自2001年微软发布Windows XP以来至今，信息安全形势发生了很大的变化。2002年9月9日，微软发布了Windows XP SP11，对Windows XP进行了325处修补，其中33处和安全性有关2。此后的两年间，针对Windows XP SP1的安全公告多达64个，其中紧急（Critical）和重要（Important）级别的安全公告超过80%3。在此期间，恶意攻击的另一个特点是利用操作系统的安全漏洞进行攻击，而用户的系统设置、网络环境和安全意识，也给这些攻击提供了可乘之机。
事实上，在Windows XP发布一年后，微软开始实施了可信赖计算的计划4。在可信赖计算白皮书5中，微软提出了实施可信赖计算的手段（means）：
* 设计安全：减少软件漏洞
* 默认安全：减少攻击面
* 部署安全：安全措施更容易实施
* 用户沟通：帮助用户学会自我防护
在Windows XP SP2中，上述方法和理念得到了很好的实践。首先，尽管SP2并不是一个新的操作系统，但在其所有818项修复中有140项是属于基础操作系统方面的（Base Operating System）修复6，以弥补设计阶段的软件漏洞。此外，默认情况下的Windows防火墙、Internet Explorer、Outlook Express、Windows Update等都处于安全设置状态。第三，Windows安全中心不仅方便了对系统的安全设置，也会智能地提示用户安全性问题，例如，当没有及时更新病毒防护软件时，会弹出安全警告。
Windows XP SP2特性概述
在Windows XP SP2中，微软提供了多种安全技术帮助用户抵御恶意软件和其它风险，从而提高了Windows XP的整体安全防范能力。这些安全技术包括：
* 网络保护 此类安全技术包括了Windows防火墙增强和远端过程调用接口限制（RPC Remote Procedure Call），该技术有助于对类似冲击波（MSBlaster）等基于网络的攻击行为提供更好的保护。这些增强措施包括：默认开启Windows防火墙、关闭端口除非该端口被使用、改进的配置用户界面、改进的Windows防火墙开启时应用程序兼容性和通过组策略对Windows防火墙的企业管理工具。远端过程调用服务的受攻击面（attack surface）被减少，该对象以较低的权限级别运行。DCOM架构也增加了访问控制限制以减少被网络攻击击中的风险。
* 内存保护 某些软件允许过多的数据复制到计算机内存中，恶意软件的攻击可以利用这一安全性弱点。通常这种现象被称作缓冲溢出。虽然，任何单一技术都不能完全消除这种问题，微软正在从不同角度采用多种安全技术减轻这类攻击。首先，利用最新的编译技术将核心Windows组件重新编译，增加了对缓冲溢出的保护。此外，微软正在与微处理器厂家合作以使Windows支持微处理器上基于硬件的数据执行保护（DEP Data Execution Prevention）特性。数据执行保护通过CPU将应用程序所有的内存位置标记为不可执行，除非这些位置显式地包含可执行代码。这样，当蠕虫或病毒插入到程序代码并进入到标记为仅为数据的存储部分，应用程序或Windows组件将不会运行它。
若要查看和设置数据执行保护，单击“开始”按钮，在弹出的菜单中，右键单击“我的电脑”，并在快捷菜单中选择“属性”。在打开的“系统属性”对话框中，选择“高级”选项卡，在性能选项中单击“设置”按钮，在打开的“性能选项”对话框中选择“数据执行保护”选项卡。
* 电子邮件处理 安全技术有助于中止通过电子邮件和即时消息传播的病毒（如SoBig.F）。这些技术包括安全性增强的默认设置、利用附件执行服务（AES Attachment Execution Service）应用程序接口的改进的附件控制。从而增强了Microsoft Outlook、Outlook Express和Windows Messenger等通信应用的安全性和可靠性。其结果是，通过e-mail和即时消息传递的潜在不安全附件被隔离，并尽可能少地影响系统的其它部分。
