.讨论了Vista的很多令人惊喜的特性,如以管理员的身份登录以及如何重新启用Run命令

 .揭示了虚拟化的工作原理

.解释即使是管理员也不能删除System32中文件的原因

.细述了新的引导后安全特性,如PatchGuard

.引入了新的BitLocker特性,以便最大限度地保护便携式计算机

.讨论了新的Windows完整性机制

.探讨了改进后的事件查看器,事情转发和新的故障诊断工具

前    言

Vista的安全性不会令人失望

2006年6月，我在微软TechEd关于Windows Vista的一次安全会议上听到了一些令我震撼的消息(是好消息，稍后将加以解释)。正是这些好消息促使我编写本书的。一方面，我相信这些新技术最终会使管理员的工作更加轻松，这是令人欣慰的一面；但另一方面，有些技术非常新，技术人员可能会避免在Vista中采用，这是令人遗憾的一面，因为我认为Vista比以前的Windows操作系统要安全得多。我希望Vista新提出的安全概念易于理解，大家能够尽早选择使用它，并尽快建立起更安全的网络。在构思本书时，我的目标是编写一本简短、易读和实用的书，且集中讲述介绍材料不多但大家又应该知道的一些内容。更具体地说，就是如下几点：

● 首先，尽管本书介绍与安全相关的问题，但它并不只针对安全专家，相反，它具有广泛的读者群，包括管理员和IT专业人员。安全专家已经知道SeChangeNotifyPrivilege是什么和为什么人人都关心它，但我想大多数管理员也许会看到与它类似的内容，但没有时间更多地了解它。类似地，我想很多管理员已听说过DACE与SACE，但却没有很好地理解它们实质上是类似于Windows新的完整性机制的导入工具。在这种情况下，你将快速了解一些背景知识，并回顾Vista之前的Windows安全环境。当然，安全专家们可以跳过这些内容，尽管这些内容很简短。

● 其次，本书比较详细地解释了使Windows结构产生很大变化的8种技术，这些技术会使试图侵犯我们隐私和窃取我们钱包的那些人的阴谋难以得逞，但这些技术并不像新的资源管理器或新的Windows图像文件格式那样为人所知。

● 第三，本书涵盖了一些易读和实用的主题，我们将从大的概念着手，并配以实用的范例，大家可以在自己的系统上试一试这些范例。这些安全技术从整体上打破了已有的某些机制，所以要概括介绍这些安全技术很令人沮丧，毕竟我们对看不到的东西不容易理解。本书逐步骤地演示说明了这些新的安全技术，并向用户展示如果不想使用这些新技术时应该如何关闭它们，或在某种程度上禁用它们。我并不主张关闭或禁用它们，但若你坚持要这么做，那就尽快去做吧！

● 最后，本书篇幅不想太长，以便在微软发布Vista之际本书能够尽快出版并与读者见面，如果我们运气好的话，可能还会提早一点。最后要说明的是，本书并不能涵盖每一个Vista安全技术，这需要很厚的一本书，本书只解释了一些变化较大且难以理解的新技术。

我自己不可能完成所有的这一切，正如刚刚提到的，我希望本书篇幅不长，并尽早出版，以便那些超负荷工作的管理员们能尽快读到它，并用来指导他们的Vista部署计划。由于时间紧张，所以无法涵盖所有内容，因此，我得到了在安全性和Vista方面的一些专业人士的支持。

本的其余部分将解释为什么这些新安全特性如此重要，简要介绍本书涵盖的内容，并简单介绍其他作者。

Vista原来不仅只有漂亮的界面

前面提到我听到了一些令我震撼的内容，这是什么意思呢？一切还得从头说起……

早在2003年微软发布Vista beta版本技术预览之时，我就开始使用各种beta版本，但它们并未给我留下多少印象。对我来说，Vista似乎主要是为程序员提供了整洁的新材料。新的Aero Glass桌面似乎相当吸引眼球，但由于我喜欢GUI，因此所有这些视角效果立即黯然失色——我已计划节省菜单淡入淡出所用的CPU周期——因此，不经意地看一眼我的Vista桌面，可能会以为我正在运行的是Server 2003，而不是Vista。我已听说过Windows操作系统中引入了一些新技术，但提供这些亮点的Windows版本是Windows Server 2007——以前称为Longhorn的操作系统，而不是Vista。

