Windows 11 新功能助力提升安全性，應(yīng)對(duì)日益嚴(yán)峻的網(wǎng)絡(luò)威脅
在微軟 Build 2024 大會(huì)召開前夕，我們發(fā)布了一個(gè)全新的 Windows PC 品類：Windows 11 AI PC。除了這一全新 PC 品類外，我們還引入了重要的安全功能和更新，使得 Windows 11 能夠?yàn)橛脩艉推髽I(yè)機(jī)構(gòu)提供更高的安全性，并為開發(fā)人員提供一系列安全工具。
當(dāng)今的網(wǎng)絡(luò)威脅形勢(shì)已經(jīng)跟以前大不相同，無(wú)論是攻擊速度、攻擊規(guī)模還是復(fù)雜程度都在持續(xù)升級(jí)。2015 年，我們的身份驗(yàn)證系統(tǒng)每秒遭受大約 115 次密碼攻擊，然而不到十年的時(shí)間里，這個(gè)數(shù)字就飆升了 3378%，達(dá)到每秒 4000 多次。面對(duì)如此嚴(yán)峻的網(wǎng)絡(luò)安全威脅，無(wú)論是面向我們的家用 PC 還是辦公 PC 所使用的所有設(shè)備和技術(shù)，我們都必須采取比以往更加強(qiáng)大和全面的防護(hù)措施。
網(wǎng)絡(luò)安全是我們工作的重中之重
我們一直致力于提高 Windows 的安全性。幾年前，我們注意到針對(duì)硬件的網(wǎng)絡(luò)攻擊日益增多，于是我們推出了安全核心 PC （Secured-core PC），以提供從芯片到云以及關(guān)鍵計(jì)算層的防護(hù)。
近年來(lái)，我們看到基于身份的網(wǎng)絡(luò)攻擊正在激增，因此我們迅速而廣泛地?cái)U(kuò)展了我們的無(wú)密碼身份驗(yàn)證解決方案。在 2023 年 9 月，我們宣布擴(kuò)展了針對(duì)跨設(shè)備身份驗(yàn)證的通行密鑰支持，并在此基礎(chǔ)上不斷突破。本月早些時(shí)候，我們宣布為微軟消費(fèi)者賬戶提供通行密鑰支持，并在 iOS 和安卓用戶的微軟身份驗(yàn)證應(yīng)用程序中支持設(shè)備綁定的通行密鑰，加大了我們對(duì)這一由 FIDO 聯(lián)盟提出的行業(yè)倡議的支持力度。Windows 系統(tǒng)的通行密鑰受到 Windows Hello 多重身份驗(yàn)證技術(shù)的保護(hù)，包括?Windows Hello 普通版和 Windows Hello 企業(yè)版。這項(xiàng)新舉措是建立在近十年來(lái)我們不斷增強(qiáng) Windows Hello 功能的重要工作基礎(chǔ)之上，目的是為給用戶提供更便捷、更安全的登錄選項(xiàng)，并消除漏洞。
本月早些時(shí)候，我們擴(kuò)大了“安全未來(lái)計(jì)劃”（SFI），明確表示我們將把安全放在首位。我們?cè)?2023 年 11 月首次提出 SFI 計(jì)劃，旨在優(yōu)化設(shè)計(jì)、構(gòu)建、測(cè)試和運(yùn)行相關(guān)技術(shù)，以確保產(chǎn)品和服務(wù)的安全交付。考慮到這些承諾，我們不僅在 Windows 11 中構(gòu)建了新的安全功能，還增加了默認(rèn)開啟的安全功能。我們的目標(biāo)很簡(jiǎn)單：那就是要讓 Windows 使用起來(lái)更方便、更安全。
今天，我們將與大家分享一些新的安全技術(shù)，無(wú)論是從設(shè)計(jì)上還是從默認(rèn)設(shè)置上來(lái)說(shuō)，它們都會(huì)讓 Windows 從開箱的那一刻起就為用戶提供更加安全的防護(hù)體驗(yàn)。
現(xiàn)代、安全的硬件
我們認(rèn)為安全防護(hù)是一項(xiàng)需要團(tuán)隊(duì)協(xié)作的工作。我們正與 OEM 合作伙伴緊密合作，以補(bǔ)充 OEM 安全功能，并提供更安全的設(shè)備。
