【專題】Window Vista安全漏洞 防毒公司做防範

記者／葉慧麗、陳慧綾、王雅亭、林珍妮、陳郁涵、黃威哲、莫榮歡、王秋 (2007/05/08 PM09:24)






　微軟新推出的Windows Vista定位為強化的安全性系統，正式於 2007年1月30日發行。然而關於安全性增強議題，真實性卻遠在測試版本供人下載前，便受到電腦社群不斷質疑。其實Windows Vista也擁有本身所設定的安全性功能，其中包括User Account Control（使用者帳號控制，即限制使用者的權限）、PatchGuard（專用於保護核心的系統）、Internet Explorer 7安全防護功能等。同時，防毒軟體也根據Windows Vista安全性議題，紛紛推出各種不同的防護措施。

　防毒軟體卡巴斯基總經理張義淵表示，Windows Vista中最革命性的安全性功能包括使用者帳號控制（User Account Control ）、Vista Kernel Protection（Vista核心防護）、PatchGuard、強制核心模式與驅動程式簽署及IE7安全防護功能。

◎Windows Vista安全性功能

　使用者帳號控制（User Account Control ）主要是限制使用者的權限，功能是根據3個原則作為標準。任何登入系統的使用者，包括系統管理員，將擁有最低權限，提供給「標準使用者」權限。這項權限與舊版Windows使用者相比，「標準使用者」帳號權限較廣。如果使用者或是由使用者啟動的應用程式，嘗試執行非「標準使用者」帳號權限，若使用者以「系統管理員」的身分登入，系統將要求使用者確認此動作。然而，非「標準使用者」權限包括應用程式及安裝驅動程式、在系統目錄中建立檔案、修改系統設定等。

　張義淵指出，由於很少病毒會攔截防火牆或其他關於可疑行為的安全性解決方案警告，所以這些惡意程式會「點擊」適當按鈕，導致安全性解決方案允許這些動作。然而，相關視窗會在畫面上快速閃過，令使用者沒有時間注意。Microsoft已藉由 Secure Desktop（安全桌面）形式，納入抵禦這些威脅的保護能力，並要求增加權限視窗，只接受使用者輸入的密碼，作為允許和確認這些動作。

　Vista核心（僅限64位元平台）擁有防修改保護功能。這證明了核心模式隱藏程序（rootkit）愈來愈普遍。核心模式隱藏程序是1種惡意程式，可修改核心資料並隱身在系統中，或修改公用程式集合，使惡意程式能夠藏身在其他程式中。另一方面，PatchGuard功能可監控服務表及修改核心描述元表。但是PatchGuard內主要弱點在於結構，確保防護程式碼執行層級，並保護和防禦程式碼的執行層級相同。這個防護所擁有的權限與潛在攻擊者相同，而且很容易逃避或停用。

　PatchGuard除了無法提供絕對防禦修改核心隱藏程序能力外，仍有其他類型隱藏程序，是這類型安全防護所無法防禦的。PatchGuard可監控具有已知內容（SST、IDT和GDT）的核心靜態結構，但它無法保護動態結構，即核心層級以外的所有項目。PatchGuard的根本弱點在於它的作用層級與所要保護之內容的層級相同。如果惡意程式成功載入其驅動程式，它便可以停用PatchGuard。然而，防止對核心進行修改，才是使合法軟體不能以修改核心為目標的有效方法。 這將對穩定性與系統的整體安全性具有正面的影響。

　Windows Vista 64位元平台核心安全性第2個元件，就是核心層級中任何模組或驅動程式的強制數位特徵碼。停用特徵碼檢查的已知方法目的在於簡化驅動程式開發及測試過程。停用特徵碼檢查已知方法有3種，其中包括連接系統偵錯工具、從不控制∕監控驅動程式的開機功能表中選擇模式 (包括修改boot.ini)、為安全性設定中的測試特徵碼啟用支援 提供建立測試特徵碼的公用程式。雖然停用特徵碼檢查可保護作業系統抵抗惡意程式碼，但卻不像開發廠商宣稱的那麼有效。

◎賽門鐵克對Windows Vista的防護措施

　隨著微軟消費端作業系統Vista公開發行，諾頓網路安全大師、諾頓防毒以及諾頓網路交易安全大師可與Vista相容。賽門鐵克提供SONAR「隨時保護」技術讓諾頓網路安全大師以及諾頓防毒，讓使用者擁有惡意軟體檢測能力。賽門鐵克公司宣佈諾頓網路安全大師以及諾頓防毒註冊用戶將可享有開創性的技術升級。沿用賽門鐵克所併購的WholeSecurity公司技術，賽門鐵克前瞻回應線上網絡(SONAR；Symantec Online Network for Advanced Responce)將提升惡意軟體的檢測能力。