但是，2006年上半年，一切都变了。Vista beta版本开始大显身手，我惊奇地发现很多特性原计划要到Server 2007版本中才会推出。从那时开始，我花时间研究Vista beta和客户技术预览。但只用了一个beta版本就发现操作系统设计人员通过GUI和内置的应用程序而展露的一些特性，却没有太多地揭示操作系统内部发生的任何变化。这可能就是为什么在2006年会展上令我吃惊的原因。

我曾参与了Vista新安全技术的多个会议。老实说，其中有些技术有点令人担忧。一种名为BitLocker的新的便携式计算机保护技术会非常好地保护用户的便携式计算机，但如果用户不小心丢失了密码，则可能意味着丢失了数据。安装Vista时，它似乎不再有内置的Administrator账户，仅仅只有一个连很多基本的管理员日常工作都不能做的初级管理员。文件系统和注册表中的一系列安全调整可能使大量XP兼容的应用程序无法运行。每次想要做一些模糊的管理任务时，Vista都会弹出诸如“您确定吗？”之类的令人烦恼的对话框。

这些新安全特性似乎会加重管理员的日常工作，因此我并不渴望得到Vista。而更糟糕的是，发言人提到了关于强制完整性控制(Mandatory Integrity Control，MIC)的一些特性，MIC是Vista中一个新的安全层，我对它虽有所闻但并未认真思考过。MIC后来重命名为Windows完整性控制，就我所知，交付之前还将再次改名。直到听发言人说“它的一个附带作用是有些Vista文件可能无人能够删除，甚至是管理员”，我的态度才发生了变化。那时，我意识到为什么MIC似曾相识，因为它基于一种已整合到操作系统中数十年，但只在军用计算机中用来保护文件安全的方法。

我们并没有打算在自己的计算机上运行导弹发射井或存储国家机密，那我们究竟为什么想要这样一个操作系统呢？

冷静下来，我想起了一些事情。事实上，在过去几年，亲朋好友要求我查看的每台单独的计算机实际已真正远离了令人担忧的间谍软件(Spyware)和按键伐木者(Keystroke Logger)，甚至rootkit技术。如果你是一名管理员，你可能对此并不感到震惊和惊奇，读到这里时也许你正在点头表示认同。我猜想每一个XP技术人员都有过与我类似的经历。并不是这些亲朋好友傻，他们多半是聪明人，只不过不是计算机专家，他们每个人都无意间得到了一些可能有害的程序，因为有很多新方法会产生一些比较糟糕的程序。

这也使我想起了自己从财务机构(我甚至不是其成员)收到的所有那些虚假警告和使用社会工程诱骗人们向随机服务器提供他们的姓名、密码和账户的网络钓鱼软件(Phishing)攻击。我从未受过骗，但这并不是因为我聪明，而是因为我不使用PayPal账户，它们似乎是网络钓鱼软件的最大目标。此外，作为一名作者，我有一个秘密武器：我注意到99%的网络钓鱼软件消息有拼写和语法错误。网站上有对我的隐私持续不断的攻击，想让我单击某一图形或索求我的免费iPod，所有这些只有一个目的：将链接放在合适的地方，跟踪我在因特网上的每一次记录，并出售给以后会给我发垃圾邮件那些人。(你认为Google为什么会泄露电子邮件账户呢？)

我终于渐渐明白了：我自己的计算机真的不发送ICBM，不包含任何国家机密……但它确实存放着个人秘密，例如，我的护照、个人业务事务和财政信息，如果某个不怀好意的人得到这些信息，则我可能会在金钱方面遇到很大的麻烦。

