Windows 10操作系統(tǒng)比起以往操作系統(tǒng)，具有一項非常有特色的免受惡意軟件攻擊的安全措施，這項措施在系統(tǒng)啟動的時候就已經(jīng)啟用，并且保護用戶不受惡意軟件（應(yīng)用商店中的）的侵擾。甚至這項安全措施缺少訪問用戶數(shù)據(jù)或更改系統(tǒng)設(shè)置所需要的權(quán)限來保護用戶計算機的安全。

Windows 10 對桌面應(yīng)用程序和數(shù)據(jù)也有多個層級的保護，例如：

1、Windows Defender使用簽名來檢測和隔離已知的惡意應(yīng)用程序。

2、SmartScreen 篩選器會在運行不可信賴的應(yīng)用程序之前對用戶進行警告。

3、用戶帳戶控制（UAC）可以在應(yīng)用程序更改系統(tǒng)設(shè)置之前提醒用戶授予應(yīng)用程序管理權(quán)限。

或許以上功能是 Windows 10保護用戶免受惡意軟件侵擾的一些方法，但這些安全特性都僅在 Windows 10啟動后才能保護個人計算機。但一些先進的惡意軟件和特殊的 bootkits 程序卻能夠在 Windows 啟動之前就扎根系統(tǒng)中，并一次饒過系統(tǒng)安全機制。

而我們本文中所講的Trusted Boot功能就可以防止這項侵害的發(fā)生，當用戶在 UEFI（統(tǒng)一可擴展固件接口）設(shè)備上運行 Windows 10 系統(tǒng)時，Trusted Boot（受信啟動）功能會在打開電腦之前保護 PC 免受惡意軟件侵害，直到反惡意軟件啟動為止。Trusted Boot 能夠用讓惡意軟件無法偽裝的方式來向 PC 的基礎(chǔ)結(jié)構(gòu)證明操作系統(tǒng)的完整性，即便在沒有 UEFI 的 PC 上，Windows 10 也可以比以前的 Windows 提供更好的啟動安全性。

Rootkit是什么？

Rootkit 是一種復雜而危險的惡意軟件，它們使用與操作系統(tǒng)相同的權(quán)限，以內(nèi)核模式運行。由于 Rootkit 與操作系統(tǒng)具有相同的權(quán)限并在系統(tǒng)前啟動，因此它們可以完全隱藏自身和其它應(yīng)用程序。通常情況下，Rootkit 是整套惡意軟件的一部分，可以繞過本地登錄、記錄密碼和按鍵、傳輸用戶私有文件和捕獲加密數(shù)據(jù)。

不同類型的 Rootkit 會在 PC 啟動過程的不同階段加載：

1、Firmware Rootkit 會覆蓋 PC 的基本輸入/輸出系統(tǒng)或其他硬件的固件，以便 Rootkit 能夠在 Windows 之前啟動。

2、Bootkit 可以取代操作系統(tǒng)的引導加載程序，以便 PC 在操作系統(tǒng)之前加載bootkit。

3、Kernel Rootkit 可以替換操作系統(tǒng)內(nèi)核的一部分，以便 Rootkit 可以在操作系統(tǒng)加載時自動啟動。

4、Driver Rootkit 會偽裝是 Windows 用來與 PC 硬件進行通信的值得信賴的驅(qū)動程序之一。

Win10系統(tǒng)啟動項安全引導策略：

為了保護操作系統(tǒng)能夠安全啟動，Windows 10 引入了 4 大安全特性，以防止在啟動過程中加載 Rootkit 和 bootkit：

1、Secure Boot（安全啟動）：具有 UEFI 固件和TPM（可信平臺模塊）芯片的 PC 可以配置為只加載受信任的 bootloader（操作系統(tǒng)引導加載程序）。