* 浏览安全 Microsoft Internet Explorer中的安全技术提供了抵御Web中恶意内容的防护。改进之一是锁定本机区域以免运行恶意脚本和增强组织有害Web下载。此外，更好的用户控制和用户界面可帮助阻止恶意ActiveX控件和间谍软件在用户不知情的情况下运行。
* 计算机维护 安全方案中非常重要的一部分是保持计算机最新的软件和安全更新，并且了解更新在保护计算机安全中的重要性。具有安全性攻击和趋势的知识同样也很重要。例如，一些已知病毒和蠕虫的有效攻击开始前若干天或若干周，相应的软件更新已经可用。所增加的新技术帮助最终用户保持最新。这些技术包括安全中心，提供了关于计算机安全性信息的统一位置，还有Windows Installer，提供了软件安装的安全性选项。
安全中心
安全中心是Windows XP SP2进行安全性设置和管理的统一界面，可以从控制面板访问安全中心，也可以在需要进行安全性设置的时候，从告警信息提示中快速地打开安全中心。安全中心如下图所示。
安全中心自动监控防火墙、自动更新和病毒防护的状态，如果这些设置出现异常时，根据不同的严重程度，以不同的颜色和方式进行警告。例如，修改了自动更新的默认设置后，安全中心中有关自动更新的基础标记就会变为黄色，并提示检查设置。如下图所示。
如果关闭了自动更新，则在通知区域会显示Windows安全警报和信息提示，如下图所示。
单击警告信息，则可以打开安全中心，如下图所示。单击“启用自动更新”按钮，就可以恢复到正常安全设置状态。
在安全中心中，可以管理安全设置，这些设置包括了Internet选项、自动更新和Windows防火墙。此外可以访问有关的资源。并可以设置安全中心通知用户的方式（可以关闭通知，但不建议这样做）。
对于加入到域的Windows系统，安全性设置由网络管理员决定，安全中心将不再进行提示通知。
防火墙
Windows防火墙是Windows XP SP2的重要改进之一。和以前ICF（Internet Connection Firewall）不同的是，默认情况下，Windows防火墙处于启用的状态，而且一旦防火墙被关闭，安全中心也会发出警告信息。
另一个重要的改进是，Windows防火墙在Windows启动时将利用静态规则进行状态过滤（stateful filtering），该静态规则被称作启动时策略（boot-time policy）。此时允许计算机运行DNS和DHCP等基本网络任务。一旦Windows防火墙服务运行，将加载和应用运行时策略（run-time policy）并删除启动时过滤器。
Windows防火墙的启动时安全性是基于操作系统的软件防火墙所独有的特性。尽管目前尚未发现任何启动时的网络攻击，Windows防火墙的这一安全性设计体现了主动防护、未雨绸缪的设计理念。
可以通过多种方法对Windows防火墙进行设置。在“控制面板”中，可以通过“网络和Internet连接”以及“安全中心”访问Windows防火墙设置。如果网络连接被显示在任务栏右侧的通知区域，鼠标右键单击该网络连接，并选择“更改Windows防火墙设置”，如下图所示。
“Windows防火墙”对话框共有3个选项卡
* 常规选项卡：可以“启用”或“关闭”Windows防火墙，如果启用了防火墙，可以选择“不允许例外”，这将阻止所有主动到计算机的通信，并且在阻止时不通知用户。这将适合于较不安全的网络环境。
* 例外选项卡：默认情况下，Windows防火墙允许例外，在例外选项卡中列出了4个程序和服务，并默认允许“远程协助”，如下图所示。其它3个程序和服务将根据Windows的设置自动启用。例如，如果设置了共享文件夹，则“文件和打印机共享”会被自动启用。
当其它程序被阻止时，会询问用户，如果选择解除阻止，则该程序被添加到例外列表中。如下图所示。