雖然安全核心 PC （Secured-core PC）曾被認(rèn)為是專為處理敏感數(shù)據(jù)而設(shè)計(jì)的專用設(shè)備，但如今普通 Windows 用戶也可以通過(guò)在 PC 設(shè)備上增強(qiáng)的安全性和引入 AI 技術(shù)而受益。我們宣布，所有 Windows 11 AI PC 都將是安全核心 PC （Secured-core PC），可為商用設(shè)備和消費(fèi)品類設(shè)備帶來(lái)高度的安全性。除了 Windows 11 的層層保護(hù)之外，安全核心 PC （Secured-core PC），還具備先進(jìn)的固件保護(hù)功能和動(dòng)態(tài)可信度量根（dynamic root-of-trust measurement），以提供從芯片到云的保護(hù)。
Microsoft Pluton 安全處理器將在所有 Windows 11 AI PC 上默認(rèn)啟用。Pluton 是一種芯片到云的安全技術(shù)，由微軟設(shè)計(jì)，由芯片制造領(lǐng)域的合作伙伴構(gòu)建，以零信任原則為核心。它有助于保護(hù)安全憑證、身份信息、個(gè)人數(shù)據(jù)和加密密鑰，即使網(wǎng)絡(luò)攻擊者安裝惡意軟件或?qū)嶋H占有 PC，也很難將其刪除。
所有的 Windows 11 AI PC 都將配備 Windows Hello 增強(qiáng)型登錄安全性（ESS），這是一種更安全的生物識(shí)別登錄技術(shù)，無(wú)需輸入密碼即可登錄。ESS 采用專用的硬件和軟件，如基于虛擬化安全性（VBS）和 TPM 2.0，可提高生物識(shí)別數(shù)據(jù)的安全性，因?yàn)樗饶軒椭綦x和保護(hù)身份驗(yàn)證數(shù)據(jù)，又能確保其通信通道的安全。ESS 也可以在與之兼容的搭載 Windows 11 的設(shè)備上使用。
借助 Windows，應(yīng)對(duì)威脅先行一步
為了從根本上保障用戶安全，我們不斷更新安全措施，并在 Windows 中啟用了新的默認(rèn)設(shè)置。
Windows 11 在設(shè)計(jì)上默認(rèn)啟用安全層，讓用戶能夠?qū)Ｗ⒂诠ぷ?，而不必過(guò)多考慮安全設(shè)置。據(jù)報(bào)道，安全憑證保護(hù)、惡意軟件屏蔽和應(yīng)用程序保護(hù)等開箱即用的防護(hù)功能使安全事件減少了 58%，其中固件攻擊減少了 3.1 倍。在 Windows 11 中，硬件和軟件協(xié)同工作，以幫助縮小攻擊面，保護(hù)系統(tǒng)完整性，并保護(hù)重要數(shù)據(jù)。
安全憑證和身份盜用是網(wǎng)絡(luò)攻擊的主要目標(biāo)?；?Windows Hello、Windows Hello 商用版和通行密鑰啟用的多重身份驗(yàn)證，是行之有效的多重身份驗(yàn)證解決方案。但隨著越來(lái)越多的人啟用多重身份驗(yàn)證，網(wǎng)絡(luò)攻擊者正在從簡(jiǎn)單的基于密碼的攻擊轉(zhuǎn)向其他類型的安全憑證盜用。為了防止這些網(wǎng)絡(luò)攻擊，我們正在不斷進(jìn)行技術(shù)更新，包括：
· 本地安全認(rèn)證保護(hù)：Windows 通過(guò)幾個(gè)關(guān)鍵進(jìn)程來(lái)驗(yàn)證用戶身份，包括本地安全認(rèn)證（LSA）。LSA 對(duì)用戶進(jìn)行身份驗(yàn)證并驗(yàn)證 Windows 登錄，處理符號(hào)和身份驗(yàn)證信息（如密碼），用于 Microsoft 帳戶和 Microsoft Azure 服務(wù)的單點(diǎn)登錄。LSA 保護(hù)以前僅在所有新的商用設(shè)備上默認(rèn)開啟，而現(xiàn)在面向新消品類設(shè)備也默認(rèn)開啟。對(duì)于新的消費(fèi)品類設(shè)備，以及未啟動(dòng) LSA 保護(hù)的用戶升級(jí)，LSA 保護(hù)將進(jìn)入寬限期。LSA 保護(hù)可防止 LSA 加載不可信的代碼，防止不可信進(jìn)程訪問(wèn) LSA 內(nèi)存，從而有效防止安全憑證被盜用。
