Windows 7防毒理念之“縱深防御”
Microsoft說Windows 7是有史以來最安全的Windows，但防毒廠商加以反駁，各說各話到底哪個才是真相？其實，真相未必存在，新聞有時只有”角度”問題……
SophosLabs上周表示，他們在一臺裸機上安裝了Windows 7，并根據使用者帳號控制（UAC）的系統預設進行配置，但未安裝殺毒軟件，然后匯入10個病毒樣本，發現有8個病毒能夠攻擊Windows 7的漏洞。
SophosLabs安全顧問Chester Wisniewski表示，UAC的確攔截了其中一個病毒樣本，不論如何，如同他先前提出的警告，Windows 7的UAC預設配置無法保護個人電腦不受病毒威脅，Windows 7并沒有微軟宣稱的那么安全。Wisniewski認為，Windows 7跟以前的操作系統一樣令人失望。可是真的如此嗎？
是的，壞事是會發生的
首先，只要是”執行”都有危險，因此執行程序時一定要小心。雖然Microsoft的安全總監說：”如果使用者在電腦上執行未知的程序，壞事就會發生。”但是這有個兩難：我們買電腦就是要來執行程序的，就是要下載這個下載那個，就是要玩各種已知未知的各種有趣的東西，就是不想受限制不想被約制……若只要是未知的程序我們就不跑，那使用電腦還有什么樂趣？
我的看法是：使用者可以”盡力”做些事情來改善這問題，像是”來路不明的程序不要亂跑它”，”公司的電腦請按規定使用”，”電腦都得裝上殺毒軟件”，多一分努力就多一分保障，就這樣。目前的電腦世界就像是熱帶雨林，里面可是充滿了毒蛇、箭蛙和食人魚──與其抱怨，不如自救。
Microsoft安全總監認為，用一臺電腦硬是去執行病毒，然后說Windows 7不安全──這未免太武斷了。關于這點，我得說，我真的見過使用者不分青紅皂白的亂按、亂執行一通，管你有毒沒毒有用沒用，先點兩下再說。所以，Shophos公司的這種測試──雖然簡陋，稍嫌武斷──但不是沒有可能。但是，Microsoft安全總監也同意，Windows本來就需要殺毒軟件，連Microsoft自己也提供了一個免費的給合解決方案供用戶使用。
所以，不管他們吵什么，總之各位記得這結論就對了：跑Windows一定得裝殺毒軟件──不管它是不是更安全的Windows。不過，這也沒什么好失望的，人生就是這樣羅。
Windows 7的”縱深防御”
Microsoft安全總監提到了一個有趣的概念：縱深防御（defense-in-depth）理念，這是啥？
這就是所謂的”圍城防御原理”。你得從里到外，每個環節都加強防御，才能更有效的抵抗外敵。
要讓國土能夠保持安全，你得建立城墻、城池，城池外面再建立崗哨，派出巡邏隊員，如果可能，最好有民眾在城外屯墾、生活，倘若如此，就算有外敵入侵（外敵入侵是無法避免的），你的防線也不會一下就被攻破。Shophos公司認為Windows 7沒有更安全，在我看來就像是”Windows 7還是有可能被病毒攻破”，但這其實是合理的結論（哪一座城池是永遠安全，永遠不會被攻破？）。
而Microsoft公司的安全總監則說明，Windows 7被病毒攻破”本來”就是有可能的，所以Windows 7本來就需要殺毒軟件。但是Windows 7確實在Windows的每一個環節都做了強化，設法讓Windows 7”不那么容易被攻破”。他舉了一些環節：
● UAC功能
● Windows核心保護能力
● 視窗服務（Windows Services）的強化
● 隨機位址空間編排（ASLR）
● 資料執行防護（DEP）
這些東西很簡單，就是”由內而外設法讓Windows更穩固”，這就是”縱深防御”。Microsoft的安全總監要表達的是：有人說Windows天下無敵嗎？沒有吧！所以Windows需要殺毒軟件可說是天公地道啊！要是不裝殺毒軟件才恐怖吧！所以，就算是Microsoft，也提供殺毒軟件給客戶用啊！
各位這樣有清楚些嗎？
不過，這只是我個人的”詮釋”，不代表官方看法。
有些病毒說自己是殺毒軟件
關于執行”未知程序”這件事情，我曾見過一個奇事，可以說出來給各位參考參考。
朋友父親的電腦，裝了一個殺毒軟件，沒有廠牌名稱，就叫做AntiVirus，酷吧！某日說電腦變慢，我拿來一看……對這無名的殺毒軟件深感不安──事實上，這個殺毒軟件根本是個木馬軟件吧！
我問朋友：為何裝這殺毒軟件？無廠無牌的，多怪？
朋友說：我爸某日上網，疑似中毒，看到網頁有寫殺毒軟件可安裝可掃毒，就點了把這軟件裝上了。
我只能說，九成九這東西根本是個病毒或是木馬。但是朋友的父親又不是電腦專家，只是個一般使用者，對這類東西一點概念都沒有那怎么辦？
一般的公司會把使用所謂的”政策編輯器”，把所有可能造成病毒感染的”行為”和”途徑”全都封鎖：USB口禁止讀取、寫入；使用”正面表列”把所有允許執行的軟件列出，不在表列的病毒……和游戲──都不能執行！電腦不安裝光碟機；當然要安裝殺毒軟件；還要”禁止任何預設程序的安裝或移除”。這些都做了以后，你的電腦應該會安全多了，呼……
至于一般人，沒有MIS人員幫你把電腦鎖住，層層把關的話……那至少，建議你裝一套你聽過的殺毒軟件吧！
【編輯推薦】