在过去几年中，恶意软件领域——病毒、蠕虫、bot遥控程序、特洛伊木马、rootkit技术、网络钓鱼软件以及用户命名的各种恶意软件——已发生了巨大的变化，并不是每个人都理解这一点。黑客们编写恶意软件已有多年，但他们编写恶意软件的动机已发生了变化。过去，编写病毒及类似恶意软件的人大多只是为了炫耀自己已感染了多少系统。而今的情况已不是这样，新的恶意软件编写者们的目的不再是为了炫耀，而是瞄准了用户的银行账户。他们当中确实有千千万万的人想要伤害别人，而更糟糕的是，他们就生活在我们周围(在因特网上是这样)。我们与之战斗的敌人比几年以前面对的敌人要强大得多(那时病毒是我们遇到的最糟糕的东西)，且我们处于围攻之中……因此，在操作系统中增加一些冷战的概念很可能是一个好方法。

换个角度来看，20世纪90年代后期，我们的敌人实质上与那些喜欢在人们离开之后破门而入干坏事的窃贼没什么两样。在以前从未放置锁的门上放几把锁，离家时记得锁门，甚至安装一个简单的防盗报警装置，这足以满足大多数人的要求了。然而今天，我们面对的是一群智力型窃贼，他们有自动开锁的方法和真空吸尘器，他们可以不留痕迹，且只需几秒钟就可以把事情办完。对付这样的敌人需要更强有力的防御措施，例如防弹墙、防护装置、电子篱笆、智能卡以及更好的密钥。这就意味着要做更多的工作和要学更多的新内容……但还有另一种选择，那就是战斗失败。Vista提供了很多需要理解的新技术。

说这些只是想具体解释为什么我认为有必要编写本书，并需要尽快完成。Vista改变了很多东西，这很有意义，因为Vista是自从微软信奉安全性以来推出的第一个全新的操作系统。虽然比尔·盖茨在2002年早期推出了Server 2003版本，但我并未将Server 2003版本算作信奉安全性之后的第一个操作系统。虽然微软明白安全性是大事，但并不打算取消很多向后兼容性的技术来实现安全性。但对我来说，2003年8月的冲击波(Blaster)蠕虫似乎结束了“安全确实重要，但我们仍要运行1992年的程序”这样一种思维方式。

冲击波蠕虫使微软陷入了窘境，就我所知，这一事件产生了重大影响，它使微软基本上放弃了那时已完成的所有Vista工作，并从零开始。我无权访问XP或Vista的源代码，但得知Vista程序有很大一部分代码是新代码，我相信这一点，因为Vista的很多事情都与以前略有不同。

无论如何，Vista有这么多新特性，并以安全为中心，这意味着我可以指着Vista的数十个甚至数百个新特性说“这些特性有很大的不同，你应该知道它们，”事实上， Mastering Windows Vista Professional和Mastering Windows Server 2003这两本覆盖面较广的书籍将涵盖所有这些主题。但是，我认为有些内容每个Windows管理员都应该知道，但又很少能够获得其介绍材料，即使能够获得介绍材料，其介绍信息也并不准确。

结识合著者

如果没有合著者Byron Hynes和Jennifer Allen的勤奋工作，本书就不可能很快出版。

我是在微软的TechEd会议上，经朋友Steve Riley介绍而与Byron Hynes相识的。Byron已有多年讲授技术讲座和编写文档的经历。只是在一年前才加盟微软，并负责编写Server 2007版本的安全文档。他可能是世上对Vista中新增加的BitLocker加密系统理解最透彻的人，这并不是吹嘘，因此，当听到他愿意为本书撰写一章关于BitLocker的内容时，我很高兴。当谈起Windows的优点及缺点时，Byron滔滔不绝。Jennifer Allen是微软安全技术小组的一名技术写作员和技术编辑，负责管理并编写有关安全技术方面的文档。Jennifer住在美国华盛顿州的西雅图，是土生土长的华盛顿州人。

