Windows 10操作系統(tǒng)比起以往操作系統(tǒng)，具有一項(xiàng)非常有特色的免受惡意軟件攻擊的安全措施，這項(xiàng)措施在系統(tǒng)啟動(dòng)的時(shí)候就已經(jīng)啟用，并且保護(hù)用戶不受惡意軟件（應(yīng)用商店中的）的侵?jǐn)_。甚至這項(xiàng)安全措施缺少訪問(wèn)用戶數(shù)據(jù)或更改系統(tǒng)設(shè)置所需要的權(quán)限來(lái)保護(hù)用戶計(jì)算機(jī)的安全。

Windows 10 對(duì)桌面應(yīng)用程序和數(shù)據(jù)也有多個(gè)層級(jí)的保護(hù)，例如：

1、Windows Defender使用簽名來(lái)檢測(cè)和隔離已知的惡意應(yīng)用程序。

2、SmartScreen 篩選器會(huì)在運(yùn)行不可信賴(lài)的應(yīng)用程序之前對(duì)用戶進(jìn)行警告。

3、用戶帳戶控制（UAC）可以在應(yīng)用程序更改系統(tǒng)設(shè)置之前提醒用戶授予應(yīng)用程序管理權(quán)限。

或許以上功能是 Windows 10保護(hù)用戶免受惡意軟件侵?jǐn)_的一些方法，但這些安全特性都僅在 Windows 10啟動(dòng)后才能保護(hù)個(gè)人計(jì)算機(jī)。但一些先進(jìn)的惡意軟件和特殊的 bootkits 程序卻能夠在 Windows 啟動(dòng)之前就扎根系統(tǒng)中，并一次饒過(guò)系統(tǒng)安全機(jī)制。

而我們本文中所講的Trusted Boot功能就可以防止這項(xiàng)侵害的發(fā)生，當(dāng)用戶在 UEFI（統(tǒng)一可擴(kuò)展固件接口）設(shè)備上運(yùn)行 Windows 10 系統(tǒng)時(shí)，Trusted Boot（受信啟動(dòng)）功能會(huì)在打開(kāi)電腦之前保護(hù) PC 免受惡意軟件侵害，直到反惡意軟件啟動(dòng)為止。Trusted Boot 能夠用讓惡意軟件無(wú)法偽裝的方式來(lái)向 PC 的基礎(chǔ)結(jié)構(gòu)證明操作系統(tǒng)的完整性，即便在沒(méi)有 UEFI 的 PC 上，Windows 10 也可以比以前的 Windows 提供更好的啟動(dòng)安全性。

Rootkit是什么？

Rootkit 是一種復(fù)雜而危險(xiǎn)的惡意軟件，它們使用與操作系統(tǒng)相同的權(quán)限，以內(nèi)核模式運(yùn)行。由于 Rootkit 與操作系統(tǒng)具有相同的權(quán)限并在系統(tǒng)前啟動(dòng)，因此它們可以完全隱藏自身和其它應(yīng)用程序。通常情況下，Rootkit 是整套惡意軟件的一部分，可以繞過(guò)本地登錄、記錄密碼和按鍵、傳輸用戶私有文件和捕獲加密數(shù)據(jù)。

不同類(lèi)型的 Rootkit 會(huì)在 PC 啟動(dòng)過(guò)程的不同階段加載：

1、Firmware Rootkit 會(huì)覆蓋 PC 的基本輸入/輸出系統(tǒng)或其他硬件的固件，以便 Rootkit 能夠在 Windows 之前啟動(dòng)。

2、Bootkit 可以取代操作系統(tǒng)的引導(dǎo)加載程序，以便 PC 在操作系統(tǒng)之前加載bootkit。

3、Kernel Rootkit 可以替換操作系統(tǒng)內(nèi)核的一部分，以便 Rootkit 可以在操作系統(tǒng)加載時(shí)自動(dòng)啟動(dòng)。

4、Driver Rootkit 會(huì)偽裝是 Windows 用來(lái)與 PC 硬件進(jìn)行通信的值得信賴(lài)的驅(qū)動(dòng)程序之一。

Win10系統(tǒng)啟動(dòng)項(xiàng)安全引導(dǎo)策略：

為了保護(hù)操作系統(tǒng)能夠安全啟動(dòng)，Windows 10 引入了 4 大安全特性，以防止在啟動(dòng)過(guò)程中加載 Rootkit 和 bootkit：

1、Secure Boot（安全啟動(dòng)）：具有 UEFI 固件和TPM（可信平臺(tái)模塊）芯片的 PC 可以配置為只加載受信任的 bootloader（操作系統(tǒng)引導(dǎo)加載程序）。

2、Trusted Boot（受信啟動(dòng)）：Windows 10 會(huì)檢查啟動(dòng)過(guò)程中每個(gè)組件的完整性，然后才會(huì)加載它。

3、早期啟動(dòng)反惡意軟件（ELAM）：ELAM 會(huì)在測(cè)試所有驅(qū)動(dòng)程序后才加載，并能夠阻止未經(jīng)批準(zhǔn)的驅(qū)動(dòng)程序加載。

