Windows 7 「縱深防禦」安全觀：微軟怎麼看病毒測試與防毒軟體必要性

Sophos 實驗室測試發現：裸機安裝 Windows 7（預設 UAC）、未裝防毒軟體，10 個病毒樣本有 8 個成功攻擊。微軟回應：Windows 7 採用「縱深防禦」，UAC 只是其中一層，**作業系統本身需要防毒軟體協同防護**，這才是常態。本文深度解析「縱深防禦」架構與安全觀。

縱深防禦 = 圍城防禦原理

不指望單一防線（如城牆）永不被攻破，而是由內而外、層層設防：核心防護 → 服務強化 → 記憶體保護 → 應用層攔截 → 使用者帳戶控制 → 防毒軟體 → 使用者習慣。任何單層失效，仍有後續層級阻擋攻擊蔓延。

Windows 7 縱深防禦關鍵技術層

1. UAC（使用者帳戶控制）：攔截未經授權的系統變更，強制標準使用者權限執行。
2. 核心防護：核心模式程式碼簽章強制、核心資料結構保護、修補核心漏洞利用手法。
3. Windows 服務強化：服務預設以最低權限執行（LocalService/NetworkService）、會話隔離（Session 0 Isolation）。
4. ASLR（位址空間配置隨機化）：隨機化 DLL/EXE/堆疊/堆積基址，大幅增加漏洞利用難度。
5. DEP（資料執行防護）：標記資料頁面不可執行，阻止殼碼在堆疊/堆積執行。
6. 防毒軟體整合：Microsoft Security Essentials（免費）、Windows Defender（反間諜軟體）、第三方防毒軟體透過 Consumer Security API 整合至動作中心。

為何裸機測試會「失敗」？

• 測試環境刻意移除防毒軟體層，等同拆掉城牆外的巡邏隊與民兵，只靠內城防禦，當然容易被攻破。
• UAC 預設等級「僅程式變更時通知」不攔截使用者主動執行的程式，測試正是模擬使用者雙擊執行病毒，故 UAC 不會彈窗攔截。
• 微軟從未宣稱「不裝防毒軟體也安全」，官方文件明確建議安裝防毒軟體，MSE 免費提供。

正確安全心法

1. 裝防毒軟體（MSE/第三方），保持病毒碼更新、即時掃描開啟。
2. 保持 UAC 預設或更高，切勿完全關閉。
3. 使用標準使用者帳戶日常操作，需提權時輸入管理員密碼。
4. 系統與軟體及時修補（Windows Update、瀏覽器、Office、Flash/PDF 閱讀器等）。
5. 不執行來源不明程式，下載軟體優先官網、數位簽章驗證。
6. 重要資料離線備份（防勒索軟體）。

結論

Windows 7 確實是微軟當時最安全的作業系統，但「最安全 ≠ 免疫」。縱深防禦需要每一層都到位，缺了防毒軟體這層，城池大門就敞開了一半。別怪作業系統不夠強，防護是系統、工具、習慣共同堆疊的結果。