Windows 7「縱深防禦」觀點釐清（上）：微軟 vs Sophos 論戰、UAC 與核心防護機制

論戰背景

Sophos 實測：裸裝 Win7 + 預設 UAC，匯入 10 病毒樣本，8 支成功攻擊。Sophos 顧問稱 Win7 「跟舊版一樣令人失望」。微軟回應：刻意執行病毒測試不具代表性，Win7 需搭配殺毒軟體，微軟自身也提供免費方案（MSE）。

核心共識：執行未知程式必有風險

微軟安全總監：使用者執行未知程式，壞事就會發生。但使用電腦就是為了執行程式，無法完全拒絕未知。使用者能做的是：
— 不亂跑來路不明程式
— 公司電腦遵守規定
— 必裝殺毒軟體
多一分努力，多一分保障。

Windows 7 縱深防禦五大技術支柱

1. UAC（使用者帳戶控制）：權限邊界守門員。
2. 核心防護強化：核心模式程式碼簽章強制、PatchGuard 核心修補保護。
3. 服務強化：最小權限執行、會話隔離（Session 0 Isolation）。
4. ASLR（位址空間配置隨機化）：記憶體基址隨機化，增加漏洞利用難度。
5. DEP（資料執行防護）：標記資料頁面不可執行，阻止緩衝區溢位攻擊。

微軟立場總結

Win7 在每一環節都做了強化，讓系統「不那麼容易被攻破」，但絕非無敵。縱深防禦意味著：城牆（核心）、崗哨（UAC/服務）、巡邏隊（ASLR/DEP）、民眾屯墾（殺毒軟體/使用者習慣）層層設防。缺一環，防線即有縫隙。

結論：裝 Win7 一定要裝殺毒軟體，這不是微軟推卸責任，而是資安基本常識。