保护您免遭恶意软件侵害
如何确保 Windows 成为安全而可靠的计算环境这一主题在有关 Windows 8 的讨论中较少涉及。我们一直以来都在提供大量旨在实现这些目标的解决方案，并与此领域内的合作伙伴展开密切合作。我们在继续强化 Windows 8 这些功能的同时，还会确保您始终拥有选择和控制如何保护及管理 PC 的权利。在 Windows 8 中，我们扩展了 Defender 提供的保护功能，以应对各种潜在威胁。我们的可靠性和安全性团队小组项目经理 Jason Garms 撰写了这篇博文，文中向您展示了多个团队的工作成果。--Steven
为了帮助用户更好地应对不断变化的恶意软件环境，我们在 Windows 8 中付出了很多努力，我很荣幸能够为您介绍一些相关情况。在本博文中，我将介绍对于缓解功能的某些改进，这包括帮助您防御可能被恶意软件利用的漏洞，强化 Windows Defender 的功能以向您提供针对各种恶意软件的实时保护，以及借助 URL 和应用程序信誉来保护您免遭社会工程攻击。
恶意攻击的现状
网络犯罪攻击正在持续演进，恶意软件已成为针对所有 Internet 用户的标准武器，无论您使用的是传统设备还是平板电脑和智能手机等移动设备，都难逃厄运。恶意软件对所有操作系统和浏览器均构成威胁，而近年来，针对应用程序的网络犯罪攻击也日益猖獗。
网络犯罪还会利用社会工程来诱骗您执行某些存在风险的操作。利用在线广告系列将您引诱至某个网站，并通过该网站向您的计算机中安装恶意软件，正成为越来越常见的社会工程策略。
构建可供利用的可靠漏洞攻击已经发展成了一种产业，网络罪犯会购买这些漏洞来帮助散播其恶意软件。网络罪犯通过恶意软件获利，因此他们会通过各种手段来确保恶意软件的生命力，例如，制作高质量的恶意软件，更频繁地更新恶意软件（有可能每天更新数次），以及增加恶意软件的规模和复杂度。某些恶意软件的复杂度堪比商用应用程序。
设计成就安全
我们使用安全开发生命周期 (SDL) 借助现有的最佳安全设计、开发和测试做法来构建 Windows。其中的一些亮点包括：
- 威胁建模和安全设计审核。 在设计过程中，我们考虑了网络罪犯可能对功能及情境发动攻击的方式，并将这些分析整合到了我们的设计之中。
- 编写安全的代码。 通过培训和代码质量工具帮助预防 Windows 源代码中出现常见编码问题。
- 渗透测试。 安全工程师会从攻击者的角度来审视构成情境的一整套功能。
- 安全性代码审核。 安全工程师会针对高度敏感的组件额外提供面向安全的代码审核。
- 安全工具。 不断通过最新的查找和开发软件技术对工具进行更新，以便提供优化现有代码的可扩展解决方案。
让 Windows 8 无懈可击
从 Windows XP SP2 开始，我们加入了称为缓解的防御系统，目的是提高开发用于攻击的可靠漏洞的难度。所有后续版本的 Windows 都在不断扩展和改进这些缓解，因为一个缓解就能够防护一整类攻击。Windows 8 包含的缓解增强可进一步降低遭到常见攻击的可能性。其中的一些改进包括：
- 地址空间布局随机化 (ASLR)。 Windows Vista 中首次引入了 ASLR，其工作原理是随机打乱大部分代码和数据在内存中的位置，从而避免这些代码和数据在所有 PC 上位于相同的地址。在 Windows 8 中，我们将 ASLR 的保护范围扩展到了 Windows 的更多组件，并对其进行了一些改进，例如，改进了随机算法，以应对绕过 ASLR 的许多已知技术。
- Windows 内核。 在 Windows 8 中，我们向 Windows 内核中加入了许多缓解，这些缓解以前仅应用于用户模式应用程序中。这将有助于提升对于大多数常见威胁类型的保护。例如，我们现在可防止用户模式进程分配进程内存的低 64K，这将有效阻止一整类针对内核模式 NULL 取消引用漏洞的攻击。我们还向内核池内存分配器加入了完整性检查，以缓解内核池损坏攻击。
- Windows 堆。 应用程序会从 Windows 用户模式堆中获得动态内存分配。Windows 8 对堆进行的主要调整是向其中添加了全新的完整性检查作为保护措施，以帮助防御多种攻击技术。此外，Windows 堆现在会随机打乱分配顺序，因此攻击者无法再依靠预测对象的位置来发动攻击了，这一点是借鉴了 ASLR 的成功经验。我们还向特定类型的堆分配添加了防护页，可有效阻止导致堆溢出的攻击。
