欧美午夜精品-免费在线观看高清影视网站-999免费视频-韩国久久久-在线中文av-1024欧美-在线啪-成人影片在线-秋霞在线观看秋-国产精品国产三级国产专区52-国产在线高清视频-国产999在线-国产白拍-毛片在哪里看-日韩视频h-欧美日韩一区精品-在线只有精品-插插插色综合-成年人看的毛片-毛片av免费

作者：微軟企業(yè)及操作系統(tǒng)安全副總裁，David Weston

在微軟 Build 2024 大會召開前夕，我們發(fā)布了一個(gè)全新的 Windows PC 品類：Windows 11 AI PC1。除了這一全新 PC 品類外，我們還引入了重要的安全功能和更新，使得 Windows 11 能夠?yàn)橛脩艉推髽I(yè)機(jī)構(gòu)提供更高的安全性，并為開發(fā)人員提供一系列安全工具。

當(dāng)今的網(wǎng)絡(luò)威脅形勢已經(jīng)跟以前大不相同，無論是攻擊速度、攻擊規(guī)模還是復(fù)雜程度都在持續(xù)升級。2015 年，我們的身份驗(yàn)證系統(tǒng)每秒遭受大約 115 次密碼攻擊，然而不到十年的時(shí)間里，這個(gè)數(shù)字就飆升了 3378%，達(dá)到每秒 4000 多次2。面對如此嚴(yán)峻的網(wǎng)絡(luò)安全威脅，無論是面向我們的家用 PC 還是辦公 PC 所使用的所有設(shè)備和技術(shù)，我們都必須采取比以往更加強(qiáng)大和全面的防護(hù)措施。

網(wǎng)絡(luò)安全是我們工作的重中之重

我們一直致力于提高 Windows 的安全性。幾年前，我們注意到針對硬件的網(wǎng)絡(luò)攻擊日益增多，于是我們推出了安全核心 PC （Secured-core PC），以提供從芯片到云以及關(guān)鍵計(jì)算層的防護(hù)。

近年來，我們看到基于身份的網(wǎng)絡(luò)攻擊正在激增，因此我們迅速而廣泛地?cái)U(kuò)展了我們的無密碼身份驗(yàn)證解決方案。在 2023 年 9 月，我們宣布擴(kuò)展了針對跨設(shè)備身份驗(yàn)證的通行密鑰支持，并在此基礎(chǔ)上不斷突破。本月早些時(shí)候，我們宣布為微軟消費(fèi)者賬戶提供通行密鑰支持，并在 iOS 和安卓用戶的微軟身份驗(yàn)證應(yīng)用程序中支持設(shè)備綁定的通行密鑰，加大了我們對這一由 FIDO 聯(lián)盟提出的行業(yè)倡議的支持力度。Windows 系統(tǒng)的通行密鑰受到 Windows Hello 多重身份驗(yàn)證技術(shù)的保護(hù)，包括 Windows Hello 普通版和 Windows Hello 企業(yè)版。這項(xiàng)最新舉措是建立在近十年來我們不斷增強(qiáng) Windows Hello 功能的重要工作基礎(chǔ)之上，目的是為給用戶提供更便捷、更安全的登錄選項(xiàng)，并消除漏洞。

本月早些時(shí)候，我們擴(kuò)大了“安全未來計(jì)劃”（SFI），明確表示我們將把安全放在首位。我們在 2023 年 11 月首次提出 SFI 計(jì)劃，旨在優(yōu)化設(shè)計(jì)、構(gòu)建、測試和運(yùn)行相關(guān)技術(shù)，以確保產(chǎn)品和服務(wù)的安全交付。考慮到這些承諾，我們不僅在 Windows 11 中構(gòu)建了新的安全功能，還增加了默認(rèn)開啟的安全功能。我們的目標(biāo)很簡單：那就是要讓 Windows 使用起來更方便、更安全。

今天，我們將與大家分享一些新的安全技術(shù)，無論是從設(shè)計(jì)上還是從默認(rèn)設(shè)置上來說，它們都會讓 Windows 從開箱的那一刻起就為用戶提供更加安全的防護(hù)體驗(yàn)。

