Win7 十大核心安全機制深度解析：從 Kernel Patch 到 BitLocker

Windows 7 作為微軟最成功的作業系統之一，其安全架構在 Vista 基礎上大幅強化，引入多層防護機制。本文系統梳理 Win7 十大核心安全功能，幫助用戶理解系統級防護原理。

十大安全機制

1. Kernel Patch Protection (PatchGuard)
   核心層級防護，阻止惡意程式修改核心資料結構（如 SSDT、IDT、進程列表），僅 64 位元版本支援，傳統防毒軟體無法實現同等防護。
2. 強制完整性控制 / 進程權限控制
   低完整性層級進程（如 IE Protected Mode）無法寫入高完整性物件（系統資料夾、登錄機碼），實現「最小權限」原則。
3. 使用者帳戶控制 (UAC)
   預設移除使用者的管理員權杖，提權需經使用者確認。Win7 優化提示頻率，平衡安全與體驗，支援「安全桌面」防止仿冒提示。
4. 進階稽核原則
   細粒度稽核設定，支援針對特定使用者/群組、特定物件（檔案、登錄、程序）設定成功/失敗稽核，滿足合規需求。
5. 多防火牆設定檔自動切換
   支援網域、私人、公用三種網路位置設定檔，隨網路環境自動切換防火牆規則（如公司網域嚴格、咖啡廳公用封鎖輸入連線）。
6. DNSSEC 支援
   驗證 DNS 回應的數位簽章，防止 DNS 快取污染、中間人攻擊，需網域簽署區域配合。
7. 網路存取保護 (NAP)
   繼承自 Vista，強制客戶端健康檢查（防毒更新、防火牆啟用、補丁安裝），不合規裝置導向修復網路或隔離。
8. DirectAccess
   無縫 VPN 替代方案，使用 IPv6 over IPv4 隧道（IP-HTTPS、6to4、Teredo），讓遠端電腦自動連回企業網路，支援管理員離線管理，需 Server 2008 R2 以上配合。
9. AppLocker 應用程式控制
   升級版軟體限制原則，支援依發行者簽章、檔案雜湊、路徑建立規則，可封鎖特定廠商所有軟體（如將惡意廠商列入黑名單），透過群組原則集中部署。
10. BitLocker 磁碟加密 / BitLocker To Go
    全磁碟 AES 加密保護筆記型電腦遺失資料外洩，支援 TPM 硬體金鑰保護。BitLocker To Go 延伸至 USB 隨身碟加密，防止惡意程式寫入感染其他電腦。

總結

Win7 從核心、進程、使用者、網路、應用、資料六大面向構建立體防護體系。雖已結束主流支援（2020/01/14），其安全架構設計仍具參考價值，許多機制延伸至 Windows 10/11 並持續演進。