Windows 10操作系統(tǒng)比起以往操作系統(tǒng)，具有一項(xiàng)非常有特色的免受惡意軟件攻擊的安全措施，這項(xiàng)措施在系統(tǒng)啟動的時(shí)候就已經(jīng)啟用，并且保護(hù)用戶不受惡意軟件（應(yīng)用商店中的）的侵?jǐn)_。甚至這項(xiàng)安全措施缺少訪問用戶數(shù)據(jù)或更改系統(tǒng)設(shè)置所需要的權(quán)限來保護(hù)用戶計(jì)算機(jī)的安全。

Windows 10 對桌面應(yīng)用程序和數(shù)據(jù)也有多個層級的保護(hù)，例如：

1、Windows Defender使用簽名來檢測和隔離已知的惡意應(yīng)用程序。

2、SmartScreen 篩選器會在運(yùn)行不可信賴的應(yīng)用程序之前對用戶進(jìn)行警告。

3、用戶帳戶控制（UAC）可以在應(yīng)用程序更改系統(tǒng)設(shè)置之前提醒用戶授予應(yīng)用程序管理權(quán)限。

或許以上功能是 Windows 10保護(hù)用戶免受惡意軟件侵?jǐn)_的一些方法，但這些安全特性都僅在 Windows 10啟動后才能保護(hù)個人計(jì)算機(jī)。但一些先進(jìn)的惡意軟件和特殊的 bootkits 程序卻能夠在 Windows 啟動之前就扎根系統(tǒng)中，并一次饒過系統(tǒng)安全機(jī)制。

而我們本文中所講的Trusted Boot功能就可以防止這項(xiàng)侵害的發(fā)生，當(dāng)用戶在 UEFI（統(tǒng)一可擴(kuò)展固件接口）設(shè)備上運(yùn)行 Windows 10 系統(tǒng)時(shí)，Trusted Boot（受信啟動）功能會在打開電腦之前保護(hù) PC 免受惡意軟件侵害，直到反惡意軟件啟動為止。Trusted Boot 能夠用讓惡意軟件無法偽裝的方式來向 PC 的基礎(chǔ)結(jié)構(gòu)證明操作系統(tǒng)的完整性，即便在沒有 UEFI 的 PC 上，Windows 10 也可以比以前的 Windows 提供更好的啟動安全性。

Rootkit是什么？

Rootkit 是一種復(fù)雜而危險(xiǎn)的惡意軟件，它們使用與操作系統(tǒng)相同的權(quán)限，以內(nèi)核模式運(yùn)行。由于 Rootkit 與操作系統(tǒng)具有相同的權(quán)限并在系統(tǒng)前啟動，因此它們可以完全隱藏自身和其它應(yīng)用程序。通常情況下，Rootkit 是整套惡意軟件的一部分，可以繞過本地登錄、記錄密碼和按鍵、傳輸用戶私有文件和捕獲加密數(shù)據(jù)。

不同類型的 Rootkit 會在 PC 啟動過程的不同階段加載：

1、Firmware Rootkit 會覆蓋 PC 的基本輸入/輸出系統(tǒng)或其他硬件的固件，以便 Rootkit 能夠在 Windows 之前啟動。

2、Bootkit 可以取代操作系統(tǒng)的引導(dǎo)加載程序，以便 PC 在操作系統(tǒng)之前加載bootkit。

3、Kernel Rootkit 可以替換操作系統(tǒng)內(nèi)核的一部分，以便 Rootkit 可以在操作系統(tǒng)加載時(shí)自動啟動。

4、Driver Rootkit 會偽裝是 Windows 用來與 PC 硬件進(jìn)行通信的值得信賴的驅(qū)動程序之一。

Win10系統(tǒng)啟動項(xiàng)安全引導(dǎo)策略：

為了保護(hù)操作系統(tǒng)能夠安全啟動，Windows 10 引入了 4 大安全特性，以防止在啟動過程中加載 Rootkit 和 bootkit：

1、Secure Boot（安全啟動）：具有 UEFI 固件和TPM（可信平臺模塊）芯片的 PC 可以配置為只加載受信任的 bootloader（操作系統(tǒng)引導(dǎo)加載程序）。