衷心感谢二位合著者的辛勤工作，大家将在本书中分享他们的劳动成果。

本书内容

下面快速浏览一下本书内容。

前面已说过，我们将会在本书中看到一些真正的变革，但我想从第1章开始逐章介绍。在第1章中，先讲述如何解决一些令人困扰的问题(例如，恢复Administrator账户，它在默认情况下是禁用的)，然后解释大约十几个安全性默认设置的微妙变化。除非吃过亏，否则用户可能不会注意到这些变化。(例如，知道Vista中取消了Power Users吗？)但也并不都是不好的一面，我将带你浏览Vista布局中意想不到的亮点——事件查看器(Event Viewer)。讲述这一内容也将使我更深入地钻研Windows Remote Management(Windows远程管理)，它是我们都能轻易获得的一种新的Windows基础结构。

在第2章中，我们将深入研究已提到的Vista的8大安全特性的第一个特性。与将要介绍的大多数新Vista安全技术不同，这是一种用户可能已听到或遇到过的技术：用户账户控制(User Account Control，UAC)，也是使每个人又爱又恨的Vista特性。它是微软在Windows功能性方面的巨大变化，旨在帮助习惯于以具有完全权利的管理员身份运行Windows的所有人员转变为以一个用户来运行。从长远来看，UAC肯定是一件好事，但如果不理解的话，它可能使资格老的管理员感到失望。老资格管理员可能通过简单地调整几个组策略来关闭UAC——本章会介绍如何关闭——但如果管理员准确地理解了UAC的所作所为，则他可能就会有不同的选择。除UAC之外，本章还讲解了“分离令牌”这一新概念及它们对管理员和用户意味着什么。另外还将介绍为什么启用UAC是与rootkit、蠕虫、特洛伊木马和病毒展开斗争所能采取的最佳措施。

在第3章中会解释8大安全特性的第二个特性，即文件系统和注册表虚拟化。与UAC一样，它是内置在Vista中的一种技术，有助于改变当今99%的人整天以管理员账户登录系统的现象，使他们在以后的大部分时间是作为标准用户登录系统，这样会更安全一些。我们需要这一特性，因为如果我们作为标准用户而不是作为管理员登录的话，很多恶意软件可能就无法感染系统。但见多识广的技术人员认为使大多数人以用户身份运行会遇到困难，他们的理由是，“虽然我愿意作为用户来运行，但如果我不是管理员的话应用程序就无法运行，因为程序试图将内容写到磁盘上和注册表中用户不能到达的地方。我该怎么办呢？找开发人员评理，直到他重新编写代码吗？”在Vista之前，这确实是一个很有效的拒绝理由。Vista针对该问题稍微采用了一点技巧，从而使具有常规用户权限级别的人们可以自动运行编写得很糟糕的那些应用程序。称为虚拟化与VMWare或虚拟服务器无关，而是与使事情更容易以较低的权限来运行密切相关。采用虚拟化，即使不是管理员，也确实可以运行要对HKEY_LOCAL_MACHINE键或System 32实施写操作的应用程序。本章解释虚拟化如何工作、它在哪些地方不起作用，以及如何知道它何时有帮助作用何时无帮助作用。

第4章将介绍Windows完整性控制技术，它以前称为强制完整性控制(Mandatory Integrity Control，MIC)。在阻止恶意软件浪潮的工作中，微软已超越了自从1993年以来我们已知道的NTFS和注册表权限的自主权限模型，并增加了一种模型，这种模型以前只用于为军用和国家安全应用程序而设计的某种专用操作系统，除此之外，任何操作系统都没有采用过这种模型。这一新的安全层次称为Windows完整性控制。可以毫不夸张地说，即使你是一名多年的Windows管理员，也未曾看到过类似这样的技术。在本章中，将解释隐藏在Windows完整性控制背后的理论，然后深入到系统内部，展示Windows完整性控制的作用，以及如何在Vista中加入自己的完整性控制。但是，仅具有适当安全许可权限的人阅读此章才有意义。

