企業(yè)級(jí)Windows 7安全性能分析
相信Windows系統(tǒng)是大家接觸最多的系統(tǒng)了。那么隨著Windows 7的發(fā)布，很多個(gè)人以及企業(yè)都隨之使用起來(lái)。那么今天我們就來(lái)主要談及一下相關(guān)Windows 7安全問(wèn)題。多年來(lái)，許多IT評(píng)論家都在抨擊微軟產(chǎn)品。而且微軟推出的Windows Vista為他們提供了新的貶斥對(duì)象。這款產(chǎn)品的可用性和安全性能讓許多用戶都很惱火。因?yàn)檫@個(gè)原因，許多企業(yè)仍舊使用XP，而不是其后繼者Windows Vista。
然而，隨著最近Windows 7的發(fā)布，大多數(shù)企業(yè)計(jì)劃升級(jí)的時(shí)間也越來(lái)越迫近了。Windows 2000和XP Service Pack 2的官方支持早已結(jié)束，XP Service Pack 3也將于2014年6月結(jié)束。Windows 7自我感覺(jué)良好的安全性能是否真的會(huì)使企業(yè)更加安全呢？在這篇簡(jiǎn)短的Windows 7預(yù)實(shí)施安全指南里，我們將回答這個(gè)問(wèn)題。
即便是微軟最鐵桿的批評(píng)家也同意Windows 7安全性能遠(yuǎn)遠(yuǎn)超過(guò)Windows XP和Vista，這是一個(gè)巨大的進(jìn)步。然而，DirectAccess、AppLocker、BitLocker和BitLocker to Go等安全性能要求更加昂貴的系統(tǒng)來(lái)運(yùn)行，如Windows 7企業(yè)版和Windows 7旗艦版。升級(jí)到這些版本的成本要比升級(jí)到pro版本的成本高10%左右，幾乎是家庭高級(jí)版的兩倍。另外，需要Windows商務(wù)性能的企業(yè)要為那些電腦辦理軟件保障特許證（微軟的軟件維護(hù)項(xiàng)目），這個(gè)許可證每年要花30到50美元。這樣看來(lái)，與第三方供應(yīng)商所提供的產(chǎn)品的安全性能相比，Windows7值得去花費(fèi)那些額外的費(fèi)用嗎？
有了DirectAccess，Windows7個(gè)人電腦不用裝配虛擬專用網(wǎng)絡(luò)（VPN）客戶端。隨時(shí)在線的VPN客戶端支持多重身份驗(yàn)證，允許管理員升級(jí)組策略設(shè)置、分發(fā)軟件和反病毒程序的更新（只要有客戶端與網(wǎng)絡(luò)連接）。系統(tǒng)和服務(wù)的高度集成化不僅能改善端點(diǎn)的整體安全性能，還能很大程度上減少控制臺(tái)要求用戶與VPN鏈接的次數(shù)。不過(guò)，DirectAccess需要在Windows Server 2008 R2 上運(yùn)行，如果你支持的客戶不是Windows7系統(tǒng)的話，你還需要有另外的VPN。
AppLocker可以更容易限制用戶安裝的應(yīng)用程序數(shù)量，但用戶還可以選擇其他的更為成熟的產(chǎn)品，例如Bit9的Parity Suite和CoreTrace的Bouncer。許多產(chǎn)品提供預(yù)先生成的帶有自動(dòng)升級(jí)功能的應(yīng)用程序白名單和黑名單，生成企業(yè)的應(yīng)用程序和使用方法報(bào)告，為多個(gè)版本的Windows系統(tǒng)提供保護(hù)，這些服務(wù)都是AppLocker所不能提供的。
