Windows 8 在安全性上佈局深遠：除延續 64 位元專屬 (Server 2008 R2 已純 64 位)、分散式檔案系統複寫 (DFSR) 引擎重寫、雲端運算整合 (Windows Azure 整合) 外，**核心防護機制大幅強化**，引入 **PatchGuard (核心修補防護) 與 UEFI Secure Boot (安全啟動)** 雙重防線，從核心到開機全鏈路阻擋駭客與病毒。
核心防護兩大支柱
1. PatchGuard (Kernel Patch Protection)
- **機制**：定期掃描核心關鍵資料結構 (IDT、GDT、SSDT、系統服務表、中斷描述符等)，偵測到未授權修補 (Hook、Inline Hook、DKOM 等) 即觸發
BUGCHECK 0x109 (CRITICAL_STRUCTURE_CORRUPTION) 藍屏停機，防止 Rootkit 隱藏、提權、竊取資料。
- **歷程**：x64 版 Windows 自 Vista SP1 起引入，Win8 進一步擴大保護範圍、提高掃描頻率、強化自我完整性驗證。
- **影響**：合法安全軟體 (防毒、HIPS、EDR) 必須改用 Microsoft 文件化的 **Kernel Callback / Filter Manager / ETW** 等機制，不得直接修補核心。
2. UEFI Secure Boot (統一可延伸韌體介面安全啟動)
- **機制**：UEFI 韌體內建 Microsoft 信任的憑證授權單位 (CA) 公開金鑰，開機時驗證 **開機載入器 (bootmgfw.efi)、核心 (ntoskrnl.exe)、核心驅動程式** 的數位簽章完整性與信任鏈。任一環節驗證失敗 (未簽名、簽名無效、遭竄改) → 拒絕載入、進入復原模式。
- **需求**：硬體需支援 UEFI 2.3.1+、啟用 Secure Boot；作業系統、開機載入器、驅動程式均須持有 Microsoft 交叉簽名 (Cross-signed) 或 WHQL/WHCP 憑證簽章。
- **可關閉**：企業/開發者可在 BIOS 關閉 Secure Boot 載入自簽驅動，但犧牲開機鏈完整性驗證，生產環境不建議。
其他安全強化項目
- 64 位元專屬：Server 版本純 64 位元，客戶端版本同步推廣 64 位元，利用 x64 硬體強制執行保護 (DEP/NX)、位址空間配置隨機化 (ASLR) 等記憶體防護機制。
- 休眠/喚醒/系統 API 調整：優化電源轉換路徑，減少攻擊面。
- DFSR 引擎重寫：提升分散式檔案同步可靠性與安全性，支援雲端儲存節點。
- Windows Azure 整合：Server 版本預期內建雲端運算管理角色，構建私有/混合雲基礎設施。
對使用者的啟示
- **裝置驅動程式務必從廠商官網下載最新 WHQL 認證版本**，避免 Secure Boot/PatchGuard 攔截導致藍屏或功能異常。
- **保持 Windows Update 自動更新**，及時修補核心漏洞 (PatchGuard 保護的正是這些漏洞被利用的路徑)。
- **企業部署時規劃 UEFI Secure Boot 金鑰管理** (MOK、DB/DBX 更新)，確保自有核心驅動/開機載入器可通過驗證。
Windows 8 以 **PatchGuard 守護核心執行期完整性**、**Secure Boot 守護開機載入鏈信任鏈**，構建從韌體到核心的纵深防禦，讓駭客與病毒無處遁形，安全性邁上新台階！
