26、Windows 10 安全与隐私管理全攻略

Windows 10 安全与隐私管理全攻略

1. 管理 PC 上的 BitLocker 加密

在 Windows 10 中，可以通过多种方式管理 BitLocker 加密。你可以在控制面板中找到主 BitLocker 面板，也可以在开始菜单或 Cortana 中搜索“BitLocker”来访问。在这里，你会看到每个已安装硬盘（以及分区卷）的可折叠面板。

展开某个驱动器的面板后，会出现一系列管理该驱动器 BitLocker 的选项：
- 对驱动器进行加密和重新加密。
- 创建恢复密钥的备份副本。
- 添加密码或智能卡以解锁驱动器。
- 激活或停用驱动器的自动解锁功能。
- 临时暂停保护。如果你在系统首次加密驱动器时需要进行密集的文件管理任务，这个功能会很有用。

注意 ：如果你要从桌面更新 PC 的 BIOS 或 UEFI 固件，应该暂停 BitLocker 保护。因为在某些固件上，BitLocker 会将其视为“新”硬件，下次重启时需要输入恢复密钥。

配置 BitLocker 非常方便，它就像一个“设置后无需过多关注”的系统。在 BitLocker 加密驱动器时，你可以继续正常工作，甚至关闭 PC 或让其进入睡眠状态。当你再次启动 PC 并登录账户时，BitLocker 会自动继续加密。

2. 管理 BitLocker 恢复密钥

使用 BitLocker 加密驱动器时，系统会提示你创建加密密钥的备份副本。与 EFS 不同的是，在完成备份之前，加密过程不会继续进行。

如果你使用 Microsoft 账户登录 PC，系统会提示你直接将恢复密钥副本保存到云端。这在你无法访问计算机时非常有用，只需在任何设备的浏览器中访问 https://onedrive.live.com/recoverykey 并登录，即可查看 48 位的解锁代码。

此外，还有其他保存恢复密钥的选项：
- 保存到 USB 闪存驱动器。不过，对于 Windows 10 系统驱动器，不会出现此选项，但你可以选择“保存到文件”，然后指向连接到 PC 的 USB 闪存驱动器。
- 保存为文件。
- 打印出来。

注意 ：不要将 BitLocker 恢复密钥的备份副本存储在通过设备加密或 BitLocker 加密的驱动器（或使用 EFS 加密的文件夹）上，因为如果驱动器被锁定，你将无法恢复密钥。如果你在旅行时携带包含恢复密钥的 USB 闪存驱动器，不要将其与笔记本电脑或平板电脑放在同一个包中，以防被盗。

3. 使用 BitLocker To Go

BitLocker To Go 是一个用于加密可移动驱动器（如 USB 闪存驱动器和外部硬盘）的工具。但请不要对包含 BitLocker 和 EFS 恢复密钥的驱动器进行加密，否则可能会带来麻烦。

你可以通过主 BitLocker 面板对可移动驱动器进行加密，这些驱动器会显示在 PC 硬盘和分区下方。与普通驱动器不同的是，可移动驱动器的解锁密钥不会存储在 TPM 中，这意味着你可以在没有 TPM 的 PC 上使用 BitLocker To Go。因为可移动驱动器本质上是可移动的，可以在任何 PC 上使用，所以加密可移动驱动器时，你只能选择设置密码或使用智能卡。而且，不能将使用 BitLocker To Go 加密的驱动器设置为自动解锁，否则就失去了加密的意义。

4. 增强可移动驱动器的安全性

在 Windows 10 Pro 或 Enterprise 中，有两个组策略选项可以显著增强系统的安全性：
- 阻止自动播放 ：在“计算机配置” -> “管理模板” -> “Windows 组件” -> “自动播放策略”中，你可以阻止 USB 和其他可移动媒体在插入 PC 时自动启动并打开文件和应用程序。这是恶意软件传播的常见方式，禁用自动播放可以大大提高安全性。
- 阻止可移动存储访问 ：在“计算机配置” -> “管理模板” -> “系统” -> “可移动存储访问”中，你可以完全阻止 PC 上的各种可移动存储设备，包括 USB 闪存驱动器、CD、DVD、蓝光光盘、软盘驱动器等。

