全站文章 iT邦幫忙
│訂閱電子報│加入會員│RSS訂閱│
iThome Online提供免費電子報，現在就訂，最新IT訊息每日寄達。
iThome 每日新聞報
iThome 產品技術報
加入iThome Online會員，立即使用討論區、Blog等服務。
•免費加入會員
•登入 / 登出
•管理會員帳號
•忘記帳號密碼
•聯絡客服
•訂閱周刊
•讀者服務
• 09'e政府專刊No.2 (35)
• 09'e教育專刊(34)
• 09'e政府專刊(33)
• 08'企業資安專刊－端點安全防護(32)
• 08'企業採購情報誌(31)
• 07'資訊安全技術應用專刊(30)
• 07' 新世代資料中心專刊(29)
• 07'企業資安技術應用專刊(28)
• 企業採購情報誌'06冬季號(27)
• 企業軟體技術應用專刊(25)
• 企業資安技術應用專刊(24)
iT自救術─Windows 7初階防毒概念（續篇）
文/嚴立群 (記者) 2009-11-20

Microsoft說Windows 7是有史以來最安全的Windows，但防毒廠商加以反駁，各說各話到底哪個才是真相？其實，真相未必存在，新聞有時只有「角度」問題……

相關文章：Windows 7防毒基本概念（首篇）

11月9號時，iThome網站發布了一則編譯新聞：「Widows 7沒有更安全？Sophos嗆微軟」，茲摘錄這則新聞的第一段如下：

「SophosLabs上周表示，他們在一台乾淨的個人電腦上安裝了Windows 7，並根據使用者帳號控制（UAC）的系統預設進行配置，但未安裝防毒軟體，然後匯入10個病毒樣本，發現有8個病毒能夠攻擊Windows 7的漏洞。

SophosLabs安全顧問Chester Wisniewski表示，UAC的確攔截了其中一個病毒樣本，不論如何，如同他先前提出的警告，Windows 7的UAC預設配置無法保護個人電腦不受病毒威脅，Windows 7並沒有微軟宣稱的那麼安全。Wisniewski認為，Windows 7跟以前的視窗作業系統一樣令人失望。

……」

原文甚長，請各位讀者上網自行查閱。本期我想要藉由這則新聞，繼續說明關於「Windows 7與電腦安全防護」的一些概念與注意事項。現節錄這則新聞的一些重點，以便後續的文章說明：

● Microsoft的安全總監Paul Cooke認為：如果使用者在電腦上執行未知的程式，壞事就會發生

● Windows 7的安全架構乃是包含一縱深防禦（defense-in-depth）機制，可以保護客戶免受惡意程式的侵犯

● Microsoft的安全總監也非常同意，在Windows 7上仍需執行防毒軟體，此外他也建議使用者透過自動更新機制以讓軟體保持在最新狀態，降低可能的安全威脅

是的，壞事是會發生的
首先，上週我已經大致說明過了，只要是「執行」都有危險，因此執行程式時一定要小心。雖然Microsoft的安全總監說：「如果使用者在電腦上執行未知的程式，壞事就會發生。」但是這有個兩難：我們買電腦就是要來執行程式的，就是要下載這個下載那個，就是要玩各種已知未知的各種有趣的東西，就是不想受限制不想被約制……若只要是未知的程式我們就不跑，那使用電腦還有什麼樂趣？

我的看法是：使用者可以「盡力」做些事情來改善這問題，像是「來路不明的程式不要亂跑它」，「公司的電腦請按規定使用」，「電腦都得裝上防毒軟體」，多一分努力就多一分保障，就這樣。目前的電腦世界就像是熱帶雨林，裡面可是充滿了毒蛇、箭蛙和食人魚──與其抱怨，不如自救。

