微軟今天發(fā)布Windows 10，之前預(yù)約了新版本升級(jí)用戶(hù)的計(jì)算機(jī)將執(zhí)行自動(dòng)升級(jí)。許多人都已經(jīng)知道，Windows 10將是微軟發(fā)布的最后一個(gè)Windows版本，下一代Windows會(huì)以Update的形式出現(xiàn)。那么，除了在操作和性能方面的改善以外，被微軟公開(kāi)宣稱(chēng)“有史以來(lái)最安全的Windows系統(tǒng)”的Windows 10，其安全性又有何“過(guò)人”之處呢?安全牛就此問(wèn)題采訪(fǎng)了360首席工程師鄭文彬。

鄭文彬，反木馬專(zhuān)家，曾經(jīng)發(fā)現(xiàn)了Windows “DirectShow視頻開(kāi)發(fā)包”的漏洞、并被微軟官方公開(kāi)致謝，對(duì)操作系統(tǒng)內(nèi)核有著深厚的理解和實(shí)踐經(jīng)驗(yàn)。

Windows 10在系統(tǒng)內(nèi)核、應(yīng)用組件、應(yīng)用程序?qū)用婢邪踩倪M(jìn)，同時(shí)也提供了一些新的安全功能。經(jīng)過(guò)安全技術(shù)研究團(tuán)隊(duì)經(jīng)過(guò)分析，360提出了Windows 10在安全方面的四大亮點(diǎn)：

一、基于硬件虛擬化的安全隔離

Windows 10引入了Credential Guard和Device Guard安全功能，運(yùn)用硬件虛擬化技術(shù)，實(shí)現(xiàn)安全隔離。

這兩項(xiàng)功能主要存在于Windows 10企業(yè)版中，Credential Guard使用硬件虛擬化功能(VSM) 將證書(shū)/令牌的存儲(chǔ)和管理和真實(shí)操作系統(tǒng)隔離，使得惡意程序即使擁有系統(tǒng)內(nèi)核權(quán)限，也無(wú)法獲取用戶(hù)的證書(shū)，避免攻擊者使用例如Mimikatz一類(lèi)工具實(shí)現(xiàn)Pass-to-Hash攻擊，阻止針對(duì)企業(yè)網(wǎng)絡(luò)的進(jìn)一步滲透。

Device Guard則可以允許企業(yè)管理和鎖定設(shè)備，禁止設(shè)備上安裝未受信的軟件。

二、支持多因子認(rèn)證

支持移動(dòng)設(shè)備、生物識(shí)別、PIN碼等多種方式的多因子認(rèn)證保護(hù)，取代傳統(tǒng)的Windows密碼。

三、Edge瀏覽器

Edge瀏覽器屏蔽了傳統(tǒng)的ActiveX\BHO\ Toolbars的擴(kuò)展以及一些過(guò)時(shí)的組件如VBScript，減少了尤其是第三方控件引入的攻擊面。

Edge瀏覽器啟用了全64位進(jìn)程和增強(qiáng)保護(hù)模式沙箱保護(hù)(IE11默認(rèn)僅使用32位進(jìn)程和保護(hù)模式沙箱)，漏洞的攻擊難度和沙箱保護(hù)強(qiáng)度更高。

Edge瀏覽器渲染引擎核心也增強(qiáng)了針對(duì)過(guò)去較多影響IE瀏覽器的一些漏洞的防護(hù)或緩解能力，使得攻擊者利用漏洞對(duì)瀏覽器進(jìn)行攻擊變得更困難。

四、核心的安全改進(jìn)

Windows 10為全系統(tǒng)開(kāi)啟了控制流防護(hù)(Control Flow Guard)功能，此功能后來(lái)被Windows 8.1 Update3補(bǔ)丁加入，可以有效地提高針對(duì)Windows平臺(tái)應(yīng)用的漏洞攻擊難度。

Windows 10將內(nèi)核模式字體引擎部分分離并放入隔離的用戶(hù)模式環(huán)境中運(yùn)行，有效防止了Duqu類(lèi)通過(guò)字體漏洞直接入侵Windows內(nèi)核的攻擊方式，同時(shí)也增加了可以通過(guò)組策略禁止或?qū)徲?jì)非系統(tǒng)字體加載的功能。

此外Windows 10還有更多其他的漏洞防御和緩解措施，例如Windows 10的內(nèi)核對(duì)象管理器會(huì)在內(nèi)核對(duì)象頭部增加cookie來(lái)防范DKOM方式的內(nèi)核池溢出攻擊等。

安全防護(hù)建議

除了及時(shí)更新補(bǔ)丁之外，安全的方方面面需要操作系統(tǒng)廠(chǎng)商、安全廠(chǎng)商、應(yīng)用廠(chǎng)商共同合作來(lái)保證。用戶(hù)應(yīng)該盡量選擇專(zhuān)業(yè)的并在安全防御領(lǐng)域擁有足夠?qū)嵙Φ陌踩珡S(chǎng)商的軟件，如一些在安全產(chǎn)品方面同微軟有著緊密合作的安全企業(yè)。

最后，鄭文彬認(rèn)為，Windows 10正向更多新的安全技術(shù)和方向靠攏，例如基于硬件的安全防護(hù)、更多地隔離和緩解安全問(wèn)題等等。微軟的安全戰(zhàn)略意圖仍然為逐層緩和安全問(wèn)題，同時(shí)與安全廠(chǎng)商及產(chǎn)業(yè)界配合，保護(hù)用戶(hù)安全，共同維護(hù)Windows生態(tài)環(huán)境。