第5章由Byron编写，他解释了我列出的几种重要的Vista安全新技术中的第4种技术，即BitLocker全卷加密(BFVE)技术。现在实现的这一技术源于微软2002年从安全角度提出来的一个称为Palladium的计划。美国的公司每年丢失约600 000台便携式计算机，有的是被盗，但常常只是忘在了出租车上或飞机场。无论计算机是如何丢失的，它们有时存储着会使组织受到影响的数据。例如，还记得最近发生的一件事吧，美国退役军人管理局的工作人员为感谢在过去几十年中保卫国家安全的那些人，将一台便携式计算机送到他们家中，计算机的硬盘中包含所有退役军人的记录，其中包括盗窃他们身份信息的那个窃贼所需要的所有信息……便携式计算机从家中被盗。结果怎么样呢？除将干此事的人绳之以法以外，还要加密整个硬盘，并将密钥藏在找不到的地方。这就是Vista中提供的一种称为BitLocker的新工具。

当微软最初提出BitLocker时，它好像是一种有特色但不实用的技术，因为使用BitLocker的任何系统都需要在主板上有一个加密芯片，此芯片称为可信平台模块(TPM)芯片。但是，只要有TPM芯片或USB插槽，BitLocker的Vista实现就允许加密任何系统。如果你有一台便携式计算机，或者如果你负责一批便携式计算机，则这可能是最有用的Vista特性！

第6章由Jennifer Allen编写，他解释了我列出的重要的Vista安全技术中的另外三种技术：代码完整性、新驱动程序签名规则和PatchGuard。读到这一章时，你会看到Vista可能是具有Paranoia Inside(内置偏执狂)特性的第一个Windows版本，在此，Paranoia Inside借用了自众所周知的Intel徽标。Vista不同于以前所有版本的Windows，它随机重新分配基本Windows服务的位置，这就使得蠕虫编写者的工作更加困难。另外还提供了一组反恶意软件机制，包括代码完整性、对文件数字签名的引导时检查以及只适用于64位Windows的一组新规则。在这些规则下，所有驱动程序必须被签名。本章将详细解释这些保护机制。对于64位系统来说还不止这些：64位内核包含一个称为PatchGuard的特性，它试图智能地检测和阻止恶意软件。

第7章将讨论Windows服务这一安全bug。虽然安全文献中介绍了服务的很多危害，但服务还是很有用的进程，可以完成保持Windows运行的很多工作。但是，因为它们在所有的时间都运行，所以有bug的服务很快就成了攻击者最容易下手的目标。在过去的几年中，微软已努力通过简单的调整而使服务难以被攻击，这些变化很有价值，但Vista又向前迈进了一步，重写了如何构建服务的规则。在本章中，将要解释Vista服务发生了怎样的变化，以及它对管理Windows系统产生了怎样的影响。

读完这些内容后，我们就已快速浏览了Vista安全性的几大变化。我想到那时，你会认同Vista至少在安全方面不同于以前的Windows版本，就像劳斯莱斯(Rolls-Royce)不同于旱冰鞋(Roller Skate)一样。

免费订阅我的简讯获得最新信息

了解Windows管理和安全性本身就是一项工作，因为它的变化如此之快。本书尽可能使用户获得最新的信息，但别忘了，我们是从Vista beta版本开始编写的，而事情往往会发生变化不知道我是否还会编写本书第2版，但无论与否，为什么要等到下一个版本才保持最新呢？

因此，我为读者提供了下列服务。访问我的网站http://www.minasi.com，并注册提供的免费Windows Networking简讯。它涵盖版本NT 4、2000、XP、2003及Vista的方方面面，甚至还涵盖一点Linux系统的内容。每个月我都尽量就我所了解的东西以及本书的勘误表(我祈祷不会有错)向读者发送一个简短的更新信息。这不是垃圾邮件，它只是就我所遇到的关于NT、2000、XP、2003或Vista系统的新内容和感兴趣的内容给读者提个醒。我从1999年开始发送此简讯，因此读者也可以详尽地阅读简讯档案。以前的简讯也包括关于微软的免费数据库服务器MSDE和SQL Server Express、DNS故障诊断、配置Indexing Service(索引服务)以及IPSec等的运行和安全保护方面的一些冗长文章，因此，我认为读者会觉得物有所值。