· 棄用 NT LAN Manager（NTLM）：應(yīng)安全社區(qū)的強(qiáng)烈要求，我們將從 2024 年下半年開始棄用 NTLM，此舉將加強(qiáng)用戶身份驗(yàn)證。
· 使用 VBS 增強(qiáng) Windows 中的密鑰保護(hù)：現(xiàn)在 Windows 預(yù)覽體驗(yàn)計(jì)劃成員可以公開預(yù)覽 VBS，此功能將提供比軟件隔離更高級(jí)的安全防護(hù)，而且其性能也甚至優(yōu)于硬件的解決方案，因?yàn)樗怯稍O(shè)備的 CPU 驅(qū)動(dòng)。硬件支持的密鑰提供了強(qiáng)大防護(hù)，同時(shí) VBS 更適用于對(duì)安全性、可靠性和性能要求較高的業(yè)務(wù)。
· Windows Hello 的加固：Windows Hello 技術(shù)已被擴(kuò)展到密碼保護(hù)，如果您使用的設(shè)備沒(méi)有內(nèi)置生物識(shí)別功能，那么 Windows Hello 將默認(rèn)為使用 VBS 隔離身份驗(yàn)證信息，保護(hù)系統(tǒng)免受管理員級(jí)別的攻擊。
另外，我們重視幫助用戶了解哪些應(yīng)用程序和驅(qū)動(dòng)程序可以信任，以更好地保護(hù)他們免受網(wǎng)絡(luò)釣魚攻擊和惡意軟件的攻擊。Windows 不僅提升了溝通的體驗(yàn)，還為 Windows 應(yīng)用程序開發(fā)者社區(qū)提供了更多功能，以幫助開發(fā)者加強(qiáng)應(yīng)用程序的安全性。
· 智能應(yīng)用控制：特定的新系統(tǒng)默認(rèn)啟用智能應(yīng)用控制功能，以提供更好的體驗(yàn)。智能應(yīng)用控制已通過(guò) AI 學(xué)習(xí)得到了增強(qiáng)?；谖④浢刻焓占?78 萬(wàn)億個(gè)安全信號(hào)建立的 AI 模型，該功能可以預(yù)測(cè)應(yīng)用程序是否安全。該安全策略允許已知安全的常見應(yīng)用程序正常運(yùn)行，而嵌入惡意軟件的未知應(yīng)用程序?qū)⒈蛔柚?。這是針對(duì)惡意軟件的一種非常有效的防護(hù)措施。
· 可信簽名：未簽名的應(yīng)用程序可能帶來(lái)重大風(fēng)險(xiǎn)。事實(shí)上，微軟的研究表明，很多惡意軟件都是以未簽名應(yīng)用程序的形式出現(xiàn)的。確保與智能應(yīng)用控制無(wú)縫兼容的更好的方法就是對(duì)應(yīng)用程序進(jìn)行簽名。簽名有助于提高其可信度，確?，F(xiàn)有的“良好聲譽(yù)”被將來(lái)的應(yīng)用程序更新所繼承，從而降低被威脅檢測(cè)系統(tǒng)阻止的可能性。可信簽名最近已進(jìn)入公共預(yù)覽，通過(guò)對(duì)證書的全生命周期管理，簡(jiǎn)化了信任檢測(cè)過(guò)程。它還集成了 Azure DevOps 和 GitHub 等大眾開發(fā)工具。
· Win32 應(yīng)用隔離：這是一種全新的安全防護(hù)功能，目前處于測(cè)試階段。Win32 應(yīng)用隔離功能可以讓 Windows 應(yīng)用開發(fā)者在應(yīng)用遭受攻擊時(shí)更輕松地降低損害并保護(hù)用戶的隱私選項(xiàng)。Win32 應(yīng)用隔離基于 AppContainers 的基礎(chǔ)開發(fā)構(gòu)建，提供安全邊界，并包含虛擬化資源和可協(xié)調(diào)訪問(wèn)其他資源的組件（如打印機(jī)、注冊(cè)表和文件訪問(wèn)）。得益于開發(fā)者社區(qū)的積極反饋，Win32 應(yīng)用隔離功能即將面向大眾開放。應(yīng)用開發(fā)者現(xiàn)可以使用 Win32 應(yīng)用隔離與 Visual Studio 無(wú)縫集成。