- Internet Explorer。 在过去两年中，“Use-after-free”漏洞攻击报告占到了针对 Internet Explorer 的所有漏洞攻击报告的将近 75%。我们在 Windows 8 中对 Internet Explorer 实施了防护，以阻止攻击者生成无效的虚拟功能表，增加发动此类攻击的难度。Internet Explorer 还将充分利用 Windows 8 所提供的 ASLR 改进的优势。
让恶意软件远离您的 PC
对于任何连接到 Internet 的设备来说，具有有效的恶意软件保护都至关重要，而目前市场上销售的几乎所有 Windows PC 都会包含一款传统反恶意软件解决方案，虽然该解决方案通常为限时使用或试用版。
在 Windows 7 通用版本于 2009 年 10 月发布后不久，我们的遥测数据就显示出几乎所有 Windows 7 PC 都已经安装了最新的反恶意软件工具。但是几个月后，这些数据的趋势开始逐步下降，这很可能反映了反恶意软件试用订购过期的情况。一年后，至少 24% 的 Windows 7 PC 没有安装最新的反恶意软件工具。我们的数据还显示出，未获得保护的 PC 倾向于在长期内继续保持无保护的状态。并且即使反恶意软件工具仅仅过期一周，该软件应对新型恶意软件的能力也会显著下降。
我们认为所有 Windows 8 用户都应该获得具有高效、业内公认保护水平的传统反恶意软件工具的保护。目前，市场上有许多出色的反恶意软件解决方案可供选择，我们相信这些解决方案会为保护 Windows 8 PC 进行升级，我们也相信大部分 PC 制造商也将继续在 Windows PC 中预先安装这些解决方案。
Windows Defender
如果您未安装其他解决方案，Windows 8 将通过获得显著改进的 Windows Defender 版本为您提供保护。
改进针对所有类型恶意软件的保护。 改进的 Windows Defender 将借助来自 Microsoft 恶意软件保护中心的一整套恶意软件签名来保护您免遭各种类型的恶意软件侵害，包括：病毒、蠕虫、自动程序和 Rootkit，这些签名将通过 Windows Update 定期与最新的 Microsoft 反恶意软件引擎一起提供。这组扩展的签名是对之前版本的显著改进，之前版本中的签名仅包含间谍软件、广告软件和可能不需要的软件。
此外，Windows Defender 现在将通过文件系统过滤器向您提供对于恶意软件威胁的实时检测和保护，并将使用 Windows 安全式启动的接口，该功能是 Window 8 的另一个全新保护功能。
如果您的 PC 支持基于 UEFI 的安全式启动（请参阅 UEFI 2.3.1 规格中的定义），Windows 安全式启动将确保所有固件及固件更新的安全，以及指向反恶意软件驱动器的整个 Windows 启动路径免遭篡改。该功能通过仅在启动路径中加载经过适当签名和验证的代码来实现这一目标。这将帮助确保不会在启动或恢复时加载恶意代码，并帮助保护您免遭启动扇区和启动加载器病毒，以及尝试作为驱动器加载的 Bootkit 和 Rootkit 的侵害。
Windows Defender 使用了与安全启动相同的接口，这些接口和 Windows Defender 使用的 API 都将提供给我们的反恶意软件合作伙伴，以便为 Windows 客户提供额外的保护。
- 改进的用户体验。 我们在设计 Windows Defender 时，希望尽可能降低其对大多数日常使用的介入，该功能仅会在需要您执行操作，或出现需要引起注意的重要信息时，才会向您发出通知。Windows Defender 还将使用全新的 Windows 8 维护计划程序来限制中断次数。