下面是一个简单的流程图，展示了 BitLocker 加密及恢复密钥管理的主要流程：

graph TD;
    A[访问 BitLocker 面板] --> B[选择驱动器];
    B --> C{是否加密};
    C -- 是 --> D[创建恢复密钥备份];
    D --> E[选择备份方式];
    E --> F[加密驱动器];
    C -- 否 --> G[进行其他管理操作];
    F --> H[继续工作或关机];
    H --> I[重启后继续加密];

5. 认识恶意软件和病毒

如今，PC 感染恶意软件可能是最糟糕的情况之一。过去，病毒可能只是一些不太严重的程序，但现在，病毒和恶意软件的存在是为了给犯罪分子带来实际的经济利益。犯罪分子发现，与其抢劫银行或偷窃珠宝，通过感染计算机可以在家中轻松赚取更多的钱。

Windows 10 包含了一些优秀的安全系统：
- SmartScreen ：可以在从互联网下载文件时识别恶意文件。
- 用户账户控制 (UAC) ：可以帮助抵御试图以管理员身份安装或运行的软件。

然而，PC 安全的薄弱环节往往是用户。恶意软件会利用用户不仔细阅读屏幕提示就点击“确定”的习惯，以及大多数 PC 用户缺乏技术知识的特点进行攻击。

6. 恶意软件的传播途径

恶意软件在 PC 上的传播途径有很多：
- 互联网应用下载 ：可能是你真正需要的应用的仿冒版本，如一款新游戏或播放视频所需的编解码器。
- 受感染的网站 ：会诱导你安装包含恶意软件有效负载的编解码器或插件，这些网站通常声称提供一些吸引人的内容，如自拍卡通化应用或名人裸照视频。
- 注入恶意软件的合法文件 ：这些文件托管在非原始下载源的网站上，例如通用驱动网站上的硬件驱动程序。
- 利用网站漏洞注入恶意软件 ：可以在合法网站上添加自动下载恶意软件的链接，或显示全屏警告，提示你的 PC 已感染，需要下载提供的修复程序。
- 受感染办公文档中的宏 ：如 Word、Excel 和 PowerPoint 文档。
- 文件共享（Torrent）网站上的受感染可下载文件 ：通常是现有文件的修改版本，如盗版软件。
- 通过电子邮件或可移动媒体传播的病毒 ：以“看看这个”文件的形式发送，或感染 USB 闪存驱动器等可移动媒体。

7. 防范恶意软件的规则

防范 PC 上的恶意软件其实很简单，你应该确保在提供的培训中包含以下三条规则：
- 谨慎安装和操作 ：除非事先明确打算这样做，否则不要安装或点击任何内容的“确定”按钮。
- 信任下载源 ：不要下载任何你不信任的来源的内容，除非是来自官方的 Microsoft、Google 或 Apple 应用商店。
- 不盲目听从网站要求 ：不要仅仅因为网站要求就对 PC 执行任何操作。

8. 恶意软件的类型

恶意软件有多种不同的形式，每种都有其特定的目的：
| 恶意软件类型 | 描述 |
| ---- | ---- |
| 病毒 | 影响本地 PC，使 PC 难以使用，例如感染 BIOS 或 UEFI 固件系统，导致 PC 无法启动。 |
| 后门 | 将你的 PC 作为进入网络的途径，让黑客窃取敏感数据，如客户或员工信息、信用卡信息，也用于工业和国家支持的间谍活动。 |
| 键盘记录器 | 记录你在键盘上输入的内容和访问的网站，试图获取购物网站或在线银行的用户名和密码。 |
| 特洛伊木马 | 看起来是合法的文件或应用，但代码中嵌入了恶意软件有效负载。 |
| 僵尸程序 | 利用你的互联网带宽将你的 PC 连接到受感染 PC 网络，集体对大公司的网站和服务器进行分布式拒绝服务（DDOS）攻击。 |
| 根kit | 试图注入 Windows 10 内核和启动文件，绕过 PC 的安全机制，在启动时无限制加载，获得 PC 的完全管理权限。 |
| 宏 | 嵌入在允许运行代码的文档类型（如电子表格和其他办公文档）中的恶意软件程序。 |
| 勒索软件 | 特别恶劣的恶意软件，会加密 PC 或网络存储中的所有文件，并要求支付赎金以获取解密密钥，而该密钥本身可能还包含更多恶意软件。 |