· 提高管理員用戶的安全性：大多數(shù)人在使用他們的設(shè)備時(shí)都是以全權(quán)管理員的身份使用的，這意味著應(yīng)用程序和服務(wù)與用戶一樣擁有對(duì)內(nèi)核和其他關(guān)鍵信息的訪問(wèn)權(quán)限。問(wèn)題在于這些應(yīng)用程序和服務(wù)可能會(huì)在用戶不知情的情況下訪問(wèn)關(guān)鍵信息。這就是為什么 Windows 鍥而不舍地更新，以便在需要時(shí)能夠?qū)?nèi)核和其他關(guān)鍵服務(wù)信息進(jìn)行及時(shí)的管理訪問(wèn)，而非一直默認(rèn)此設(shè)置。這讓應(yīng)用程序更加難以用不為人知的方式濫用管理員權(quán)限并私下在 Windows 上安裝惡意軟件或惡意代碼。當(dāng)啟用此功能時(shí)，假如當(dāng)某個(gè)應(yīng)用程序要訪問(wèn)特殊權(quán)限（如管理員權(quán)限）時(shí)，系統(tǒng)會(huì)詢問(wèn)您是否批準(zhǔn)該請(qǐng)求。當(dāng)您需要批準(zhǔn)時(shí)，Windows Hello 提供了一套安全且簡(jiǎn)便的操作方式來(lái)批準(zhǔn)或拒絕這些請(qǐng)求，從而讓您完全掌控自己的設(shè)備。目前該功能處于內(nèi)測(cè)階段，將于近期面向大眾開放。
· VBS enclaves：VBS enclaves 此前僅面向 Windows 安全功能提供，現(xiàn)在已向第三方應(yīng)用開發(fā)者開放。這種位于主應(yīng)用程序空間內(nèi)的軟件可信執(zhí)行環(huán)境為敏感工作負(fù)載（如數(shù)據(jù)解密）提供了深層操作系統(tǒng)保護(hù)。嘗試使用 VBS enclaves API 來(lái)體驗(yàn) enclaves 如何既能屏蔽其他系統(tǒng)進(jìn)程又能屏蔽主應(yīng)用程序本身，從而讓您帶有敏感性的工作具有更高的安全性。
隨著黑客不斷地升級(jí)攻擊策略及更新攻擊目標(biāo)，我們將持續(xù)強(qiáng)化 Windows 代碼，以應(yīng)對(duì)這些不速之客的侵害。
· Windows 保護(hù)打印模式：在 2023 年底，我們推出了 Windows 保護(hù)打印模式，以建立一套更加現(xiàn)代、更安全的打印系統(tǒng)，最大限度地提高兼容性并以用戶為中心。保護(hù)打印模式將成為未來(lái)默認(rèn)的打印模式。
· 工具提示：在過(guò)去，工具提示功能曾被惡意利用并導(dǎo)致未經(jīng)授權(quán)就訪問(wèn)內(nèi)存的情況發(fā)生。在舊版本的 Windows 中，工具提示功能是由內(nèi)核核心為每個(gè)桌面創(chuàng)建的單一窗口，并循環(huán)展示工具提示。我們正在重新設(shè)計(jì)工具提示的工作方式，使其對(duì)用戶來(lái)說(shuō)更加安全。通過(guò)升級(jí)的方式，工具提示的生命周期的管理責(zé)任已轉(zhuǎn)移到所使用的相應(yīng)應(yīng)用程序?，F(xiàn)在，核心可以監(jiān)控光標(biāo)活動(dòng)并啟動(dòng)倒計(jì)時(shí)，來(lái)顯示和隱藏工具提示窗口。當(dāng)這些倒計(jì)時(shí)結(jié)束時(shí)，核心將通知用戶級(jí)環(huán)境生成或刪除工具提示窗口。
· TLS 服務(wù)器身份驗(yàn)證：TLS （傳輸層安全）服務(wù)器身份驗(yàn)證證書將驗(yàn)證服務(wù)器對(duì)客戶端的身份并確保安全連接。雖然以前支持 1024 位 RSA 加密密鑰，但由于計(jì)算能力和密碼分析的進(jìn)步，Windows 默認(rèn)情況下不再信任這些較弱的密鑰長(zhǎng)度。因此，在微軟信任根計(jì)劃中小于 2048 位 RSA 密鑰并連接到信任根的 TLS 證書將不再被信任。
