拒病毒于千里外 详解微软UAC保护功能

爱国者

病毒就跟地球的年龄一样古老，而计算机病毒做为一个新的存在形式却也给生活带来了很大的影响，微软公司做为最大的桌面操作系统厂商一直在研究如何保护好自己，因为其自身才是最大的受害者。
    在长久的系统更新当中微软加入了数个安全措施，我们最先见到的就是Windows防火墙，不过其因为让人反感的操作已经被更为智能的防火墙所取代，而随着Windows Vista发布微软也第一次加入了新功能“User Account Control”。

微软UAC保护功能详解

    一说到病毒史就不能不提到微软和黑帽子大会，每一款Windows系统公布之前都会邀请大量黑客寻找漏洞，这也成为了行业中的常见事儿，Google和其它科技厂商也会用这种方法来弥补自身不足。而黑帽子大会对于黑客来说是一项盛典，因为每年黑客高手都会相聚于此并相互切磋技艺，而它们还会公布一些软件的漏洞，比如“Windows”。

   Acer宏碁为成为奥运会的全球合作伙伴深感自豪，希望与全世界热爱体育与和平的人们共享奥运盛事！2012伦敦奥运会现场将有2.5万台Acer宏碁的运算设备保障奥运会IT系统精确运作，超过300名高级技术人员提供现场服务。Acer宏碁全力支持2012伦敦奥运会成功举办。

    Acer宏碁公司成立于1976年，以打破人与科技的藩篱为使命；目前，Acer宏碁是全球第二大个人电脑及笔记本电脑品牌。有利于共同获利且可持久运行的“渠道业务模式”是Acer宏碁公司持续发展的  基石，而多品牌行销策略则有效地，在全球市场整合Acer宏碁、Gateway、Parkard Bell、eMachines及方正电脑等五个品牌。

爱国者

微软安全软件Microsoft Security Essentials（以下简称MSE）是一款免费的杀毒软件，这款杀毒软件在上市之时就受到许多用户好评，而它的特点是占用资源小、安装迅速，有网友曾经评还有谁能比微软更了解自己的系统呢？

MSE更新

MSE设置选项

    MSE在安装完毕之后会联网更新病毒库，而它的保护功能也非常齐全，网络与本地运行的文件都能够监控，并且还附带白名单功能。

测试病毒列表

MSE杀毒软件扫描界面

    为了测试MSE杀毒软件的检测率笔者准备了40个比较新的病毒文件，这40个病毒主要来源于互联网，测试平台为Windows Xp。

    通过扫描得知，40个病毒文件中有28个被检测到其中有12个漏报检测率为70%，从检测率上来说中规中矩，不过MSE做为一款免费软件能得到这个成绩已经非常难得。

杀毒软件常遇问题解答：

    1、杀毒软件越多越好

    答：这个答案在一般情况下绝对是错误的，杀毒软件因为其本身功能问题所以同时开启多款有可能会造成死机蓝屏现象，举个例子，一个人在冬天穿一件骗子发的贴 骗子发的贴 骗子发的贴 骗子发的贴 骗子发的贴就可以保暖了，而穿的过多只会让人更热而已，所以任何东西适度就好，杀毒软件安装一款足以。

    2、什么杀毒软件好

    答：一款杀毒软件的好坏需从多方面考虑，如：杀毒效率、资源占用率、病毒库更新情况、病毒举报处理情况等，适合笔记本的杀毒软件如常见的NOD32、AVAST、MSE、AntiVir都可以考虑。

    3、我该装防火墙吗？

答：防火墙的作用主要是弥补系统漏洞，如果系统拥有最新补丁的情况下个人觉得一般用户没必要安装防火墙，一般用户指的是个人用户，毕竟没有哪一个黑客会冒着被抓的危险攻击个人电脑。

爱国者

在了解UAC之前我们先看看HIPS，HIPS是一个新的理论，而它真正登上用户计算机也不过几年之久，HIPS的中文意思翻译为“主动防御”，关于“主动防御”笔者在后面会给大家提到由来，而这项技术在许多杀毒软件上都能见到如：卡巴斯基、微点。