9. 防御 PC 免受恶意软件侵害

Windows 10 提供了多种安全工具来防御 PC 免受恶意软件侵害：
- UAC ：Windows 10 的安全子系统，当用户试图对 PC 进行可能影响其他用户的更改时，会发出警报。管理员会收到提升权限的“确定/取消”提示，标准用户和儿童需要输入管理员密码。
- Windows Defender ：Windows 10 自带的免费防病毒软件，提供基本的防病毒和反恶意软件保护，但功能不如许多第三方防病毒软件齐全。
- Windows 防火墙 ：是一个相当不错的防火墙防御工具，通常不需要用第三方防火墙软件替换。
- Windows 高级防火墙 ：为应用程序、端口和服务提供可配置的规则，对于需要更多防火墙控制的用户（如企业用户和游戏玩家）很有用。
- Windows SmartScreen ：将从互联网下载的所有文件和应用与 Microsoft 和许多第三方安全公司维护的已知文件黑白名单进行比对。如果检测到已知包含恶意软件的文件，会阻止下载；如果无法识别可能包含恶意代码的文件，会发出警报。
- 安全启动 ：由英特尔设计的系统，旨在防止根kit 访问 PC 的启动系统并感染主板固件。它仅与 Windows 8.1 和 Windows 10 兼容，在运行旧版本 Windows 和 Linux 的双启动系统中需要禁用。并非所有 PC 都支持安全启动，预装 Windows 8.1 和 Windows 10 的 PC 通常支持，但旧 PC、在线购买的主板或使用旧 BIOS 固件的 PC 可能不支持。
- Windows Defender 高级威胁防护 (ATP) ：Microsoft 为企业发布的系统，作为 PC 的可选附加功能，用于分析网络中的恶意软件或其他不良活动。

需要注意的是，这些安全系统都可以被禁用。例如，在双启动 PC 上运行 Windows 7 或 Linux 时，需要禁用安全启动，否则会阻止其他操作系统启动。UAC、Windows Defender、Windows 防火墙和 SmartScreen 都可以在 Windows 10 中禁用，但如果没有安装替代软件，Defender 和防火墙会提示你重新启用它们。实际上，一些安全功能很容易被禁用，例如 SmartScreen 可以通过 Edge 浏览器中的简单开关禁用，而该开关并没有充分说明该功能的重要性。

因此，只有真正需要管理员权限的用户才应被授予管理员身份，其他用户应作为标准用户。PC 安全的薄弱环节始终是用户，犯罪分子很擅长诱使用户点击和授权不应操作的内容，或在虚假网站上输入安全信息。即使如此，安全措施松懈仍可能让黑客或恶意软件从咖啡店到安全办公室等任何地方侵入你的系统。

10. 防御文件免受勒索软件侵害

勒索软件与普通恶意软件不同，一旦 PC 感染勒索软件，可能会造成更严重的后果。勒索软件会加密你所有的文件和文档，然后要求支付赎金以获取解密密钥，而该密钥本身可能还包含更多恶意软件，形成恶性循环。

勒索软件要求的解锁文件的赎金通常高达数百美元，虽然很多人（包括企业）会支付赎金，但也有很多人（尤其是小企业）无法承担这笔费用。

保护 PC 免受勒索软件侵害的关键是进行增量备份。过去，我们可能每月将数据备份到几张 CD 或 DVD 上，或者每周通过备份软件备份到外部硬盘上。如今，随着 Windows 的文件历史记录功能以及 Dropbox、Google Drive 和 OneDrive 等云服务的出现，我们习惯了即时同步。但问题是，每次文件更改（如被加密）时，都会重新上传到云存储中。