現(xiàn)代、安全的硬件

我們認(rèn)為安全防護(hù)是一項(xiàng)需要團(tuán)隊(duì)協(xié)作的工作。我們正與 OEM 合作伙伴緊密合作，以補(bǔ)充 OEM 安全功能，并提供更安全的設(shè)備。

雖然安全核心 PC （Secured-core PC）曾被認(rèn)為是專為處理敏感數(shù)據(jù)而設(shè)計(jì)的專用設(shè)備，但如今普通 Windows 用戶也可以通過在 PC 設(shè)備上增強(qiáng)的安全性和引入 AI 技術(shù)而受益。我們宣布，所有 Windows 11 AI PC 都將是安全核心 PC （Secured-core PC），可為商用設(shè)備和消費(fèi)品類設(shè)備帶來高度的安全性。除了 Windows 11 的層層保護(hù)之外，安全核心 PC （Secured-core PC），還具備先進(jìn)的固件保護(hù)功能和動態(tài)可信度量根（dynamic root-of-trust measurement），以提供從芯片到云的保護(hù)。

Microsoft Pluton 安全處理器將在所有 Windows 11 AI PC 上默認(rèn)啟用。Pluton 是一種芯片到云的安全技術(shù)，由微軟設(shè)計(jì)，由芯片制造領(lǐng)域的合作伙伴構(gòu)建，以零信任原則為核心。它有助于保護(hù)安全憑證、身份信息、個(gè)人數(shù)據(jù)和加密密鑰，即使網(wǎng)絡(luò)攻擊者安裝惡意軟件或?qū)嶋H占有 PC，也很難將其刪除。

所有的 Windows 11 AI PC 都將配備 Windows Hello 增強(qiáng)型登錄安全性（ESS），這是一種更安全的生物識別登錄技術(shù)，無需輸入密碼即可登錄。ESS 采用專用的硬件和軟件，如基于虛擬化安全性（VBS）和 TPM 2.0，可提高生物識別數(shù)據(jù)的安全性，因?yàn)樗饶軒椭綦x和保護(hù)身份驗(yàn)證數(shù)據(jù)，又能確保其通信通道的安全。ESS 也可以在與之兼容的搭載 Windows 11 的設(shè)備上使用。

借助 Windows，應(yīng)對威脅先行一步

為了從根本上保障用戶安全，我們不斷更新安全措施，并在 Windows 中啟用了新的默認(rèn)設(shè)置。

Windows 11 在設(shè)計(jì)上默認(rèn)啟用安全層，讓用戶能夠?qū)Ｗ⒂诠ぷ鳎槐剡^多考慮安全設(shè)置。據(jù)報(bào)道，安全憑證保護(hù)、惡意軟件屏蔽和應(yīng)用程序保護(hù)等開箱即用的防護(hù)功能使安全事件減少了 58%，其中固件攻擊減少了 3.1 倍。在 Windows 11 中，硬件和軟件協(xié)同工作，以幫助縮小攻擊面，保護(hù)系統(tǒng)完整性，并保護(hù)重要數(shù)據(jù)。3

安全憑證和身份盜用是網(wǎng)絡(luò)攻擊的主要目標(biāo)。基于 Windows Hello、Windows Hello 商用版和通行密鑰啟用的多重身份驗(yàn)證，是行之有效的多重身份驗(yàn)證解決方案。但隨著越來越多的人啟用多重身份驗(yàn)證，網(wǎng)絡(luò)攻擊者正在從簡單的基于密碼的攻擊轉(zhuǎn)向其他類型的安全憑證盜用。為了防止這些網(wǎng)絡(luò)攻擊，我們正在不斷進(jìn)行技術(shù)更新，包括：