可以将程序添加到例外列表中或删除例外列表中的程序（默认的4个程序和服务除外）。也可以编辑例外程序的通信范围（IP地址）使其只和只定的计算机进行通信，如下图所示。同样的设置也适用于端口。]
* 高级选项卡：可以对选定的一个或多个网络连接进行设置，也可以指定安全日志以记录被丢弃数据包和成功的连接。“还原为默认值”按钮可以方便用户快速设置为默认的安全状态。如下图所示。
自动更新
保持Windows系统和软件处于最新的状态，使安全性的重要保障措施之一。实践表明，开启Windows自动更新，可以避免几乎所有的利用系统漏洞的恶意攻击。因此Windows自动更新被微软认为是保证系统安全的重要的3个重要步骤之一7。事实上，很多用户并没有开启自动更新的功能，致使系统处于被攻击的危险之下，甚至遭到恶意的攻击，造成了不必要的损失。
Windows XP SP2默认开启了Windows自动更新，如果用户更改了自动更新的设置，将会被提醒或警告，如前所示。Windows更新服务已升级到版本5，更新服务效率更高，用户使用更方便。此外自动更新支持支持安全修补程序、关键更新、累积更新包、服务软件包等更多类型。对于慢速网络连接用户，
后台智能传输服务（BITS Background Intelligent Transfer Service）极大地改进了传输带宽效率。在使用Windows更新服务时，可以传输较少的数据并更快地传输数据，减少更新对企业网络的压力。主要特性如下：
* 可以指定时间下载更新，例如指定网络空闲的时段
* 可以设置只使用部分可用网络带宽
* 仅下载文件变化的部分。例如如果一个1MB的文件仅变化了一个字节，BITS将只传送若干字节，而不是整个1MB文件。
* 从网络传输失败中恢复。在下载过程中，如果网络失败或连接丢失，BITS可以从断点继续传输，而不是重新从头开始下载。
〉病毒防护集成
Windows XP SP2并不包含病毒防护软件，但可以和防病毒软件进行集成，以更好地保证系统的安全。Windows XP SP2可以检测是否安装了反病毒软件，如果检测不到8，将发出警告；对于检测到的反病毒软件，如果没有更新到最新状态，也会受到警告信息；此外，如果关闭了病毒实时监控，或该服务启动失败，也会弹出警告信息。如下图所示。
目前国内主流的反病毒软件厂商，都已经推出了和Windows XP SP2兼容的软件产品或补丁程序。
Internet Explorer
Microsoft Internet Explorer是Windows中主要的Internet浏览器程序，用户的浏览体验和安全性是Windows XP SP2的重要考虑因素。IE的安全同时也成为系统安全的基础。
阻止弹出式窗口
鉴于弹出式窗口被滥用的现实，Windows XP SP2的弹出式窗口阻止程序，为用户阻止不必要的弹出式窗口提供了控制选择。默认情况下，大部分的弹出式窗口被阻止。一旦弹出式窗口被阻止，将会显示一个信息提示窗口，并在信息栏中给出提示，同时可以听到声音提示。如下图所示。
信息提示窗口解释了信息栏的功能，可以选中不再新式此信息，则下次阻止了弹出式窗口时不再弹出该窗口。单击“了解信息栏”可打开IE相关内容的帮助窗口。
单击信息栏，可以选择多项操作，如下图所示。如果是第一次访问该站点，可选择“临时允许弹出窗口”以查看弹出窗口的内容是否是有用信息；如果需要该站点的弹出式窗口信息，则可以选择“总是允许来自该站点的弹出窗口”；单击“设置”命令，可以对信息栏进行进一步的设置，“关闭弹出窗口阻止程序”，将允许任何站点显示弹出窗口；不选中“显示弹出窗口的信息栏”后，在弹出窗口被阻止时，将不显示信息栏。此时可以从IE状态栏中单击按钮进行设置。
选择“更多设置”，可以打开“弹出窗口阻止程序设置”对话框。在该对话框中，可以手工输入允许站点的地址；可以选择是否播放声音和显示信息栏，以及不同的筛选级别（默认级别为中），如下图所示。此外，在打开网页时按下Ctrl键，将不会阻止弹出窗口。