新病毒与杀毒软件关系图

    众所周知，一个病毒的诞生永远会在病毒库更新之前，而杀毒软件之所以有查杀率一说跟“杀毒软件引擎”和“病毒库”有很大关系，这里我们先抛弃引擎只说病毒库，顾名思义病毒库就是杀毒软件所识别的病毒数量，而世界上最大病毒库的拥有者是“BitDefender”，病毒库数量将近10万，前面已经说过新病毒的产生永远是在病毒库更新之前，那么如何来防范这些新的病毒呢？HIPS主动防御功能就此诞生了。   
    关于微软UAC功能许多人都非常熟悉，最直接的就是在不关闭的情况下它会日复一日的提醒用户程序的更改与安装，初期这项功能在Windows Vista中被微软加入，而在帮助用户的同时也造到了大部分用户的抗议，因为它实在是太烦人了！   
    微软UAC功能的中文意思为用户帐户控制，不过又有多少用户真正了解过它呢？前面提到的HIPS功能貌似是计算机安全领域的一个新突破点，而这项功能最原始的部分早已被微软加入到了Windows操作系统当中，它的真身就是微软UAC。

微软UAC功能详细解释

    微软UAC分为4个级别，系统安装完成时为“默认”状态，而就今天而言更多的用户则选择了关闭，在此之前我们不妨先了解一下这4个级别具体内容。  
   UAC在Windows Vista当中被首次加入，而正是在此时微软强调了“权限”的重要性，“权限”这个词汇在Windows系统中最直接的表现形式就是管理员与用户，管理员拥有最高权限，可执行一切操作，而用户则只能执行部分操作。
    而微软加入UAC的目的也正是如此，众所周知一个病毒想真正做到危害用户就必须会加载到操作系统中，也就是系统盘，而在前面已经提过如果将UAC开启到最高那么它将会对整个操作系统做监控，意思也就是说不论你删除或者更改又或者安装程序UAC都将会通过知用户并由用户做判断，这简单的一步就是HIPS主动防御技术的核心：在发现危险之前通知用户。
    对于权限来说举几个比较常见的例子，在Windows 7右键中加入了“使用管理员运行”的功能，而有些游戏则需要用到它，原因？很简单，因为程序在运行时调用系统文件，如果想使用这些文件就必须要取得“管理员权限”，所以这也就是解释了为什么有的游戏安装出错的问题。

UAC运行步骤及功效

    据悉，UAC会监控大部分的系统盘，例如：Program Files、Windows文件夹，试想一下如果病毒无法跟随系统启动并感染系统那它的危害程度还会有多少呢？除非你去冒险双击它而已，而这时候病毒必然会加载相应进程和系统文件，但UAC依然会将更改结果告知用户供用户判断。

用户数据重定向示意图(此图来源于微软)

     那么如果我没有在管理员用户下登陆会不会增加系统的安全性呢？答案是肯定的，而这也就牵扯到了UAC虚拟化里的功能数据重定向，数据重定向的意思为如果此时运行的程序没有相应权限，这个程序就会指向该用户指具备权限的文件夹中进行安装，当然也有可能导致安装失败，而当病毒感染系统时UAC会提示，如果用户允许运行，病毒不能够对操作系统文件进行修改，原因就在于当前用户权限不够，这也就从另一方面保护了操作系统。

爱国者

说了那么多，微软UAC功能到底能给系统带来什么改变，笔者也做了一些测试，在测试中我们使用了大名鼎鼎“熊猫烧香”，关于这款病毒笔者就不在这里做赘述了，测试环境为Windows Xp SP3和Windows 7旗舰版。

Xp系统进程管理器

    Windows Xp没有UAC权限管理器，所以在运行病毒之后就出现了名为“spo01sv.exe”的进程，此进程为熊猫烧香专属进程。

Windows 7系统进程管理器

Windows 7用户账户控制设置

    在测试中我们使用Guest账户，此账号无法得到足够权限，所以病毒在运行时如果修改系统文件UAC则会通知当前用户，如果我们拒绝则此病毒就无法运行，此功能对于许多流氓软有特效，而在测试中我们也没有发现“熊猫烧香”的专属进程。

    虽然在测试中UAC功能表现令人惊艳，但它却有致命缺点，此功能需要用户做人为判断，也就是说最终结果由用户决定，而用户如果不能够识别威胁的话这个功能也就没有任何用处了，毕竟不可能每个人都是专家。

总结：

　　本篇文章主要讲的是微软UAC控制，因为这个功能实在太容易被用户忽略了，MSE+UAC+微软防火墙都是微软主打的安全功能，这三种功能结合能够给计算机提供完美的保护，不过真正的百毒不侵还需要用户自己养成良好的上网习惯。而对于新用户来说笔者还是推荐使用杀毒软件，因为它们更方便、更简单。