一些云系统（如 LiveDrive）允许设置同步计划，但 LiveDrive 最多只能每 48 小时同步一次，在勒索软件感染的情况下，可能需要更长的时间间隔。因此，强烈建议使用专用备份软件和外部 USB 硬盘进行备份。备份可以设置为持续运行，也可以按每周或两周的计划进行（这意味着你最多只会丢失一两周的文件更新）。这样做的好处是，你可以将硬盘从系统中物理拔出，使恶意软件或勒索软件无法访问它，这与网络连接的 USB 硬盘和网络附加存储（NAS）驱动器不同，后者始终可以通过 PC 访问，因此也可能被勒索软件访问。

下面是一个防范勒索软件的流程图：

graph TD;
    A[日常使用 PC] --> B{是否感染勒索软件};
    B -- 是 --> C[无法访问文件];
    C --> D[尝试恢复备份];
    D --> E{备份是否可用};
    E -- 是 --> F[恢复文件];
    E -- 否 --> G[考虑支付赎金或寻求专业帮助];
    B -- 否 --> H[定期进行增量备份];
    H --> I[使用外部 USB 硬盘];
    I --> J[可物理拔出硬盘];

通过以上对 Windows 10 安全与隐私管理的介绍，希望你能更好地保护自己的 PC 和数据安全。无论是 BitLocker 加密、防范恶意软件还是抵御勒索软件，都需要我们保持警惕，遵循安全规则，合理使用系统提供的安全工具。

Windows 10 安全与隐私管理全攻略

11. 安全工具的协同作用

为了更有效地保护 Windows 10 系统的安全，各个安全工具需要协同工作。例如，Windows Defender 作为基础的防病毒软件，会实时监控系统中的文件和程序，防止病毒和恶意软件的入侵。而 Windows 防火墙则在网络层面进行防护，阻止未经授权的网络连接。当有外部网络请求进入时，防火墙会根据预设的规则进行判断，如果该请求来自可疑的 IP 地址或端口，防火墙会将其拦截，从而保护系统免受网络攻击。

Windows SmartScreen 则在文件和应用下载阶段发挥作用，它会对从互联网下载的内容进行检查，与已知的黑白名单进行比对。如果发现下载的文件可能包含恶意代码，SmartScreen 会及时发出警报，阻止用户下载或运行该文件。这样，通过多个安全工具在不同阶段的协同防护，可以大大提高系统的安全性。

12. 安全策略的制定与实施

对于企业用户或有较高安全需求的个人用户，制定合理的安全策略至关重要。以下是一些制定和实施安全策略的建议：
- 用户权限管理 ：明确不同用户的权限，只有必要的用户才授予管理员权限。普通用户应使用标准用户账户，这样可以减少因误操作或恶意软件利用用户权限进行破坏的风险。
- 定期更新 ：确保 Windows 10 系统、应用程序和安全软件及时更新。系统更新通常包含安全补丁，可以修复已知的安全漏洞；应用程序更新也可能会增强安全性；安全软件的更新则可以提供最新的病毒和恶意软件特征库，提高检测和防范能力。
- 安全培训 ：对所有使用 PC 的人员进行安全培训，让他们了解恶意软件的传播途径和防范方法，遵循前面提到的防范恶意软件的三条规则。

13. 应急响应计划

即使采取了全面的安全措施，也不能完全排除系统受到攻击的可能性。因此，制定应急响应计划是非常必要的。应急响应计划应包括以下几个方面：
- 检测与预警 ：利用安全软件和系统日志，及时发现异常活动。例如，当 Windows Defender 检测到病毒或恶意软件时，会发出警报；系统日志可以记录用户的操作和系统事件，通过分析日志可以发现潜在的安全问题。
- 隔离与清除 ：一旦发现系统受到攻击，应立即将受感染的设备隔离，防止恶意软件扩散。然后使用安全软件对受感染的文件和程序进行清除。
- 数据恢复 ：如果数据受到勒索软件或其他恶意软件的影响，无法正常访问，应根据之前的备份计划进行数据恢复。确保备份数据的完整性和可用性是数据恢复的关键。