联系我们

如果有什么问题或评论，或认为我们有明显错误之处，我们都希望得到你的来信！可以发送电子邮件到help@minasi.com，但在此之前，请先到网站http://www.minasi.com/gethelp上浏览一下我的FAQ信息。

完成本书并不是因为想要每位读者都认同我们对这些新变革的评价，虽然我认为很多人会认同，相反，完成本书只是因为从安全的角度来看，Windows的工作方式有一些大的变化，并想要使读者节省领悟所有这些新内容的时间。谢谢阅读本书，希望你能有所收获！

??

??

??

??

X

Windows Vista安全管理权威指南(惊喜版)

XI

前    言

目    录

第1章  Vista安全管理 1

1.1　恢复Administrator账户 2

1.1.1　生成自己的管理员 2

1.1.2　激活Administrator

账户 2

1.2　Power Users本质上已

取消 5

1.3  Start菜单中取消了Run

命令 8

1.4　用BCD取代了BOOT.INI 9

1.4.1　boot.ini回顾 10

1.4.2　BCD术语 12

1.4.3　创建第二个OS条目 13

1.4.4　理解Vista引导管理器

标识符 14

1.4.5　用bcdedit选择超时值和

默认OS 15

1.4.6　改变条目选项 16

1.4.7　删除OS条目 18

1.5　取消了Documents and 

Settings文件夹 19

1.6　IPv6与网络特性 20

1.7　远程桌面更安全 24

1.7.1　NTFS和Registry以事务

为基础 27

1.7.2　Windows真正有了取消

删除的功能 29

1.8　安全选项的变化 30

1.8.1　对命名管道访问的改变 31

1.8.2　对共享和注册表访问

的改变 32

1.8.3　不强调LM，而强调

NTLMv2 33

1.8.4　不再有未签名的驱动

程序告警 35

1.9　加密 37

1.9.1　Vista包含新的加密

服务 37

1.9.2　加密页面文件 38

1.9.3　每个用户的Offline Files

文件夹被加密 38

1.10　新的事件查看器 39

1.10.1　事件查看器中包含XML

格式 40

1.10.2　通过定制查询可以定制

事件查看器 42

1.10.3　事件引发动作 45

1.10.4　告知事件日志服务显示

消息 49

1.10.5　将事件从一台计算机转

发到另一台计算机 50

1.10.6　订阅概述 51

1.10.7　创建一个订阅范例 52

1.10.8　订阅延迟的故障

诊断 60

1.10.9　工作组中的事件

转发 62

第2章  理解用户账户控制 69

2.1　介绍UAC 70

2.2　UAC有哪些好处 72

2.2.1　UAC对用户的好处 72

2.2.2　UAC对管理员的好处 72

2.2.3　UAC是一种转换工具 73

2.3　UAC概述 75

2.4　深入挖掘UAC 78

2.4.1　Windows如何创建标准

用户令牌 78

2.4.2　如何告诉UAC使用管理员

令牌 88

2.4.3　Windows何时使用管理员

令牌 96

2.5　重新配置用户账户控制 123

2.5.1　打开、关闭或进一步驾驭

UAC 123

2.5.2　UAC初级配置：用户的

UAC 125

2.5.3　必须具有怎样的管理员

特征才能获得UAC 126

2.5.4　排除内置的管理员 127

2.5.5　告诉UAC跳过试

探法 127

2.5.6　控制安全桌面 128

2.5.7　要求签名的应用程序 132

2.5.8　应对将数据存储在错误

地方的应用程序 134

2.5.9　完全关闭UAC 135

2.6　UAC会取得成功吗 135

2.7　小结 137

第3章  文件和注册表虚拟化 139

3.1  文件和注册表虚拟化基础

知识 140

3.2  文件虚拟化的工作情况 141

3.3  文件和注册表虚拟化需要

考虑的事项 143

3.4  哪些区域被保护及它们在

哪里虚拟化 144

3.4.1  虚拟化如何处理文件 144

3.4.2  虚拟化如何处理

注册表 146

3.5  “遗留”的确切含义

是什么 148

