使用WindowsVista增强安全性方案精选

　　安全的操作系统平台是可信计算的基本要求，而 Microsoft Windows Vista 通过构建安全基础结构满足了这一要求，该结构可提供易用、稳定及可管理的使用体验。Microsoft 利用最佳工程实践和最新工具帮助确保 Windows Vista 操作系统在家庭、企业、移动及漫游环境中的安全性。

　　为帮助用户确立对安全和隐私的信心，Windows Vista 还为用户提供了有关安全和隐私选择的信息。Windows Vista 还集成了应用程序安全性以帮助提供端到端安全方案，而且为应用程序发布商提供了强大的成本节约价值，使安全基础结构及使用体验得以扩展。有关 Windows Vista 安全性的详细信息，请参阅 Microsoft TechNet Web 站点上的 Windows Vista 安全功能。

　　安全性新功能

　　Windows Vista 引入了新的重要安全改进，在保护您隐私的同时为个人和公司的数据提供更大的保护，使其免受恶意用户及恶意程序导致的泄漏和损坏等破坏。

　　Microsoft 使用最佳工程方案和最新工具，帮助确保 Windows Vista 操作系统的设计安全。Windows Vista 构建于 Microsoft Windows XP Service Pack 2 (SP2) 和 Microsoft Windows Server 2003 Service Pack 1 (SP1) 基础之上，减少了易受攻击的范围，而且帮助企业安全地对网络进行管理和隔离。

　　Windows Vista 不需要最终用户拥有对其计算机的管理权限，从而使客户对桌面的部署更加容易，而以企业为中心的全新 Windows Vista 安全启动技术可为丢失或失窃并基于 Windows 的计算机上的数据提供保护。

　　本节介绍 Windows Vista 中精选的新增和更新安全功能。

　　新增或改进安全功能的益处

　　新增或改进安全功能的影响

　　以下是一个端到端用户方案，说明了 Windows Vista 进行检测和帮助保护免受潜在安全威胁的方式:

　　•启动 Windows Vista 计算机前，通过安全启动保护系统免受攻击。此功能使用基于硬件的“受信平台模块”确保意图破坏 Windows Vista 安装程序的恶意用户无法在其他操作系统下启动计算机。

　　•系统运行后，网络访问保护 (NAP) 会在计算机连入网络时对其进行扫描，以确保计算机有最新的补丁和最新的病毒签名。NAP 还可用于扫描网络管理员决定要检查的许多其他功能。此功能要求 Windows Vista Server 中的 NAP 基础结构。

　　•如果计算机不符合公司的系统运行状况策略，在符合该策略前不会被获准接入网络。

　　•用户使用标准用户凭据(而非以管理员身份)登录计算机和网络，从而最小化了病毒或恶意程序的潜在影响，而且可以顺利地自定义计算机设置和运行原有应用程序。

　　•将补丁部署到计算机时，与 Windows XP 相比，重新启动管理器会减少需要的重启次数。

　　•用户浏览 Web 时，Internet Explorer 的增强及原有功能有助于提供针对恶意软件等有害软件的复原功能，而且可控制用户的个人识别信息。

　　评估贵组织内软件限制策略和用户帐户保护的重要方案

　　本节介绍基本评估方案，在这些方案中域管理员可控制用户可在 Windows Vista 客户端上安装和运行哪些应用程序。

　　在这些方案中，管理员想要控制域用户可安装和运行的应用程序。通过使用软件限制策略，管理员可控制用户以常规权限级别可安装的应用程序。

　　Application Information Service (AIS) 是 Microsoft Windows Vista 中的新服务，可实现“用户帐户保护”(UAP)。通过要求用户在受保护的用户模式下运行和将对授权进程访问限制为管理员级，UAP 有助于减少恶意软件、root kit、malware 及病毒的影响。它还允许组织更接近托管桌面，以阻止用户安装未授权应用程序或对系统设置进行无意更改。

　　下列是控制用户可在 Windows Vista 客户端计算机上安装或运行哪些应用程序的前提条件:

　　•创建域。

　　•创建一个域管理员，例如 admin1。

　　•创建一个域用户，例如 user1。

　　•通过组策略向允许安装应用程序的域提供软件限制策略。

　　•安装 Microsoft Windows Vista。

　　•将客户端加入该域。

　　•验证此域管理员是否是 Local Administrators 组的成员。

　　运行测试方案

　　要测试软件限制策略和 AIS 交互，请让某个域用户登录到 Windows Vista 客户端计算机并启用 UAP，然后尝试安装、运行和卸载域策略定义的允许和不允许的应用程序。

　　方案 1:让域用户尝试安装允许的应用程序。

　　用户应该不需向 admin1 要求凭据即可安装该应用程序。

　　安装允许的应用程序

　　1.以 admin1 身份登录并将应用程序发布到 Active Directory。

　　2.以 user1 登录。

　　3.使用“添加或删除程序”安装该应用程序。

　　4.验证该应用程序已安装并可用。

　　方案 2:尝试安装域管理员未通过策略明确允许安装的应用程序。

　　用户应该无法安装该应用程序。

　　尝试安装不允许的应用程序

　　1.不为该应用程序应用策略设置。

　　2.以 user1 登录。

　　3.尝试安装该应用程序。

　　4.验证安装并未发生。

　　方案 3:尝试运行域管理员已允许用户运行的应用程序。

　　用户应该可以运行该应用程序。

　　运行允许的应用程序

　　1.安装应用程序并将其标记为允许。

　　2.以 user1 登录。

　　3.尝试运行该应用程序。

　　方案 4:尝试运行域管理员尚未允许用户运行的应用程序。

　　用户应该无法运行该应用程序。

　　尝试运行不允许的应用程序

　　1.以 user1 登录。

　　2.安装一个应用程序。

　　3.将该应用程序标记为不允许。

　　4.尝试运行该应用程序。

　　方案 5:尝试卸载域管理员允许用户卸载的应用程序。

　　注意此测试验证 Application Information Service 的交互，以及域策略对象是否允许用户无需使用管理凭据即可删除应用程序。在此例中，将应用域策略设置以允许用户安装、更新和卸载应用程序。

　　用户应该可以卸载该应用程序。

　　卸载允许的应用程序

　　1.以 user1 登录。

　　2.安装某个允许的应用程序。

　　3.卸载该应用程序。

　　4.验证该应用程序未残留任何内容。

　　方案 6:尝试卸载域管理员尚未允许用户卸载的应用程序。

　　注意在此例中，应用程序已安装，但域策略设置不允许用户安装、更新或删除应用程序。

　　用户应该无法卸载该应用程序。

　　尝试卸载不允许的应用程序

　　1.以 user1 登录。

　　2.安装一个应用程序。

　　3.将该应用程序标记为不允许。

　　4.尝试卸载该应用程序。

　　注意本站点所述功能可能有所更改。由于市场、技术或其他原因，最终产品中可能不含某些功能。