　賽門鐵克消費性產品事業部副總裁Rowan Trollope指出，SONAR是1種行為偵測技術，可在建立病毒定義檔及間諜軟體偵測定義檔前，阻止惡意程式碼侵入。這些新興與未知的惡意程式碼會透過木馬程式、蠕蟲、大眾郵件病毒、間諜軟體或者下載軟體病毒的形式進行攻擊與破壞。當許多產品僅使用1組有限的啟發式法則時，SONAR可以透過廣泛與異質應用行為數據，大幅提升防護能力，將誤判率降至最低。對消費者而言，將可以不需透過繁瑣的確認提示，即能達到零時差防護效果。SONAR技術不需受用戶既有經驗限制，以及額外系統資源，就可保護消費者免除新興威脅影響。因此，當客戶使用SONAR進行防護時，不需要客戶進行交互作用。

另外，賽門鐵克也提供Symantec AntiVirus及Symantec AntiVirus Enterprise供Windows Vista使用者作為電腦網路防護措施。Symantec AntiVirus Corporate Edition 10.2 提供對病毒及間諜程式或廣告軟體自動防禦及回應，同時支援Microsoft Windows Vista系統。這個版本除了可提供各網路層級的惡意程式保護外，不僅容易整合部署，還新增針對Vista平台防毒及間諜程式用戶端的支援。擁有Symantec Client Security 3.1的Symantec AntiVirus Enterprise 版本，不僅提供企業工作站及網路伺服器的廣告軟體及防間諜程式產品，同時也針對單一主控平台上透過整合式防毒、防間諜程式、防火牆及入侵偵測技術主動提供用戶端保護，以避免複雜攻擊。Symantec AntiVirus Enterprise Edition 同時也針對Internet閘道、Domino及Exchange環境提供內容篩選及垃圾郵件過濾。

◎趨勢科技對Windows Vista的防護措施

　通過Windows Vista認證的網路安全服務業者，Trend Micro Internet Security 2007 (PC-cillin 2007)已取得Windows Vista認證，可同時支援Windows Vista、XP和2000等作業系統。新一代PC-cillin2007產品不但可偵測與移除病毒、蠕蟲、特洛伊木馬等程式，保護用戶電腦免受感染。並可封鎖與移除惡意間諜軟體、隱藏rootkit程式與廣告軟體，保護用戶個人隱私，同時提供最新更新程式自動下載，讓用戶依需求自行調配所需要的防護功能等級。

　趨勢科技提供TrendSecure是新一代線上安全服務，使用者可透過PC-cillin 2007主畫面使用這項服務，或直接至TrendSecure網站上進行操作，讓使用者在使用公共電腦上進行線上交易、購物前，可上網先掃除電腦裡的病毒、惡意程式。另外，間諜程式防護功能採最新間諜程式掃瞄引擎，不但可偵測並移除暗藏在電腦裡的間諜程式、廣告軟體、首頁綁架、Rookit 和Cookie等惡意程式，還可即時監控、阻擋入侵中的間諜程式和可疑軟體，避免個人隱私被竊，讓使用者可安心進行線上交易、購物和網路銀行等服務。

　趨勢科技的「無線上網與家庭網路管理」可嚴密監控並自動封鎖無線網路內的不明連線入侵用戶電腦。在相同網域內，還可讓用戶透過網路同時管理家裡其他成員的電腦，以進行更新和功能設定。而「網路釣魚詐騙防護功能」目的是避免用戶受到偽裝成金融機構假網站所詐騙，PC-cillin 2007創新智慧型網路詐騙偵測技術，能自動封鎖已知或未知的詐騙網站，防止銀行或信用卡帳號外流，保護個人重要資料。

◎Window Vista安全嗎？

　雖然Windows Vista比Microsoft舊版作業系統更安全，而設定為除了存取指定網站外，將所有權限加以封鎖的系統，當然可視為絕對安全。但大多數的使用者將發現無法接受有效消毒系統後，對於動作上造成的顯著限制，正如不斷要求確認，或對系統定義為「具有潛在危險」的動作輸入密碼。 然後就此而言，「幾乎完全安全」的系統變成了「更容易遭受攻擊」的系統。安全性建立在除了公開之外的任何原則上，一直是一體兩面的情況。圍繞著限制而建立的安全性將永遠具有負面影響；而限制本身可能會造成系統實際上無法使用。