)用戶信息，只是方式上會更簡單，保護(hù)范圍也延伸到口袋大小的微型硬盤設(shè)備和小型閃存設(shè)備。
圖：啟用BitLocker功能為設(shè)備加密
在Windows 7企業(yè)最終版中可以使用這個(gè)功能，只要鼠標(biāo)右擊資源管理器中的外部設(shè)備圖表，選擇下拉菜單“Turn on BitLocker”打開一個(gè)向?qū)?，按著指示進(jìn)行配置加密，等待程序啟動完畢后就能可以。等待的時(shí)間長短跟你的電腦速度和配置設(shè)備有關(guān)，初步預(yù)計(jì)，對2GB的閃存設(shè)備和一個(gè)全日制工作的500GB或者更大的外圍硬件設(shè)備進(jìn)行配置只需要花費(fèi)20分鐘。
BitLocker To Go可以使用密碼進(jìn)行解密，企業(yè)也可以使用智能卡或者多種身份驗(yàn)證方式組合來解密。
對移動設(shè)備加密也是Windows 7企業(yè)最終版中才具備的功能，但是你一旦創(chuàng)建了加密的移動設(shè)備，用戶可以通過任何版本的Windows 7系統(tǒng)的電腦來讀寫該設(shè)備。你也可以為加密的設(shè)備安裝一個(gè)閱讀應(yīng)用軟件，這樣Vista或者XP系統(tǒng)就只能對該設(shè)備進(jìn)行讀操作。
這項(xiàng)新增大安全功能可以用于企業(yè)工作中，讓決策者將信息寫入安全的BitLocker To Go設(shè)備中，防止將信息保存到一個(gè)不安全的環(huán)境中。Windows 服務(wù)器的用戶還可以讓第三方使用活動目錄保管一個(gè)密碼，一遍在丟失或者遺忘密碼時(shí)，可以恢復(fù)數(shù)據(jù)。
該項(xiàng)功能可以讓企業(yè)決策者安心得將重要的信息寫入經(jīng)過BitLocker To Go加密過的設(shè)備中。當(dāng)用戶丟失或者忘記密碼時(shí)，還可以通過Windows服務(wù)器的第三方活動目錄重新獲得打開密碼。
功能四：AppLocker應(yīng)用程序鎖
通過控制應(yīng)用程序的安裝和運(yùn)行狀態(tài)可以有效地提高系統(tǒng)的穩(wěn)定性，防止惡意軟件的入侵以及帶寬等影響網(wǎng)絡(luò)速度的問題。
Windows原始的版本中，這些都是由軟件限制策略功能處理的。這些策略對于那些基于當(dāng)?shù)匚募到y(tǒng)的特定軟件有實(shí)用的預(yù)防效果，但是對于那些暗藏在可信應(yīng)用軟件中的加密木馬是沒有預(yù)防效果的。
軟件限制策略在實(shí)際的運(yùn)行和維護(hù)都有困難的。一些應(yīng)用程序需要安裝在外部獨(dú)有路徑下，因此就需要制定新的路徑規(guī)則。雖然基于哈希的策略能提供有效地安全保障，但每當(dāng)一個(gè)程序升級后它就會失效。任何程序代碼的變換，甚至是錯(cuò)誤的修復(fù)或者更新，都會改變哈希值，有時(shí)還會阻止程序正常運(yùn)行。因此，IT經(jīng)理不得不去維護(hù)或者修改冗長的哈希規(guī)則表單和程序的自動更新功能。
Windows 7企業(yè)最終版和Windows Sever 2008 R2中的AppLock功能可用，該功能增加了一個(gè)全新的方式靈活地控制軟件——出版商規(guī)則（publisher rules）。出版商規(guī)則依賴于程序的簽名認(rèn)證信息，這也是越來越多的應(yīng)用軟件所具有的。
應(yīng)用程序的簽名認(rèn)證信息比舊版的文件路徑和哈希數(shù)據(jù)都更詳細(xì)，它可以讓系統(tǒng)管理員創(chuàng)建復(fù)雜的規(guī)則，比如通過設(shè)置特定的名字，例如文件名字設(shè)置軟件來運(yùn)行特定的供應(yīng)商的軟件，或者通過特定的名字來運(yùn)行特定的軟件或特定版本的軟件。比如，可以建立一個(gè)規(guī)則讓系統(tǒng)只運(yùn)行Adobe的程序，或者只運(yùn)行Photoshop，甚至可以只是運(yùn)行目前最新版的Photoshop。
AppLocker規(guī)則可以適用于任何可執(zhí)行文件、腳本、安裝程序或者是系統(tǒng)庫中，讓用戶有多種選擇，也就是說可以讓用戶安裝所需要的軟件，管理員不需要控制軟件的更新，同時(shí)還可以防止安裝沒有授權(quán)的軟件。
