在win7发布时，微软曾表示Win7是Windows操作系统有史以来开发出的最安全的版本。这没有什么大不了的，对不对？在过去的十五年里，微软对每个Windows版本都这么声称过。所有的安全都是相对的，我们只有做到足够好的预防，才能保证我的系统"相对安全"
如今，桌面操作系统已经和互联网紧密联系在一起。随着网络的发展，网络世界也成了黑客的乐园，形形色色的电脑病毒无时无刻在困扰我们，令人防不胜防。不少人抱怨自己的电脑娇气，抱怨杀毒软件无能。其实，要想让你的电脑把病毒拒之门外，使电脑更加安全也不是一件特别复杂的事。
技术门诊是51CTO社区品牌栏目，每周邀请一位客座专家，为广大技术网友解答疑问。从热门技术到前沿知识，从技术答疑到职业规划。每期一个主题，站在最新最热的技术前沿为你引航！
本期门诊中，我们邀请了网络安全专家梁林与我们一起讨论交流基于windows 7的桌面操作系统的安全管理。
专家介绍:
姓 名：梁林
擅长领域：网络安全
CISSP，CSSLP，MS MVP，5年信息安全从业经验，目前主要从事咨询和培训工作，方向为安全管理、网络安全和恶意软件防御，精通Windows底层及各种安全分析工具的使用、熟悉Linux平台，精通网络安全技术，有丰富的企业网络渗透测试及内网加固经验，精通各种恶意软件的内部体制，有丰富的恶意软件分析防御和反汇编经验，并撰有《自己动手搭建恶意软件样本行为分析环境 》一文。（CISSP：信息系统安全认证专家；CSSLP： 软件安全生命周期认证专家）
查看本期门诊精彩实录：http://doctor.51cto.com/develop-153.html
参与最新技术门诊：http://doctor.51cto.com/
精选本期网友提问与专家解答，以供网友学习参考。
Q：梁老师：您好！！
1、我是windows7旗舰版的普通用户，我现在使用的是破解版的，用了个什么OEM破解的方法，这个对操作系统安全性有影响吗？
2、还有，很多软件需要使用管理员身份运行，这是为什么？
3、PowerShell的那个工具与以前的命令提示符那个更加会被黑客利用？为什么再启动命令提示符时，它提示命令提示符已被停用，如何启用？谢谢！
A：1、 OEM破解的原理是使用程序模拟了品牌厂商机型的BIOS SLP字串（软破解），或直接将主板的BIOS刷成带SLP的品牌BIOS（硬破解），并结合OEM厂商的序列号和证书，使Win 7认为系统是OEM厂商提供的，从而激活Win 7。从原理上说，这种破解方式并不会影响Win 7本身的安全功能。但使用盗版系统本身是存在风险的，厂商可能会检测破解并禁用自动更新功能；破解程序本身也可能与恶意软件捆绑。
2、软件需要管理员身份运行，是因为软件需要修改系统的注册表、系统文件夹的权限。通常的应用程序安装是需要管理员身份的，但对vista/7支持较好的软件（运行不需要修改系统设置）则可以安装后直接在用户权限下执行。
3、Powershell可以看作是cmd增加了强大脚本功能的升级版，很难说和cmd相比哪个更易被黑客利用。我在Win 7 PowerShell下是可以用cmd命令启动cmd的，可能你遇到的情况是cmd本身就已经被禁用了。
Q：windows7系统自带的防火墙相对于XP具体有哪些方面的改进？
A：XP 的Windows防火墙，只是一款初级简单的防护墙，只能保护入站信息，同时拦截不是用户主动发起的入站连接软件，在XP SP2中才向管理员提供了组策略的配置形式。Vista中Windows防火墙有了较大的提升，它建立在windows过滤平台的基础上（WFP），并通过MMC的高级安全性进行细致配置。在Win 7上，windows防火墙更近一步，增加了对移动计算机的多重防火墙策略支持，配置的操作也更为简化。简而言之，从XP到Win 7，Windows 防火墙经历了从简陋到完善的过程，Microsoft也向用户开放了防火墙的更多底层控制，配置和使用也更为简便。
Q：您好！请问关闭用户帐户控制是不是更容易中病毒，网上说uac是安装软件时会提示，可是木马和病毒并不需要安装，那uac怎么提高安全性的呢？谢谢！
A：用户帐户控制UAC的设计原理，是要控制用户或应用程序对系统文件夹、注册表、关键文件的修改，其设计理念与这几年流行的HIPS，基于主机的入侵拦截系统相同。所以关闭UAC的话，应用程序对系统文件夹、注册表和关键文件的修改将不再受系统和用户控制，换句话说，虽然关闭UAC后用户的操作省事了很多，但是感染病毒等恶意软件、和应用程序冲突导致系统崩溃的风险也会高得多。因此，不建议关闭UAC，Win 7用户可以通过调整UAC敏感度的设置，减少UAC对用户操作的感染。
木马和病毒运行后需要拷贝自身到系统文件夹，修改注册表以执行自动启动，这点和软件安装的过程是相似的，因此UAC对需要拷贝自身并修改注册表的恶意软件有相当显著的防御作用，而并非一无是处。