· 本地安全認(rèn)證保護(hù)：Windows 通過幾個(gè)關(guān)鍵進(jìn)程來驗(yàn)證用戶身份，包括本地安全認(rèn)證（LSA）。LSA 對用戶進(jìn)行身份驗(yàn)證并驗(yàn)證 Windows 登錄，處理符號和身份驗(yàn)證信息（如密碼），用于 Microsoft 帳戶和 Microsoft Azure 服務(wù)的單點(diǎn)登錄。LSA 保護(hù)以前僅在所有新的商用設(shè)備上默認(rèn)開啟，而現(xiàn)在面向新消品類設(shè)備也默認(rèn)開啟。對于新的消費(fèi)品類設(shè)備，以及未啟動 LSA 保護(hù)的用戶升級，LSA 保護(hù)將進(jìn)入寬限期。LSA 保護(hù)可防止 LSA 加載不可信的代碼，防止不可信進(jìn)程訪問 LSA 內(nèi)存，從而有效防止安全憑證被盜用。4

· 棄用 NT LAN Manager（NTLM）：應(yīng)安全社區(qū)的強(qiáng)烈要求，我們將從 2024 年下半年開始棄用 NTLM，此舉將加強(qiáng)用戶身份驗(yàn)證。

· 使用 VBS 增強(qiáng) Windows 中的密鑰保護(hù)：現(xiàn)在 Windows 預(yù)覽體驗(yàn)計(jì)劃成員可以公開預(yù)覽 VBS，此功能將提供比軟件隔離更高級的安全防護(hù)，而且其性能也甚至優(yōu)于硬件的解決方案，因?yàn)樗怯稍O(shè)備的 CPU 驅(qū)動。硬件支持的密鑰提供了強(qiáng)大防護(hù)，同時(shí) VBS 更適用于對安全性、可靠性和性能要求較高的業(yè)務(wù)。

· Windows Hello 的加固：Windows Hello 技術(shù)已被擴(kuò)展到密碼保護(hù)，如果您使用的設(shè)備沒有內(nèi)置生物識別功能，那么 Windows Hello 將默認(rèn)為使用 VBS 隔離身份驗(yàn)證信息，保護(hù)系統(tǒng)免受管理員級別的攻擊。

另外，我們重視幫助用戶了解哪些應(yīng)用程序和驅(qū)動程序可以信任，以更好地保護(hù)他們免受網(wǎng)絡(luò)釣魚攻擊和惡意軟件的攻擊。Windows 不僅提升了溝通的體驗(yàn)，還為 Windows 應(yīng)用程序開發(fā)者社區(qū)提供了更多功能，以幫助開發(fā)者加強(qiáng)應(yīng)用程序的安全性。

· 智能應(yīng)用控制：特定的新系統(tǒng)默認(rèn)啟用智能應(yīng)用控制功能，以提供更好的體驗(yàn)。智能應(yīng)用控制已通過 AI 學(xué)習(xí)得到了增強(qiáng)。基于微軟每天收集的 78 萬億個(gè)安全信號建立的 AI 模型，該功能可以預(yù)測應(yīng)用程序是否安全。該安全策略允許已知安全的常見應(yīng)用程序正常運(yùn)行，而嵌入惡意軟件的未知應(yīng)用程序?qū)⒈蛔柚埂＿@是針對惡意軟件的一種非常有效的防護(hù)措施。

· 可信簽名：未簽名的應(yīng)用程序可能帶來重大風(fēng)險(xiǎn)。事實(shí)上，微軟的研究表明，很多惡意軟件都是以未簽名應(yīng)用程序的形式出現(xiàn)的。確保與智能應(yīng)用控制無縫兼容的更好的方法就是對應(yīng)用程序進(jìn)行簽名。簽名有助于提高其可信度，確保現(xiàn)有的“良好聲譽(yù)”被將來的應(yīng)用程序更新所繼承，從而降低被威脅檢測系統(tǒng)阻止的可能性。可信簽名最近已進(jìn)入公共預(yù)覽，通過對證書的全生命周期管理，簡化了信任檢測過程。它還集成了 Azure DevOps 和 GitHub 等大眾開發(fā)工具。

