Windows Vista 安全架構深度剖析：從 UAC 到 BitLocker 的全方位防護體系

核心理念：安全是架構基石，而非事後補丁

Vista 重寫了安全子系統，確立「最小權限原則」為核心：用戶默認標準權限，管理員操作需顯式提權；內核級防禦 (PatchGuard、驅動簽名強制) 切斷 Rootkit 生存空間；數據保護 (BitLocker) 解決移動設備丟失洩密。本文逐層拆解 Vista 安全新特性。

一、用戶帳戶控制 (UAC) — 特權邊界的「守門人」

機制：管理員雙 Token 模式 — 登錄時生成「標準用戶 Token」與「完整管理員 Token」；日常運行用前者，需提權時彈出「同意提示」 (管理員) 或「憑證提示」 (標準用戶) 喚醒後者。
實戰意義：
• 下載的木馬游戲無法靜默安裝驅動/修改系統目錄 (缺管理員 Token)
• 安裝酒店打印機驅動時，UAC 彈窗確認 — 用戶有機會識別異常行為
• 配合 IE7「受保護模式」 (低完整性級別進程)，徹底隔離網頁惡意代碼對系統寫入

二、反惡意軟件三層防線 — 防、檢、清一體化

• Windows Defender 內建：實時監控啟動項、Browser Helper Objects、服務註冊等關鍵點，定義更新通過 Windows Update 推送。
• 惡意軟件移除工具 (MSRT)：每月隨補丁發布，針對當月高發蠕蟲/木馬專殺。
• 安全中心整合：統一監控防火牆、自動更新、病毒軟件狀態，缺失即時警告。

成效：企業桌面支援呼叫量顯著下降，系統性能損耗極小。

三、BitLocker 驅動器加密 — 丟筆電不丟數據

全卷加密：系統分區、休眠文件、用戶數據、臨時文件**全部加密**，防止離線攻擊 (Linux Live CD 掛載、硬盤拆下外接)。
金鑰護衛：
• TPM 1.2 晶片封裝加密金鑰，驗證啟動完整性 (BIOS、MBR、BootMgr 未被篡改)
• 支援 USB 啟動金鑰、PIN 碼多因子認證
• 無 TPM 機器可用組策略允許「僅 USB 金鑰」模式
管理**：`manage-bde` 命令行 / 組策略 / WMI 腳本批量部署、恢復金鑰托管至 AD DS。

四、智能卡與可擴展認證架構 — 超越密碼

Vista 重寫了 Credential Provider 模型，開發者可輕松接入：
• 指紋/虹膜/人臉生物識別
• 一次性密碼 (OTP) 硬件 Token
• PKI 智能卡 (PIV/CAC 標準)
企業可構建「零信任」登錄體系，滿足合規要求。

五、網絡訪問保護 (NAP) — 不合規設備拒之門外

場景：員工攜筆電出差，接入酒店/咖啡廳 Wi-Fi 感染蠕蟲，返舊接入企業內網。
NAP 流程：
1. 客戶端 (SHA) 收集健康狀態 (補丁級別、防毒軟件版本/病毒庫日期、防火牆啟用狀態)
2. 發送 SoH (Statement of Health) 至策略服務器 (NPS)
3. NPS 對照健康策略：
✅ 合規 → 頒發無限制 IP/訪問權
❌ 不合規 → 導向受限網絡 (修復伺服器：WSUS、防毒更新點)
⚠️ 未知 → 隔離/拒絕
強制執行點：802.1X 認證交換機、VPN 伺服器、DHCP 伺服器、IPsec HRA。

六、雙向防火牆 — 組策略集中管控的出站/入站篩選

• **入站規則**：默認阻擋未經授權的未請求流量
• **出站規則**：可限制特定進程 (如 `calc.exe`) 訪問網絡，防止數據外洩/木馬回連
• **集中管理**：組策略下發規則集，支援「按用戶/組/應用程序/端口/IP」多維度匹配
• **IPsec 整合**：強制關鍵伺服器通訊加密並認證 (域隔離)

七、Windows 服務強化 — 入侵後的「艙壁」

• **服務 SID**：每個服務擁有唯一 SID，ACL 精確授權文件/注冊表/網絡訪問
• **最小權限運行**：服務僅獲完成功能所需的最小權限集
• **會話 0 隔離**：服務不再與用戶桌面交互，阻斷「碎片攻擊」
• **案例**：RPC 服務被利用時，無權替換系統文件、修改關鍵注冊表、發起出站連接，損害控制在單服務範圍內。

八、Internet Explorer 7 — 瀏覽器級防禦前哨

總結：Vista 安全模型的現代啟示

Vista 確立的「最小權限 + 纵深防禦 + 數據加密 + 健康准入」四大支柱，直接繼承至 Windows 7/8/10/11 並持續演進。理解 Vista 安全架構，有助於把握現代 Windows 企業級防護的邏輯主線。