此外，AppLocker規(guī)則中可以寫入特定的用戶和用戶組，比如會計(jì)組和圖形設(shè)計(jì)組肯定有不同的軟件需求，通過AppLocker規(guī)則，群組中只要有一個(gè)人配置了規(guī)則，大家都可以共享，AppLocker甚至還可以區(qū)分出用戶組之間誰共享同一臺計(jì)算機(jī)。
但是要清楚的是AppLocker只是針對Windows 7企業(yè)版和Windows 7最終版。如果你的用戶是用舊版Windows系統(tǒng)，你需要單獨(dú)為他們設(shè)置一個(gè)軟件限制策略。但是隨著越來越多的用戶升級到Windows 7系統(tǒng)，你就可以拋棄SRP改用AppLocker。
功能五：DirectAccess
微軟號稱DirectAccess是“下一代”的VPNs，DirectAccess允許Windows 7企業(yè)版和Windows 7最終版用戶直接連接到Windows Sever 2008 R2服務(wù)器中。鑒于用戶連接VPN時(shí)通常需要先發(fā)起請求，但是使用DirectAccess，電腦連接到網(wǎng)絡(luò)上后，系統(tǒng)就會自動連接到公司網(wǎng)絡(luò)中，整個(gè)連接過程是完全透明的。
圖：Windows 7的DirectAccess連接示意圖
DirectAccess自動連接與傳統(tǒng)的VPNs連接有很大的改進(jìn)。首先，它使用IPsec和IPv6網(wǎng)絡(luò)協(xié)議進(jìn)行數(shù)據(jù)加密和端到端的路由器連接。VPN的加密是與VPN服務(wù)器脫離的，而DirectAccess能夠讓數(shù)據(jù)從企業(yè)內(nèi)網(wǎng)應(yīng)用服務(wù)器上傳送到客戶端的整個(gè)過程中都處于加密狀態(tài)。
因?yàn)镈irectAccess使用一個(gè)標(biāo)準(zhǔn)的互聯(lián)網(wǎng)端口通信，所以它可以不需要任何配置就能夠穿過防火墻，這是VPN用戶不能做到的。
DirectAccess還有另一個(gè)好處就是可以自動創(chuàng)建連接和維護(hù)。即使用戶不是直接使用公司資源，管理員也可以同時(shí)管理和更新DirectAccess計(jì)算機(jī)。雖然用戶一般只是在需要訪問網(wǎng)絡(luò)資源時(shí)才會通過VPN連接，但是VPN連接常常很耗時(shí)間。
例如，如果遠(yuǎn)程用戶在本地的咖啡廳連接到無線熱點(diǎn)，DirectAccess 將檢測到 Internet 連接可用并自動建立與內(nèi)部網(wǎng)絡(luò)邊緣的 DirectAccess 服務(wù)器的連接。 用戶將能夠訪問管理員已授予遠(yuǎn)程訪問權(quán)限的內(nèi)部資源，如內(nèi)部共享、網(wǎng)站和應(yīng)用程序。
連接耗時(shí)主要是因?yàn)閂PN用戶必須經(jīng)過隔離、掃描、和修復(fù)后才能獲準(zhǔn)登錄公司內(nèi)網(wǎng)。整個(gè)過程會影響連接速度，從而影響員工的工作效率。但是通過DirectAccess，計(jì)算機(jī)即使在企業(yè)內(nèi)網(wǎng)休眠的時(shí)候還能正常更新，同時(shí)可監(jiān)控企業(yè)網(wǎng)絡(luò)的訪問情況。
但是有一點(diǎn)需要注意，讓大部分公司馬上移到DirectAccess上是不切實(shí)際的。因?yàn)檫@個(gè)系統(tǒng)依賴于良好的網(wǎng)絡(luò)基礎(chǔ)設(shè)施，其中包括Windows Server 2008 R2和IPv6,這是很多企業(yè)目前還沒有完全具備的基礎(chǔ)設(shè)施，所以等企業(yè)搭好環(huán)境完全移到DirectAccess中還需要等上幾年。未來幾年內(nèi)，VPN還是運(yùn)用的主流。
縱觀未來網(wǎng)絡(luò)，基于安全環(huán)境下的“家里辦公”將會是發(fā)展趨勢，那時(shí)的網(wǎng)絡(luò)可以滿足員工居家辦公，就像在辦公室里一樣順暢。
【編輯推薦】