· Win32 應(yīng)用隔離：這是一種全新的安全防護(hù)功能，目前處于測試階段。Win32 應(yīng)用隔離功能可以讓 Windows 應(yīng)用開發(fā)者在應(yīng)用遭受攻擊時(shí)更輕松地降低損害并保護(hù)用戶的隱私選項(xiàng)。Win32 應(yīng)用隔離基于 AppContainers 的基礎(chǔ)開發(fā)構(gòu)建，提供安全邊界，并包含虛擬化資源和可協(xié)調(diào)訪問其他資源的組件（如打印機(jī)、注冊表和文件訪問）。得益于開發(fā)者社區(qū)的積極反饋，Win32 應(yīng)用隔離功能即將面向大眾開放。應(yīng)用開發(fā)者現(xiàn)可以使用 Win32 應(yīng)用隔離與 Visual Studio 無縫集成。

· 提高管理員用戶的安全性：大多數(shù)人在使用他們的設(shè)備時(shí)都是以全權(quán)管理員的身份使用的，這意味著應(yīng)用程序和服務(wù)與用戶一樣擁有對內(nèi)核和其他關(guān)鍵信息的訪問權(quán)限。問題在于這些應(yīng)用程序和服務(wù)可能會在用戶不知情的情況下訪問關(guān)鍵信息。這就是為什么 Windows 鍥而不舍地更新，以便在需要時(shí)能夠?qū)?nèi)核和其他關(guān)鍵服務(wù)信息進(jìn)行及時(shí)的管理訪問，而非一直默認(rèn)此設(shè)置。這讓應(yīng)用程序更加難以用不為人知的方式濫用管理員權(quán)限并私下在 Windows 上安裝惡意軟件或惡意代碼。當(dāng)啟用此功能時(shí)，假如當(dāng)某個(gè)應(yīng)用程序要訪問特殊權(quán)限（如管理員權(quán)限）時(shí)，系統(tǒng)會詢問您是否批準(zhǔn)該請求。當(dāng)您需要批準(zhǔn)時(shí)，Windows Hello 提供了一套安全且簡便的操作方式來批準(zhǔn)或拒絕這些請求，從而讓您完全掌控自己的設(shè)備。目前該功能處于內(nèi)測階段，將于近期面向大眾開放。

· VBS enclaves：VBS enclaves 此前僅面向 Windows 安全功能提供，現(xiàn)在已向第三方應(yīng)用開發(fā)者開放。這種位于主應(yīng)用程序空間內(nèi)的軟件可信執(zhí)行環(huán)境為敏感工作負(fù)載（如數(shù)據(jù)解密）提供了深層操作系統(tǒng)保護(hù)。嘗試使用 VBS enclaves API 來體驗(yàn) enclaves 如何既能屏蔽其他系統(tǒng)進(jìn)程又能屏蔽主應(yīng)用程序本身，從而讓您帶有敏感性的工作具有更高的安全性。

隨著黑客不斷地升級攻擊策略及更新攻擊目標(biāo)，我們將持續(xù)強(qiáng)化 Windows 代碼，以應(yīng)對這些不速之客的侵害。

· Windows 保護(hù)打印模式：在 2023 年底，我們推出了 Windows 保護(hù)打印模式，以建立一套更加現(xiàn)代、更安全的打印系統(tǒng)，最大限度地提高兼容性并以用戶為中心。保護(hù)打印模式將成為未來默認(rèn)的打印模式。

· 工具提示：在過去，工具提示功能曾被惡意利用并導(dǎo)致未經(jīng)授權(quán)就訪問內(nèi)存的情況發(fā)生。在舊版本的 Windows 中，工具提示功能是由內(nèi)核核心為每個(gè)桌面創(chuàng)建的單一窗口，并循環(huán)展示工具提示。我們正在重新設(shè)計(jì)工具提示的工作方式，使其對用戶來說更加安全。通過升級的方式，工具提示的生命周期的管理責(zé)任已轉(zhuǎn)移到所使用的相應(yīng)應(yīng)用程序。現(xiàn)在，核心可以監(jiān)控光標(biāo)活動并啟動倒計(jì)時(shí)，來顯示和隱藏工具提示窗口。當(dāng)這些倒計(jì)時(shí)結(jié)束時(shí)，核心將通知用戶級環(huán)境生成或刪除工具提示窗口。

