WINDOWS Defender

 

保护您免遭恶意软件侵害

• 如何确保 Windows 成为安全而可靠的计算环境这一主题在有关 Windows 8 的讨论中较少涉及。我们一直以来都在提供大量旨在实现这些目标的解决方案，并与此领域内的合作伙伴展开密切合作。我们在继续强化 Windows 8 这些功能的同时，还会确保您始终拥有选择和控制如何保护及管理 PC 的权利。在 Windows 8 中，我们扩展了 Defender 提供的保护功能，以应对各种潜在威胁。我们的可靠性和安全性团队小组项目经理 Jason Garms 撰写了这篇博文，文中向您展示了多个团队的工作成果。--Steven

为了帮助用户更好地应对不断变化的恶意软件环境，我们在 Windows 8 中付出了很多努力，我很荣幸能够为您介绍一些相关情况。在本博文中，我将介绍对于缓解功能的某些改进，这包括帮助您防御可能被恶意软件利用的漏洞，强化 Windows Defender 的功能以向您提供针对各种恶意软件的实时保护，以及借助 URL 和应用程序信誉来保护您免遭社会工程攻击。

恶意攻击的现状

网络犯罪攻击正在持续演进，恶意软件已成为针对所有 Internet 用户的标准武器，无论您使用的是传统设备还是平板电脑和智能手机等移动设备，都难逃厄运。恶意软件对所有操作系统和浏览器均构成威胁，而近年来，针对应用程序的网络犯罪攻击也日益猖獗。

网络犯罪还会利用社会工程来诱骗您执行某些存在风险的操作。利用在线广告系列将您引诱至某个网站，并通过该网站向您的计算机中安装恶意软件，正成为越来越常见的社会工程策略。

构建可供利用的可靠漏洞攻击已经发展成了一种产业，网络罪犯会购买这些漏洞来帮助散播其恶意软件。网络罪犯通过恶意软件获利，因此他们会通过各种手段来确保恶意软件的生命力，例如，制作高质量的恶意软件，更频繁地更新恶意软件（有可能每天更新数次），以及增加恶意软件的规模和复杂度。某些恶意软件的复杂度堪比商用应用程序。

设计成就安全

我们使用安全开发生命周期 (SDL) 借助现有的最佳安全设计、开发和测试做法来构建 Windows。其中的一些亮点包括：

• 威胁建模和安全设计审核。在设计过程中，我们考虑了网络罪犯可能对功能及情境发动攻击的方式，并将这些分析整合到了我们的设计之中。
• 编写安全的代码。通过培训和代码质量工具帮助预防 Windows 源代码中出现常见编码问题。
• 渗透测试。安全工程师会从攻击者的角度来审视构成情境的一整套功能。

• 安全性代码审核。安全工程师会针对高度敏感的组件额外提供面向安全的代码审核。

• 安全工具。不断通过最新的查找和开发软件技术对工具进行更新，以便提供优化现有代码的可扩展解决方案。

让 Windows 8 无懈可击

从 Windows XP SP2 开始，我们加入了称为缓解的防御系统，目的是提高开发用于攻击的可靠漏洞的难度。所有后续版本的 Windows 都在不断扩展和改进这些缓解，因为一个缓解就能够防护一整类攻击。Windows 8 包含的缓解增强可进一步降低遭到常见攻击的可能性。其中的一些改进包括：

• 地址空间布局随机化 (ASLR)。Windows Vista 中首次引入了 ASLR，其工作原理是随机打乱大部分代码和数据在内存中的位置，从而避免这些代码和数据在所有 PC 上位于相同的地址。在 Windows 8 中，我们将 ASLR 的保护范围扩展到了 Windows 的更多组件，并对其进行了一些改进，例如，改进了随机算法，以应对绕过 ASLR 的许多已知技术。

• Windows 内核。在 Windows 8 中，我们向 Windows 内核中加入了许多缓解，这些缓解以前仅应用于用户模式应用程序中。这将有助于提升对于大多数常见威胁类型的保护。例如，我们现在可防止用户模式进程分配进程内存的低 64K，这将有效阻止一整类针对内核模式 NULL 取消引用漏洞的攻击。我们还向内核池内存分配器加入了完整性检查，以缓解内核池损坏攻击。

• Windows 堆。应用程序会从 Windows 用户模式堆中获得动态内存分配。Windows 8 对堆进行的主要调整是向其中添加了全新的完整性检查作为保护措施，以帮助防御多种攻击技术。此外，Windows 堆现在会随机打乱分配顺序，因此攻击者无法再依靠预测对象的位置来发动攻击了，这一点是借鉴了 ASLR 的成功经验。我们还向特定类型的堆分配添加了防护页，可有效阻止导致堆溢出的攻击。
• Internet Explorer。在过去两年中，“Use-after-free”漏洞攻击报告占到了针对 Internet Explorer 的所有漏洞攻击报告的将近 75%。我们在 Windows 8 中对 Internet Explorer 实施了防护，以阻止攻击者生成无效的虚拟功能表，增加发动此类攻击的难度。Internet Explorer 还将充分利用 Windows 8 所提供的 ASLR 改进的优势。