- 改进的性能。 传统反恶意软件技术对于系统性能的影响众所周知。运行反恶意软件工具通常会比文件复制和启动等核心情境耗费多一倍的时间。如果您阅读了上周的博客条目，我们在系统性能和 Windows Defender 中投入了大量人力，从而使该功能在保持强大保护能力的同时，相对于 Windows 7 上常见的反恶意软件解决方案，在所有关键情境中的性能得以大幅提升。例如，Windows Defender 在启用全部保护功能时，仅会使启动时间增加 4%，同时会将启动期间的 CPU 时间减少 75%，磁盘 I/O 减少大约 50MB，并将高峰工作集较少大约 100MB。
这些改进同样提高了能源效率，这意味着 Windows Defender 将消耗更少的电量，并延长您的电池寿命。
我们会在 Windows 8 的开发过程中继续与反恶意软件合作伙伴通力协作，因此无论您选择何种反恶意软件解决方案，都将获得最佳的 Windows PC 体验。我们会向他们提供各种资源，包括我们如何构建 Windows Defender 性能改进的技术细节，因此他们将有机会在其产品中实施类似的改进。
Microsoft SmartScreen 现在不仅适用于 Internet Explorer，还适用于 Windows
传统反恶意软件工具将继续在防御和修正攻击中扮演重要的角色。但是，在获得传统恶意软件签名之前，基于信誉的技术将帮助提供针对社会工程引擎攻击的有效保护，尤其是针对伪装成合法软件程序的恶意软件的保护。
Windows 8 将在您启动应用程序及使用 Internet Explorer 进行浏览时，使用基于信誉的技术为您提供保护。
自其发布以来，SmartScreen 过滤器一直使用 URL 信誉来帮助保护 Internet Explorer 客户免遭超过 15 亿种恶意软件攻击和超过 1.5 亿种网络钓鱼攻击的侵害。Internet Explorer 9 中的 SmartScreen 还加入了应用程序信誉这一新功能，可在 URL 信誉和传统反恶意软件工具无法识别攻击时，为您提供多一层的保护，帮助您做出更安全的决策。遥测数据显示，95% 的 Internet Explorer 9 用户在收到 SmartScreen 应用程序信誉警告时，都会选择删除或不运行恶意软件。
我们了解到 Internet Explorer 并不是您从 Internet 下载应用程序的唯一途径，因此 Windows 现在会在初次启动来自 Internet 的应用程序时，使用 SmartScreen 来对其执行应用程序信誉检查。
在 Windows 7 中，当您启动这些已下载应用程序时，会收到以下通知：
在 Windows 8 中，SmartScreen 仅会在您运行未建立信誉，因而存在风险的应用程序时向您发出通知：
已建立信誉应用程序的用户体验简单明了：您只需单击并运行，去除了 Windows 7 中您可能曾看到过的提示。
SmartScreen 会在下载时使用放置在文件上的标记来触发信誉检查。许多主流 Web 浏览器、邮件客户端和 IM 服务已经向下载的文件中添加了这种称为“Web 标记”的标记。
我们希望平均每名用户每年看到少于 2 次 SmartScreen 提示，并且用户仅会在明显的高风险情境中看到该提示。遥测数据显示，通过 Internet Explorer 9 下载的应用程序中有 92% 已经建立了信誉，并且不会显示警告。同一份数据显示，当显示应用程序信誉警告时，运行后感染恶意软件的风险为 25-70%。SmartScreen 给予了您管理控制权，可防止您的非技术友人或孩子忽略这些警告。
我们在 Internet Explorer 中使用此方法后看到了显著的效果，并且我们非常乐于将其引入更多的 Windows 情境。
以下视频向您展示了活动中的 Windows Defender、SmartScreen URL 和应用程序信誉：
请下载此视频在您常用的媒体播放器中进行观看：
高质量 MP4 | 低质量 MP4
总而言之，我们在 Windows 8 采取了多种手段来保护您免遭恶意软件侵害，包括使用 SDL 流程来保证设计的安全性，实施和升级缓解来帮助您保护可能被恶意软件利用的漏洞，改进 Windows Defender 以便为您提供针对各种恶意软件的实时保护，以及使用 URL 和应用程序信誉来帮助保护您免遭社会工程攻击侵害。
谢谢，
--Jason Garms