以下是一个应急响应计划的流程图：

graph TD;
    A[日常监控] --> B{是否发现异常};
    B -- 是 --> C[隔离受感染设备];
    C --> D[使用安全软件清除恶意软件];
    D --> E{是否清除成功};
    E -- 是 --> F[检查系统和数据];
    E -- 否 --> G[寻求专业帮助];
    F --> H{数据是否受损};
    H -- 是 --> I[恢复备份数据];
    H -- 否 --> J[恢复正常使用];
    B -- 否 --> K[继续监控];

14. 安全审计与评估

定期进行安全审计和评估是确保安全策略有效性的重要手段。安全审计可以检查系统的配置、用户权限、安全软件的运行状态等，发现潜在的安全隐患。评估则是对安全策略的整体效果进行评价，根据评估结果对安全策略进行调整和优化。

例如，可以通过查看系统日志和安全软件的报告，了解系统在一段时间内的安全状况。检查是否有异常的登录尝试、文件修改等情况。同时，评估安全工具的使用效果，是否能够及时发现和防范恶意软件的入侵。

15. 云存储安全注意事项

在使用云存储服务（如 OneDrive、Dropbox、Google Drive 等）时，也需要注意安全问题。虽然云存储提供了方便的数据存储和共享方式，但也存在一定的安全风险。
- 数据加密 ：确保在上传到云存储之前，对重要数据进行加密。可以使用 Windows 的 BitLocker 加密或第三方加密工具，这样即使云存储服务提供商的服务器出现安全问题，数据也不会被泄露。
- 访问权限管理 ：合理设置云存储账户的访问权限，只授予必要的人员访问权限。同时，定期更换密码，使用强密码和两步验证，提高账户的安全性。
- 服务提供商选择 ：选择信誉良好、安全措施完善的云存储服务提供商。了解其安全政策和数据保护措施，确保能够满足你的安全需求。

16. 移动设备与 Windows 10 的安全交互

随着移动设备的普及，很多用户会将移动设备与 Windows 10 PC 进行连接，如使用 USB 数据线连接手机或平板电脑。在进行这种交互时，也需要注意安全问题。
- 设备认证 ：确保连接的移动设备是你信任的设备，避免连接来历不明的设备。
- 数据传输安全 ：在传输数据时，尽量使用安全的连接方式，如加密的 Wi-Fi 网络或蓝牙加密传输。
- 防病毒保护 ：为移动设备安装防病毒软件，防止移动设备上的恶意软件感染 Windows 10 PC。

17. 总结

Windows 10 提供了丰富的安全与隐私管理功能，包括 BitLocker 加密、多种安全工具以及相关的组策略选项。通过合理使用这些功能，制定完善的安全策略，进行定期的安全审计和评估，以及注意云存储和移动设备的安全问题，可以有效地保护 PC 和数据的安全。

同时，用户自身的安全意识也是非常重要的。要始终保持警惕，遵循安全规则，不随意点击不明链接、下载不明文件，避免成为恶意软件的受害者。只有将系统的安全功能和用户的安全意识相结合，才能构建一个安全可靠的 Windows 10 使用环境。

以下是一个总结 Windows 10 安全管理要点的表格：
| 安全管理方面 | 要点 |
| ---- | ---- |
| BitLocker 加密 | 合理使用加密功能，妥善管理恢复密钥 |
| 恶意软件防范 | 遵循三条规则，使用安全工具协同防护 |
| 勒索软件防御 | 进行增量备份，使用外部 USB 硬盘 |
| 安全策略制定 | 用户权限管理、定期更新、安全培训 |
| 应急响应计划 | 检测预警、隔离清除、数据恢复 |
| 安全审计评估 | 检查系统配置，评价策略效果 |
| 云存储安全 | 数据加密、权限管理、选择可靠服务商 |
| 移动设备交互 | 设备认证、传输安全、安装防病毒软件 |

希望通过本文的介绍，你能够更好地掌握 Windows 10 的安全与隐私管理方法，保护好自己的重要数据和系统安全。