2、Trusted Boot（受信啟動）：Windows 10 會檢查啟動過程中每個組件的完整性，然后才會加載它。

3、早期啟動反惡意軟件（ELAM）：ELAM 會在測試所有驅(qū)動程序后才加載，并能夠阻止未經(jīng)批準(zhǔn)的驅(qū)動程序加載。

4、Measured Boot（測量啟動）：PC 的固件會記錄啟動過程，Windows 10 可以將其發(fā)送到可以客觀評估 PC 健康狀況的受信任服務(wù)器。

Win10系統(tǒng)啟動過程中 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 各自能夠應(yīng)對哪些安全威脅？

Secure Boot 和 Measured Boot 在具有 UEFI 2.3.1 和 TPM 芯片的 PC 上可用。幸運(yùn)的是，符合 Windows 硬件兼容性計(jì)劃（WHL）要求的所有 Windows 10 PC 都具有這些組件，而且許多專門為早期版本 Windows 設(shè)計(jì)的 PC 也具有這些功能。

下面分別為大家介紹 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 功能。

Secure Boot（安全啟動）

當(dāng) Windows PC 加電啟動時(shí)，會首先找到操作系統(tǒng)引導(dǎo)加載程序。無 Secure Boot 功能的 PC 會直接引導(dǎo)硬盤中的任何引導(dǎo)加載程序，PC 無法知道它是一個值得信賴的操作系統(tǒng)還是 Rootkit。

當(dāng)裝有 UEFI 的 PC 啟動時(shí)，PC 會首先驗(yàn)證固件是否經(jīng)過數(shù)字簽名，從而降低 Firmware Rootkit 的風(fēng)險(xiǎn)。如果啟用 Secure Boot，固件將檢查引導(dǎo)加載程序的數(shù)字簽名并驗(yàn)證其是否被篡改過。如果引導(dǎo)加載程序完整無誤，而且滿足以下條件之一，固件才會啟動引導(dǎo)程序：

1、引導(dǎo)程序使用受信任的證書進(jìn)行了簽名。對于經(jīng)過 Windows 10 認(rèn)證的 PC， Microsoft® 證書是可信的。

2、用戶手動批準(zhǔn)了引導(dǎo)加載程序的數(shù)字簽名。這允許用戶加載非 Microsoft 操作系統(tǒng)。

Trusted Boot（受信啟動）

此引導(dǎo)加載程序會使用虛擬可信平臺模塊（VTPM）來驗(yàn)證 Windows 10 內(nèi)核的數(shù)字簽名后再加載它，然后驗(yàn)證 Windows 啟動過程的其他組件，包括：引導(dǎo)驅(qū)動程序、啟動文件和 ELAM。

早期啟動反惡意軟件（ELAM）

早期啟動反惡意軟件（ELAM）可在啟動時(shí)和第三方驅(qū)動程序初始化之前為計(jì)算機(jī)提供保護(hù)。在 Secure Boot 成功管理保護(hù)引導(dǎo)加載程序并且 Trusted Boot 完成保護(hù) Windows 10 內(nèi)核的任務(wù)后，ELAM 的作用就會開始，它會主動關(guān)閉任何已知漏洞，以防惡意軟件啟動或通過感染非 Microsoft 啟動驅(qū)動程序。此安全特性這有助于建立由 Secure Boot 和 Trusted Boot 提供的連續(xù)信任鏈。

Measured Boot（測量啟動）

如果你組織中的 PC 機(jī)感染了 Rootkit，則需對其進(jìn)行分析了解。 企業(yè)防惡意軟件應(yīng)用程序可以向 IT 部門報(bào)告惡意軟件感染，但這并不適用于隱藏其存在的 Rootkit 。 換句話說，管理員不能信任用戶來告訴你它是否健康。

因此，即便反惡意軟件正在運(yùn)行，感染 Rootkit 的 PC 看起來也似乎是健康的。如果受感染的 PC 繼續(xù)連接到企業(yè)網(wǎng)絡(luò)，就可以使 Rootkit 可以訪問大量的機(jī)密數(shù)據(jù)，并可能允許 Rootkit 擴(kuò)展到內(nèi)部網(wǎng)絡(luò)。

而 Windows 10 中的 Measured Boot 允許網(wǎng)絡(luò)上的可信服務(wù)器來驗(yàn)證 Windows 啟動過程的完整性。

以上內(nèi)容便是關(guān)于Windows 10系統(tǒng)啟動項(xiàng)安全引導(dǎo)策略的一些介紹，如果用戶的計(jì)算機(jī)感染了Rootkit惡意程序，在使用Windows 10系統(tǒng)的時(shí)候基本不受其侵?jǐn)_。