Microsoft安全總監認為，用一臺電腦硬是去執行病毒，然後說Windows 7不安全──這未免太武斷了。關於這點，我得說，我真的見過使用者不分青紅皂白的亂按、亂執行一通，管你有毒沒毒有用沒用，先點兩下再說。所以，Shophos公司的這種測試──雖然簡陋，稍嫌武斷──但不是沒有可能。但是，Microsoft安全總監也同意，Windows本來就需要防毒軟體，連Microsoft自己也提供了一個免費的給合法用戶使用。

所以，不管他們吵什麼，總之各位記得這結論就對了：跑Windows一定得裝防毒軟體──不管它是不是更安全的Windows。不過，這也沒什麼好失望的，人生就是這樣囉。

Windows 7的「縱深防禦」
Microsoft安全總監提到了一個有趣的概念：縱深防禦（defense-in-depth）機制，這是啥？

這就是所謂的「圍城防禦原理」。你得從裡到外，每個環節都加強防禦，才能更有效的抵抗外敵。

要讓國土能夠保持安全，你得建立城牆、城池，城池外面再建立崗哨，派出巡邏隊員，如果可能，最好有民眾在城外屯墾、生活，倘若如此，就算有外敵入侵（外敵入侵是無法避免的），你的防線也不會一下就被攻破。Shophos公司認為Windows 7沒有更安全，在我看來就像是「Windows 7還是有可能被病毒攻破」，但這其實是合理的結論（哪一座城池是永遠安全，永遠不會被攻破？）。

而Microsoft公司的安全總監則說明，Windows 7被病毒攻破「本來」就是有可能的，所以Windows 7本來就需要防毒軟體。但是Windows 7確實在Windows的每一個環節都做了強化，設法讓Windows 7「不那麼容易被攻破」。他舉了一些環節：

● UAC功能

● Windows核心保護能力

● 視窗服務（Windows Services）的強化

● 隨機位址空間編排（ASLR）

● 資料執行防護（DEP）

這些東西很簡單，就是「由內而外設法讓Windows更穩固」，這就是「縱深防禦」。Microsoft的安全總監要表達的是：有人說Windows天下無敵嗎？沒有吧！所以Windows需要防毒軟體可說是天公地道啊！要是不裝防毒軟體才恐怖吧！所以，就算是Microsoft，也提供防毒軟體給客戶用啊！

各位這樣有清楚些嗎？

不過，這只是我個人的「詮釋」，不代表官方看法。

有些病毒說自己是防毒軟體
關於執行「未知程式」這件事情，我曾見過一個奇事，可以說出來給各位參考參考。

朋友父親的電腦，裝了一個防毒軟體，沒有廠牌名稱，就叫做AntiVirus，酷吧！某日說電腦變慢，我拿來一看……對這無名的防毒軟體深感不安──事實上，這個防毒軟體根本是個木馬軟體吧！

我問朋友：為何裝這防毒軟體？無廠無牌的，多怪？

朋友說：我爸某日上網，疑似中毒，看到網頁有寫防毒軟體可安裝可掃毒，就點了把這軟體裝上了。

我只能說，九成九這東西根本是個病毒或是木馬。但是朋友的父親又不是電腦專家，只是個一般使用者，對這類東西一點概念都沒有那怎麼辦？

一般的公司會把使用所謂的「政策編輯器」，把所有可能造成病毒感染的「行為」和「途徑」全都封鎖：USB埠禁止讀取、寫入；使用「正面表列」把所有允許執行的軟體列出，不在表列的病毒……和遊戲──都不能執行！電腦不安裝光碟機；當然要安裝防毒軟體；還要「禁止任何預設程式的安裝或移除」。這些都做了以後，你的電腦應該會安全多了，呼……。

至於一般人，沒有MIS人員幫你把電腦鎖住，層層把關的話……那至少，建議你裝一套你聽過的防毒軟體吧！



1 / 2 下一頁
▼ ADVERTISEMENT ▼
▲ ADVERTISEMENT ▲
電週文化事業版權所有、轉載必究 •Copyright © iThome ｜ 刊登廣告 ｜ 授權服務 ｜ 服務信箱 ｜ 隱私權聲明與會員使用條款 ｜ 關於iThome ｜ ｜