2、Trusted Boot（受信啟動）：Windows 10 會檢查啟動過程中每個組件的完整性，然后才會加載它。

3、早期啟動反惡意軟件（ELAM）：ELAM 會在測試所有驅(qū)動程序后才加載，并能夠阻止未經(jīng)批準的驅(qū)動程序加載。

4、Measured Boot（測量啟動）：PC 的固件會記錄啟動過程，Windows 10 可以將其發(fā)送到可以客觀評估 PC 健康狀況的受信任服務(wù)器。

Win10系統(tǒng)啟動過程中 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 各自能夠應(yīng)對哪些安全威脅？

Secure Boot 和 Measured Boot 在具有 UEFI 2.3.1 和 TPM 芯片的 PC 上可用。幸運的是，符合 Windows 硬件兼容性計劃（WHL）要求的所有 Windows 10 PC 都具有這些組件，而且許多專門為早期版本 Windows 設(shè)計的 PC 也具有這些功能。

下面分別為大家介紹 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 功能。

Secure Boot（安全啟動）

當 Windows PC 加電啟動時，會首先找到操作系統(tǒng)引導加載程序。無 Secure Boot 功能的 PC 會直接引導硬盤中的任何引導加載程序，PC 無法知道它是一個值得信賴的操作系統(tǒng)還是 Rootkit。

當裝有 UEFI 的 PC 啟動時，PC 會首先驗證固件是否經(jīng)過數(shù)字簽名，從而降低 Firmware Rootkit 的風險。如果啟用 Secure Boot，固件將檢查引導加載程序的數(shù)字簽名并驗證其是否被篡改過。如果引導加載程序完整無誤，而且滿足以下條件之一，固件才會啟動引導程序：

1、引導程序使用受信任的證書進行了簽名。對于經(jīng)過 Windows 10 認證的 PC， Microsoft® 證書是可信的。

2、用戶手動批準了引導加載程序的數(shù)字簽名。這允許用戶加載非 Microsoft 操作系統(tǒng)。

Trusted Boot（受信啟動）

此引導加載程序會使用虛擬可信平臺模塊（VTPM）來驗證 Windows 10 內(nèi)核的數(shù)字簽名后再加載它，然后驗證 Windows 啟動過程的其他組件，包括：引導驅(qū)動程序、啟動文件和 ELAM。

早期啟動反惡意軟件（ELAM）

早期啟動反惡意軟件（ELAM）可在啟動時和第三方驅(qū)動程序初始化之前為計算機提供保護。在 Secure Boot 成功管理保護引導加載程序并且 Trusted Boot 完成保護 Windows 10 內(nèi)核的任務(wù)后，ELAM 的作用就會開始，它會主動關(guān)閉任何已知漏洞，以防惡意軟件啟動或通過感染非 Microsoft 啟動驅(qū)動程序。此安全特性這有助于建立由 Secure Boot 和 Trusted Boot 提供的連續(xù)信任鏈。

Measured Boot（測量啟動）

如果你組織中的 PC 機感染了 Rootkit，則需對其進行分析了解。 企業(yè)防惡意軟件應(yīng)用程序可以向 IT 部門報告惡意軟件感染，但這并不適用于隱藏其存在的 Rootkit 。 換句話說，管理員不能信任用戶來告訴你它是否健康。

因此，即便反惡意軟件正在運行，感染 Rootkit 的 PC 看起來也似乎是健康的。如果受感染的 PC 繼續(xù)連接到企業(yè)網(wǎng)絡(luò)，就可以使 Rootkit 可以訪問大量的機密數(shù)據(jù)，并可能允許 Rootkit 擴展到內(nèi)部網(wǎng)絡(luò)。

而 Windows 10 中的 Measured Boot 允許網(wǎng)絡(luò)上的可信服務(wù)器來驗證 Windows 啟動過程的完整性。

以上內(nèi)容便是關(guān)于Windows 10系統(tǒng)啟動項安全引導策略的一些介紹，如果用戶的計算機感染了Rootkit惡意程序，在使用Windows 10系統(tǒng)的時候基本不受其侵擾。