Q：我想问粱老师windows7下的xp模式比咱们现在用的xp系统有哪些本质上的区别，是否可以理解为xp模式是一个虚拟镜像系统。
A：XPmode 就是原来的Hyper-V加一个XP home版的虚拟机，为了提升XPmode的效能，Microsoft强制XPmode只支持在Intel VT硬件虚拟技术的CPU上使用。因此，对不支持Intel VT技术的CPU用户来说，可使用第三方的虚拟化（如Vmware、Virtual box等）软件来实现。
Q：梁林先生,您好!我想咨询一下,WIN7的家庭共享安全性能怎么样?还有三个工作区的区别在哪里?如果想WIN 7 与XP共享能否使用家庭共享?磁盘加密U盘后在XP系统中能否保持加密状态?谢谢！
A：1、 Win 7家庭共享的安全性比Windows的之前版本有所提升，这点反映在Windows防火墙对3个区域的设置。这三个区域的区别在于：家庭网络允许用户加入HomeGroup，网络发现自动开启，网络内的机器可以互相看到，并交换各种资源及共享硬件；工作网络，网络发现默认开启，但无法创建和加入HomeGroup，可以加入企业内网的Windows域，加入域后防火墙按照域网络的模式运行；
公共网络模式下，网络发现关闭，网络中的其他系统看不到用户的机器，用户也不能创建和加入HomeGroup。
2、如果想Win7和XP共享资源，可以用家庭网络，但可能需要对共享文件的权限和系统帐户口令进行修改。
3、Win 7下提供了Bitlocker to GO来完成移动储存设备的加密功能，加密后的U盘可以在Vista和XP中读（注意，不能写），如果你需要读写功能的话，建议使用开源的 TrueCrypt。Bitlocker to GO更大的好处，其实在于它在企业环境下可以统一管理加密密钥。
Q：梁老师你好，windows7的安全防御怎样才能做好，我只是定期的更新，安装了Microsoft Security Essentials杀毒软件每天升级，windows7会不会还有后门隐患呢？
A：根据之前国外一些第三方网站的测评，MSE的效能与现有的其他免费杀毒软件差不多，长处在流行恶意软件和Rootkit的检测，但MSE在网页脚本检查等方面比较弱。在很少安装新软件，平时也就是日常使用的情况下，你现在的系统已经算比较安全了；如果你不放心MSE对新病毒的检测速度，可以考虑试试AVG、小红伞等第三方的免费杀毒软件。
#p#
Q：梁老师您好：请问一下，局域网内IP欺骗主要是由于什么东西引发的，IP欺骗用到的IP基本上是当时没有用到的机子，或都根本没有用过的IP地址，有的机子上装了防火墙、杀毒软件最新版看起来为什么还是源IP欺骗的主机IP呢，在windows环境下如何能减少这种问题？
A：你说的IP欺骗是因为局域网内存在ARP病毒（这类病毒的主要目标是针对其他系统盗号和种植恶意软件），解决的办法还是用最新的杀毒软件彻底清理局域网内的每一台机器，如果网络环境变化不大，很少有新增系统，可以直接在路由器交换机上配置静态ARP，就能够对ARP欺骗攻击免疫了。
Q：梁老师：您好！我想请教您一下，XP的很多软件在Win 7中用不了，那么是不是很多XP的病毒在WIN7中也运行不了呢？谢谢！
A：哈，这个问题问得好。从Windows Vista开始，Microsoft在系统中加入了UAC，对应用程序修改系统设置的行为进行了限制，UAC在Windows Vista SP2和Win 7中有了进一步的发展。这也是为何不少XP程序在Win Vista和7中存在兼容性问题（无法修改注册表或系统文件夹）。你说的XP病毒在Win 7中运行不了也不是绝对的，准确的说，是大多数XP病毒能够在Win 7上运行，但不能感染Win 7系统（因为UAC的存在，病毒不能将自身拷贝到系统文件夹，同时修改注册表启动项），但目前最新的一些恶意软件，已可以以用户模式执行，执行后窃取用户的文件或进行其他工具，直到用户下一次重启使其失效为止。建议Win 7用户最好还是安装一个支持Win 7的杀毒软件。
Q：你好，梁老师。我个人还是感觉xp好，用这也习惯了。尝试着用过windows Vista 和windows7 ，感觉系统反应总是很慢，安装软件等操作很麻烦，不好用。 windows7的安全性比xp好在哪呢？
A：作为一个10年前的系统，XP比Win Vista和7运行的系统资源肯定要少得多，所以在较老的机器上，自然是XP的速度有明显的优势。至于安装软件麻烦，或者像上面的朋友问到的兼容性问题，也是因为Win 7对用户权限进行过增强（UAC）带来的问题。毕竟安全和便捷之间是很难两者兼得的。在Linux及Unix类系统上也会相同的问题，只有Root（在 win上是管理员）才能安装软件，一般用户是没法自己修改系统设置的，当然*nix用作桌面的场景在大范围来看毕竟是少数，即使有也是对*nix较熟悉的用户在用，所以安装软件麻烦这个问题在*nix领域并不突出。