· TLS 服務(wù)器身份驗(yàn)證：TLS （傳輸層安全）服務(wù)器身份驗(yàn)證證書將驗(yàn)證服務(wù)器對客戶端的身份并確保安全連接。雖然以前支持 1024 位 RSA 加密密鑰，但由于計(jì)算能力和密碼分析的進(jìn)步，Windows 默認(rèn)情況下不再信任這些較弱的密鑰長度。因此，在微軟信任根計(jì)劃中小于 2048 位 RSA 密鑰并連接到信任根的 TLS 證書將不再被信任。

最后，在每個(gè) Windows 版本中，我們都會為商業(yè)用戶提供更多的措施和方法，以便他們在自己的環(huán)境中鎖定 Windows。

· 配置刷新：配置刷新將允許管理員設(shè)置設(shè)備重新應(yīng)用協(xié)議設(shè)置的時(shí)間表，而無需檢查 Microsoft Intune 或其他移動設(shè)備管理供應(yīng)商的情況，以幫助確保這些設(shè)置保持 IT 管理員配置的狀態(tài)。默認(rèn)情況下，它能以每 90 分鐘一次的節(jié)奏刷新，最頻繁則可設(shè)置為每 30 分鐘刷新一次。我們也提供了暫停配置刷新的選項(xiàng)，這在故障排除或維護(hù)時(shí)非常有用，在此之后它將自動恢復(fù)，或由管理員手動重新激活。

· 防火墻：Windows 中的防火墻配置服務(wù)提供程序（CSP）現(xiàn)在從每個(gè)原子區(qū)塊中強(qiáng)制執(zhí)行“全有或全無”的防火墻規(guī)則應(yīng)用。在此之前，如果 CSP 在應(yīng)用某個(gè)區(qū)塊中的防火墻規(guī)則時(shí)遇到問題，CSP 不僅會停止應(yīng)用該規(guī)則，還會停止處理后續(xù)規(guī)則的應(yīng)用，導(dǎo)致部分安全規(guī)則部署不完全，從而留下潛在的安全漏洞。現(xiàn)在，如果區(qū)塊中的規(guī)則無法成功應(yīng)用于設(shè)備，CSP 將停止執(zhí)行后續(xù)規(guī)則，并回退同一原子區(qū)塊中的所有規(guī)則的應(yīng)用，消除了僅部分區(qū)塊部署規(guī)則的模糊性。

· 個(gè)人數(shù)據(jù)加密（PDE）：PDE 通過加密數(shù)據(jù)來增強(qiáng)安全性，只有當(dāng)用戶使用 Windows Hello 商用版解鎖 PC 時(shí)才會解密數(shù)據(jù)。PDE 支持兩個(gè)級別的數(shù)據(jù)保護(hù)。在 1 級保護(hù)下，數(shù)據(jù)一直保持加密，直到 PC 首次被解鎖；在 2 級保護(hù)下，當(dāng) PC 被鎖定時(shí)，文件即被加密。PDE 是對 BitLocker 卷級保護(hù)的補(bǔ)充，并在與 BitLocker 配對時(shí)為個(gè)人或應(yīng)用程序數(shù)據(jù)提供雙重加密。PDE 目前仍處于預(yù)覽階段，開發(fā)者可以利用 PDE API 來保護(hù)他們的應(yīng)用程序內(nèi)容，并讓 IT 管理員能夠利用自身的移動設(shè)備管理解決方案來對數(shù)據(jù)保護(hù)進(jìn)行管理。

· 零信任 DNS：目前該功能正處在個(gè)人預(yù)覽階段，它將通過本地限制，僅允許 Windows 設(shè)備通過域名連接到經(jīng)許可的網(wǎng)絡(luò)目的地。除非通過受信且受保護(hù)的 DNS 服務(wù)器解析，或由 IT 管理員配置授權(quán)，否則外發(fā) IPv4 和 IPv6 流量會被阻止，無法到達(dá)預(yù)期的目的地。目前可通過配置應(yīng)用程序和服務(wù)，使用系統(tǒng) DNS 解析器來避免阻塞問題。