最后，在每個(gè) Windows 版本中，我們都會(huì)為商業(yè)用戶提供更多的措施和方法，以便他們?cè)谧约旱沫h(huán)境中鎖定 Windows。
· 配置刷新：配置刷新將允許管理員設(shè)置設(shè)備重新應(yīng)用協(xié)議設(shè)置的時(shí)間表，而無(wú)需檢查 Microsoft Intune 或其他移動(dòng)設(shè)備管理供應(yīng)商的情況，以幫助確保這些設(shè)置保持 IT 管理員配置的狀態(tài)。默認(rèn)情況下，它能以每 90 分鐘一次的節(jié)奏刷新，最頻繁則可設(shè)置為每 30 分鐘刷新一次。我們也提供了暫停配置刷新的選項(xiàng)，這在故障排除或維護(hù)時(shí)非常有用，在此之后它將自動(dòng)恢復(fù)，或由管理員手動(dòng)重新激活。
· 防火墻：Windows 中的防火墻配置服務(wù)提供程序（CSP）現(xiàn)在從每個(gè)原子區(qū)塊中強(qiáng)制執(zhí)行“全有或全無(wú)”的防火墻規(guī)則應(yīng)用。在此之前，如果 CSP 在應(yīng)用某個(gè)區(qū)塊中的防火墻規(guī)則時(shí)遇到問(wèn)題，CSP 不僅會(huì)停止應(yīng)用該規(guī)則，還會(huì)停止處理后續(xù)規(guī)則的應(yīng)用，導(dǎo)致部分安全規(guī)則部署不完全，從而留下潛在的安全漏洞?，F(xiàn)在，如果區(qū)塊中的規(guī)則無(wú)法成功應(yīng)用于設(shè)備，CSP 將停止執(zhí)行后續(xù)規(guī)則，并回退同一原子區(qū)塊中的所有規(guī)則的應(yīng)用，消除了僅部分區(qū)塊部署規(guī)則的模糊性。
· 個(gè)人數(shù)據(jù)加密（PDE）：PDE 通過(guò)加密數(shù)據(jù)來(lái)增強(qiáng)安全性，只有當(dāng)用戶使用 Windows Hello 商用版解鎖 PC 時(shí)才會(huì)解密數(shù)據(jù)。PDE 支持兩個(gè)級(jí)別的數(shù)據(jù)保護(hù)。在 1 級(jí)保護(hù)下，數(shù)據(jù)一直保持加密，直到 PC 首次被解鎖；在 2 級(jí)保護(hù)下，當(dāng) PC 被鎖定時(shí)，文件即被加密。PDE 是對(duì) BitLocker 卷級(jí)保護(hù)的補(bǔ)充，并在與 BitLocker 配對(duì)時(shí)為個(gè)人或應(yīng)用程序數(shù)據(jù)提供雙重加密。PDE 目前仍處于預(yù)覽階段，開發(fā)者可以利用 PDE API 來(lái)保護(hù)他們的應(yīng)用程序內(nèi)容，并讓 IT 管理員能夠利用自身的移動(dòng)設(shè)備管理解決方案來(lái)對(duì)數(shù)據(jù)保護(hù)進(jìn)行管理。
· 零信任 DNS：目前該功能正處在個(gè)人預(yù)覽階段，它將通過(guò)本地限制，僅允許 Windows 設(shè)備通過(guò)域名連接到經(jīng)許可的網(wǎng)絡(luò)目的地。除非通過(guò)受信且受保護(hù)的 DNS 服務(wù)器解析，或由 IT 管理員配置授權(quán)，否則外發(fā) IPv4 和 IPv6 流量會(huì)被阻止，無(wú)法到達(dá)預(yù)期的目的地。目前可通過(guò)配置應(yīng)用程序和服務(wù)，使用系統(tǒng) DNS 解析器來(lái)避免阻塞問(wèn)題。
了解更多 Windows 11 的全新安全功能
我們堅(jiān)信安全防護(hù)是一項(xiàng)需要團(tuán)隊(duì)協(xié)作的工作。我們正在加強(qiáng)與 OEM 合作伙伴、應(yīng)用程序開發(fā)者和生態(tài)系統(tǒng)內(nèi)的其他相關(guān)方的合作，幫助人們更好地保護(hù)自己，并交付一個(gè)在設(shè)計(jì)和默認(rèn)設(shè)置上都更安全的 Windows 系統(tǒng)。
關(guān)注我們