让恶意软件远离您的 PC

对于任何连接到 Internet 的设备来说，具有有效的恶意软件保护都至关重要，而目前市场上销售的几乎所有 Windows PC 都会包含一款传统反恶意软件解决方案，虽然该解决方案通常为限时使用或试用版。

在 Windows 7 通用版本于 2009 年 10 月发布后不久，我们的遥测数据就显示出几乎所有 Windows 7 PC 都已经安装了最新的反恶意软件工具。但是几个月后，这些数据的趋势开始逐步下降，这很可能反映了反恶意软件试用订购过期的情况。一年后，至少 24% 的 Windows 7 PC 没有安装最新的反恶意软件工具。我们的数据还显示出，未获得保护的 PC 倾向于在长期内继续保持无保护的状态。并且即使反恶意软件工具仅仅过期一周，该软件应对新型恶意软件的能力也会显著下降。

我们认为所有 Windows 8 用户都应该获得具有高效、业内公认保护水平的传统反恶意软件工具的保护。目前，市场上有许多出色的反恶意软件解决方案可供选择，我们相信这些解决方案会为保护 Windows 8 PC 进行升级，我们也相信大部分 PC 制造商也将继续在 Windows PC 中预先安装这些解决方案。

Windows Defender

如果您未安装其他解决方案，Windows 8 将通过获得显著改进的 Windows Defender 版本为您提供保护。

改进针对所有类型恶意软件的保护。改进的 Windows Defender 将借助来自 Microsoft 恶意软件保护中心的一整套恶意软件签名来保护您免遭各种类型的恶意软件侵害，包括：病毒、蠕虫、自动程序和 Rootkit，这些签名将通过 Windows Update 定期与最新的 Microsoft 反恶意软件引擎一起提供。这组扩展的签名是对之前版本的显著改进，之前版本中的签名仅包含间谍软件、广告软件和可能不需要的软件。

此外，Windows Defender 现在将通过文件系统过滤器向您提供对于恶意软件威胁的实时检测和保护，并将使用 Windows 安全式启动的接口，该功能是 Window 8 的另一个全新保护功能。

如果您的 PC 支持基于 UEFI 的安全式启动（请参阅 UEFI 2.3.1 规格中的定义），Windows 安全式启动将确保所有固件及固件更新的安全，以及指向反恶意软件驱动器的整个 Windows 启动路径免遭篡改。该功能通过仅在启动路径中加载经过适当签名和验证的代码来实现这一目标。这将帮助确保不会在启动或恢复时加载恶意代码，并帮助保护您免遭启动扇区和启动加载器病毒，以及尝试作为驱动器加载的 Bootkit 和 Rootkit 的侵害。

Windows Defender 使用了与安全启动相同的接口，这些接口和 Windows Defender 使用的 API 都将提供给我们的反恶意软件合作伙伴，以便为 Windows 客户提供额外的保护。

• 改进的用户体验。我们在设计 Windows Defender 时，希望尽可能降低其对大多数日常使用的介入，该功能仅会在需要您执行操作，或出现需要引起注意的重要信息时，才会向您发出通知。Windows Defender 还将使用全新的 Windows 8 维护计划程序来限制中断次数。

• 改进的性能。传统反恶意软件技术对于系统性能的影响众所周知。运行反恶意软件工具通常会比文件复制和启动等核心情境耗费多一倍的时间。如果您阅读了上周的博客条目，我们在系统性能和 Windows Defender 中投入了大量人力，从而使该功能在保持强大保护能力的同时，相对于 Windows 7 上常见的反恶意软件解决方案，在所有关键情境中的性能得以大幅提升。例如，Windows Defender 在启用全部保护功能时，仅会使启动时间增加 4%，同时会将启动期间的 CPU 时间减少 75%，磁盘 I/O 减少大约 50MB，并将高峰工作集较少大约 100MB。

这些改进同样提高了能源效率，这意味着 Windows Defender 将消耗更少的电量，并延长您的电池寿命。

我们会在 Windows 8 ??开发过程中继续与反恶意软件合作伙伴通力协作，因此无论您选择何种反恶意软件解决方案，都将获得最佳的 Windows PC 体验。我们会向他们提供各种资源，包括我们如何构建 Windows Defender 性能改进的技术细节，因此他们将有机会在其产品中实施类似的改进。

源文档 <http://blogs.msdn.com/b/b8_cn/archive/2011/09/21/malware.aspx>