3.6  标准用户与管理员看到的

虚拟化 149

3.7  跟踪虚拟化 152

3.8  虚拟化存在的问题 154

3.9  控制虚拟化 155

3.10  虚拟化的未来 155

3.11  小结 156

第4章  理解Windows完整性

控制 157

4.1  Windows完整性控制

概述 158

4.2  强制控制与自主控制 160

4.2.1  橙皮书 160

4.2.2  C2级认证和NT 162

4.2.3　C级和B级：自主与

强制 162

4.3  WIC组件 167

4.3.1  WIC的6个完整

性级别 167

4.3.2  对象如何获得和存储完整

性级别：强制标签 169

4.3.3  进程完整性级别 184

4.4  了解进程的工作情况 187

4.4.1  设置 187

4.4.2  范例：启动低级完整性级别

的应用程序 187

4.4.3  IE浏览器保护模式和

WIC 189

4.4.4  首要指导原则的困惑：

WIC和删除 192

4.5  使用WIC ACE来限制

访问 200

4.6  WIC ACE不能做的事情 201

4.6.1  组策略不适用强制

标签 202

4.6.2  不能创建命名强制标签

的标准权限 202

4.7  修改系统文件的一点

说明 204

4.8  操纵定制标签 207

4.8.1  SDDL字符串 207

4.8.2  探秘B级语言：SDDL标签

语法 208

4.8.3  使用SDDL字符串设置

完整性级别 216

4.9  小结 216

第5章  BitLocker：解决便携式计算机

的安全问题 219

5.1  便携式计算机目前存在的

安全问题 220

5.2  BitLocker驱动器加密

概述 222

5.2.1  BitLocker组件 223

5.2.2  什么是TPM 224

5.3  全盘加密 226

5.3.1  加密算法 229

5.3.2  密钥存储 231

5.4  认证或访问控制 235

5.4.1  用额外的密钥保护器增强

安全性 235

5.4.2  引导过程确认

(完整性检查) 239

5.5  首次启用BitLocker 240

5.6  在无TPM的计算机上使用

BitLocker 243

5.7  恢复 247

5.7.1  恢复范例1：桌面硬件故障

(无TPM的独立

系统) 249

5.7.2  恢复范例2：便携式计算机

硬件故障(基于TPM) 249

5.7.3  恢复范例3：丢失USB

密钥(有TPM的

计算机) 251

5.7.4  恢复范例4：“找到的”

便携式计算机 254

5.7.5  小结 254

5.8  BitLocker和活动 256

5.9  组策略选项 258

5.10  在企业中管理TPM和

BitLocker 260

5.11  为受BitLocker保护的计算

机提供服务 264

5.12  安全退役 266

5.13  规划BitLocker的部署 267

5.14  小结 269

第6章  引导后保护：代码完整性、

新代码签名规则和

PatchGuard 271

6.1  随机地址空间分配 272

6.2  64位系统具有更多的保护

措施 272

6.3  代码完整性 276

6.4  新代码签名规则 279

6.4.1  什么是代码签名，它为什么

重要 279

6.4.2  ActiveX控件 280

6.4.3  受保护媒体路径的

要求 282

6.4.4  x64的要求 282

6.4.5  对应用程序或驱动程序

进行代码签名 282

6.4.6  部署经发布者签名的应用

程序或驱动程序 284

6.5  小结 285

第7章  Vista如何保护服务的

安全性 287

7.1　服务简介 288

7.2　服务控制管理器 292

7.3　Vista如何加固服务 293

7.3.1  会话分离 294

7.3.2  减少服务权限 296

7.3.3  服务隔离 299

7.3.4  限制服务的网络端口 304

7.4  小结 305

??

??

??

??

XVI

Windows Vista安全管理权威指南(惊喜版)

XV

目    录