Microsoft将UAC引入Win，也算是在桌面应用中增加高级安全性的有益改进，就我自己的使用感觉而言，Vista和7增加UAC，以及防溢出（DEP、ASLR）之后，因为漏洞、恶意软件带来的问题少了很多，处理系统崩溃的次数也少了很多，这个优点不是用几个所谓多强的安全软件能带来的，毕竟机制的改进才是安全问题的根本解决办法。
Q：梁老师：您好！我请教您一个问题，我家是ADSL 2M接入的，然后通过路由器分配给A,B,C,D。4台电脑。按理说应该每台速度能达到50-60K可是为什么A的速度能达到120-130K，而其他三台则分别为20 20 30K。如果想要4台电脑平均分配网速，也就是都达到50-60K该怎么操作？
A：建议你换一个支持带宽管理的路由器。
Q：请问梁老师，win7系统的UAC和VISTA系统的UAC相比，有和区别？
A：Win 7和Vista 的UAC功能上的区别不大，但在用户体验上，Win 7的UAC增加了对应用程序控制的灵活性，同时降低了对用户操作的干扰程度。Win 7用户可以自行在控制面板，调整提示用户的频率。
Q：Windows 7 的兼容性好吗？如何解决程序兼容性问题？
A：Win 7的兼容性比Windows Vista提升了很多，运行大多数的老版本软件是没有问题的（尽管效能可能比xp有5%左右的下降），但Win 7的安全机制与XP有很大不同，为了系统稳定和安全考虑，建议你还是选择相同软件的较新版本。在Win 7下可以通过设置软件的兼容性（在程序上右键点击，选属性->兼容性->以兼容模式运行）来解决软件的兼容性问题。或者使用XPmode（只在Win 7旗舰版支持）或其他的第三方虚拟机软件（如Virtual Box、VMware等），安装一个XP来执行不兼容的软件，与在实体系统上相比，用虚拟机效能也不会有太大影响。
Q：一个机房有60台机器,做完XP系统后(系统进行了手工优化),使用华超2004版还原卡保护,使用正常.在用F8打开还原卡后,安装任何一个软件后再保护起来,过半个小时有一部分计算机就会出现六声报警音后自动重启。不知是什么原因，请高手帮忙，谢谢！
A：这个问题应该是还原卡驱动和xp冲突的问题，建议联系厂商解决
Q：最近windows 7 黑屏是什么原因，我用的的破解版的在网上下的是正版的呀，是不是安全低？谢谢！
A：请更详细的描述问题的起因和表现，谢谢
Q：梁老师您好！Windows7系统平台跟以前我们比较熟悉xp在注册表、组策略以及各种应用服务上有哪些不同？谢谢！
A：win 7和xp的注册表在结构上大同小异，都用于保存系统和应用软件信息及设置，大多数项的设置和功能也基本相同。组策略也是如此，只是win7的组策略可设置的项更多，管理也更细致。应用服务的情况有所不同，与xp相比，win7在应用服务权限、功能上较大的变化，增加了不少与安全、网络连接及管理有关的服务。
Q：梁老师：您好，我用的机器是Thinkpad T61，机器本身自带的是vista商用版操作系统，但是我习惯了使用XP，所以没有装预装的系统，但是W7发布后我想试试W7，毕竟微软明年就不在提供 XP的支持了，我想用同学的一个W7华硕OEM版，不知道我的机器能不能装他的W7系统。会不会不支持一些服务。
A：OEM版的Win 7和零售版本的对应版本在功能上并无区别，它们不同在于OEM可以直接通过机器BIOS SLP字串+OEM序列号+OEM证书直接激活，零售版则需要使用正版序列号激活。华硕的OEM版Win 7在TP上能够安装并试用，但不能激活。
Q：好像我现在接触的windows 7系统只是普通版、旗舰版等等，而且用户的权限没有达到Administrator，这样好像很不方便哦！
A：Win Vista和7的用户权限默认不是administrator，不是vista和7的缺陷，恰恰是microsoft对windows桌面安全的一个重要改进，你可参考上面对UAC的解答。
Q：现在我接触的一些品牌笔记本电脑中都自带有一个正版的vista系统，但客户都想要求升级为windows 7系统，你觉得用vista好还是windows 7好呢？
A：win 7是vista的升级版本，主要改进了用户体验和性能，同时新增了一些针对安全和移动d 功能。就我个人的使用感受而言，Win7的用户体验比vista好很多，但在企业网络环境下，win vista和7各有长处，在win 2k8 R2尚未大规模普及的情况下，Win 2k8+vista的应用要比Win 7单独使用更方便管理，这点也可从MS自己的软件保障SA里面都尚未上架Win 7看出一点端倪。
【编辑推荐】