4、Measured Boot（測(cè)量啟動(dòng)）：PC 的固件會(huì)記錄啟動(dòng)過(guò)程，Windows 10 可以將其發(fā)送到可以客觀評(píng)估 PC 健康狀況的受信任服務(wù)器。

Win10系統(tǒng)啟動(dòng)過(guò)程中 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 各自能夠應(yīng)對(duì)哪些安全威脅？

Secure Boot 和 Measured Boot 在具有 UEFI 2.3.1 和 TPM 芯片的 PC 上可用。幸運(yùn)的是，符合 Windows 硬件兼容性計(jì)劃（WHL）要求的所有 Windows 10 PC 都具有這些組件，而且許多專(zhuān)門(mén)為早期版本 Windows 設(shè)計(jì)的 PC 也具有這些功能。

下面分別為大家介紹 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 功能。

Secure Boot（安全啟動(dòng)）

當(dāng) Windows PC 加電啟動(dòng)時(shí)，會(huì)首先找到操作系統(tǒng)引導(dǎo)加載程序。無(wú) Secure Boot 功能的 PC 會(huì)直接引導(dǎo)硬盤(pán)中的任何引導(dǎo)加載程序，PC 無(wú)法知道它是一個(gè)值得信賴(lài)的操作系統(tǒng)還是 Rootkit。

當(dāng)裝有 UEFI 的 PC 啟動(dòng)時(shí)，PC 會(huì)首先驗(yàn)證固件是否經(jīng)過(guò)數(shù)字簽名，從而降低 Firmware Rootkit 的風(fēng)險(xiǎn)。如果啟用 Secure Boot，固件將檢查引導(dǎo)加載程序的數(shù)字簽名并驗(yàn)證其是否被篡改過(guò)。如果引導(dǎo)加載程序完整無(wú)誤，而且滿足以下條件之一，固件才會(huì)啟動(dòng)引導(dǎo)程序：

1、引導(dǎo)程序使用受信任的證書(shū)進(jìn)行了簽名。對(duì)于經(jīng)過(guò) Windows 10 認(rèn)證的 PC， Microsoft® 證書(shū)是可信的。

2、用戶手動(dòng)批準(zhǔn)了引導(dǎo)加載程序的數(shù)字簽名。這允許用戶加載非 Microsoft 操作系統(tǒng)。

Trusted Boot（受信啟動(dòng)）

此引導(dǎo)加載程序會(huì)使用虛擬可信平臺(tái)模塊（VTPM）來(lái)驗(yàn)證 Windows 10 內(nèi)核的數(shù)字簽名后再加載它，然后驗(yàn)證 Windows 啟動(dòng)過(guò)程的其他組件，包括：引導(dǎo)驅(qū)動(dòng)程序、啟動(dòng)文件和 ELAM。

早期啟動(dòng)反惡意軟件（ELAM）

早期啟動(dòng)反惡意軟件（ELAM）可在啟動(dòng)時(shí)和第三方驅(qū)動(dòng)程序初始化之前為計(jì)算機(jī)提供保護(hù)。在 Secure Boot 成功管理保護(hù)引導(dǎo)加載程序并且 Trusted Boot 完成保護(hù) Windows 10 內(nèi)核的任務(wù)后，ELAM 的作用就會(huì)開(kāi)始，它會(huì)主動(dòng)關(guān)閉任何已知漏洞，以防惡意軟件啟動(dòng)或通過(guò)感染非 Microsoft 啟動(dòng)驅(qū)動(dòng)程序。此安全特性這有助于建立由 Secure Boot 和 Trusted Boot 提供的連續(xù)信任鏈。

Measured Boot（測(cè)量啟動(dòng)）

如果你組織中的 PC 機(jī)感染了 Rootkit，則需對(duì)其進(jìn)行分析了解。 企業(yè)防惡意軟件應(yīng)用程序可以向 IT 部門(mén)報(bào)告惡意軟件感染，但這并不適用于隱藏其存在的 Rootkit 。 換句話說(shuō)，管理員不能信任用戶來(lái)告訴你它是否健康。

因此，即便反惡意軟件正在運(yùn)行，感染 Rootkit 的 PC 看起來(lái)也似乎是健康的。如果受感染的 PC 繼續(xù)連接到企業(yè)網(wǎng)絡(luò)，就可以使 Rootkit 可以訪問(wèn)大量的機(jī)密數(shù)據(jù)，并可能允許 Rootkit 擴(kuò)展到內(nèi)部網(wǎng)絡(luò)。

而 Windows 10 中的 Measured Boot 允許網(wǎng)絡(luò)上的可信服務(wù)器來(lái)驗(yàn)證 Windows 啟動(dòng)過(guò)程的完整性。

以上內(nèi)容便是關(guān)于Windows 10系統(tǒng)啟動(dòng)項(xiàng)安全引導(dǎo)策略的一些介紹，如果用戶的計(jì)算機(jī)感染了Rootkit惡意程序，在使用Windows 10系統(tǒng)的時(shí)候基本不受其侵?jǐn)_。