BitLocker為電腦的硬盤驅(qū)動(dòng)提供密碼保護(hù)，預(yù)防信息的失竊和丟失；BitLocker To Go為可移動(dòng)儲(chǔ)存裝置（如USB硬盤）提供密碼保護(hù)，但不包括光驅(qū)。盡管BitLocker可以通過(guò)毀掉密碼來(lái)保護(hù)數(shù)據(jù)，但卻不能滿足一些審計(jì)員的需求，他們需要在硬盤被處理時(shí)，看到安全覆蓋的痕跡。對(duì)BitLocker To Go將裝置上的所有東西加密的批評(píng)似乎站不住腳，BitLocker To Go還不是成熟的數(shù)據(jù)泄露保護(hù)產(chǎn)品。對(duì)大多數(shù)系統(tǒng)管理員來(lái)說(shuō)，他們能夠在企業(yè)范圍內(nèi)為USB上的數(shù)據(jù)提供保護(hù)是很好的事情。現(xiàn)代PC機(jī)的強(qiáng)大功能，意味著加密過(guò)程不會(huì)比昂貴的DLP（數(shù)字化處理器）產(chǎn)品緩慢，后者只能對(duì)敏感數(shù)據(jù)進(jìn)行加密。然而，BitLocker To Go也有一個(gè)與DirectAccess類似的問(wèn)題，如果不是所有的客戶都使用Windows7系統(tǒng)的話，用戶還需要另外的加密方法。使用BitLocker To Go加密過(guò)的裝置雖然可以在安裝了Windows XP和Windows Vista的PC機(jī)上使用，但此時(shí)，裝置里的數(shù)據(jù)是只讀數(shù)據(jù)。
在跨平臺(tái)使用方面，像TrueCrypt這樣的產(chǎn)品可以提供非常大的靈活性。TrueCrypt是免費(fèi)的，可是它不與Windows服務(wù)器政策兼容，也不具有較高的聯(lián)網(wǎng)能力。利用 BitLocker，管理者可以建立Windows組策略來(lái)實(shí)現(xiàn)可移動(dòng)存儲(chǔ)裝置上BitLocke的使用，并且對(duì)服務(wù)器和PC機(jī)上的硬盤進(jìn)行加密。PGP的全磁盤加密是功能完整的替換加密方法，不過(guò)這種加密方法比升級(jí)到Windows7的成本還高。
微軟的Windows系統(tǒng)是仁者見仁、智者見智的。許多批評(píng)家指責(zé)微軟的安全性能不支持最佳組合，用處單一，只能被小范圍企業(yè)內(nèi)的小范圍人群所使用。如果用戶想要自己安全基礎(chǔ)設(shè)施的每部分都能達(dá)到最佳組合，相信沒(méi)有一家供應(yīng)商會(huì)支持這種做法的。如果用戶有預(yù)算，這樣的最佳組合打算無(wú)可厚非。然而，不同的安全控制方法和被迫停止使用的裝置會(huì)帶來(lái)很多額外的費(fèi)用，例如附加的員工培訓(xùn)費(fèi)用和管理費(fèi)用。統(tǒng)一威脅管理（UTM）產(chǎn)品的受歡迎程度越來(lái)越高，這說(shuō)明了在許多有實(shí)際經(jīng)驗(yàn)的管理員看來(lái)，那種最佳組合的方案既不現(xiàn)實(shí)也不經(jīng)濟(jì)。
將Windows 7安全性能發(fā)揮到最佳有以下好處：可以使操作系統(tǒng)和組策略的兼容性更強(qiáng)，同時(shí)能帶來(lái)熟悉的用戶界面和指令。這樣一來(lái)，系統(tǒng)的安全配置會(huì)變得很簡(jiǎn)單，遠(yuǎn)遠(yuǎn)強(qiáng)于在系統(tǒng)中再加上第三方供應(yīng)商的安全產(chǎn)品。這樣的配置減輕了用戶對(duì)多供應(yīng)商關(guān)系，多產(chǎn)品混用知識(shí)的需求，減少了升級(jí)的次數(shù)。Windows7還稱不上完美，但已經(jīng)很不錯(cuò)了：將一款不錯(cuò)的安全產(chǎn)品合理地、正確地配置遠(yuǎn)好于去追求一款根本不存在的最佳產(chǎn)品。
【編輯推薦】