下列情况下的弹出窗口仍将被显示
* 通过用户单击链接打开
* 通过运行在本机的程序打开
* 由来自Web站点的实证（instantiated）ActiveX控件打开
* 从受信任的站点或本地Intranet区域打开
文件下载和安装提示
从IE下载文件时，会出现提示窗口，如下图所示。提示窗口会显示文件的图标和文件的大小。根据下载文件的不同类型和安全性，提示窗口的标题的下方的图示也有所不同。
在安装加载项或下载的程序时，同样会收到安全警告。对于签署过的程序，可以有更多的选项来决定今后如何处理来自同一发行者的程序。
加载项管理和崩溃检测
加载项向IE中添加了多种功能（如额外的工具栏、按钮等），这会使浏览更加有趣或高效。许多加载项都来自Internet，大多数加载项在下载到本地计算机之前，都会提示病症的用户的授权下载和安装。但是，有些加载项可能会未经确认即进行下载。还有一些加载项是随 Windows安装的。
可以在Internet Explorer中管理加载项，从“工具”菜单选择“管理加载项”命令，可以打开对话框。如下图所示。
选择“已启用”的加载项，从对话框底部选择“禁用”或者选择“已禁用”的加载项，然后从对话框底部选择“启用”。重新启动Internet Explorer后设置起效。
如果加载项导致网页不能正常显示或被迫关闭，并弹出崩溃报告检测到加载项问题，则可以在加载项管理器中，仅用该加载项。或者如果是一个ActiveX加载项，可以尝试更新它以解决问题。
Outlook Express
由于在较早版本的Windows XP中，Outlook Express会利用MSHTML控件处理HTML内容，并自动运行HTML头中所含的脚本，因而带来潜在的安全隐患。现在，可以选择以纯文本的方式阅读消息，以降低风险。
一些垃圾邮件制造者会在电子邮件消息中包含引用到其站点的图片。以前，当用户收到这些邮件时会自动下载这个图片，其电子邮件地址就被验证有效，并可能被加入到垃圾邮件收件人地址列表中。在Windows XP SP2中，Outlook Express限制下载外部HTML内容，避免用户被垃圾邮件制造者验证邮件地址而收到垃圾邮件。该特性也方便了拨号上网的用户，免除了下载完邮件并断开网络连接后，在试图阅读邮件时可能自动拨号联网的麻烦。
此外，更新后的Outlook Express集成了附件执行服务（AES Attachment Execution Service）阻止保存或打开潜在的不安全邮件附件。
Windows Messenger
在Windows Messenger中，传输不安全文件会被自动拒绝。要了解通常认为是不安全的文件的列表，请参阅http://support.microsoft.com/default.aspx?scid=kb;zh-cn;291369
此外，Windows Messenger还有求用户必须选用不同于其邮件地址的显示名称。这是因为一些病毒程序可以从保存的聊天记录中发现e-mail地址和相关的联系人，从而侵犯用户的隐私。
Tablet PC
Windows XP Tablet PC Edition在安装了Windows XP SP2后自动升级到 Tablet PC 2005。并且在输入面板、手写识别、与Office System程序的集成方面有了极大的改进。
Windows Installer 3.0
其它技术和改进
更好的无线网络支持
蓝牙设备支持
USB设备写保护
添加和删除程序列表中的显示更新选项
更多改进的管理工具
结论
Windows XP SP2是对Windows XP的一项革命性的改进，它以安全性为出发点，从系统、管理、用户等多方面进行了全面的改进和增强。同时兼顾到易用性和用户体验。Windows XP SP2不仅解决了以往出现的问题，更对今后可能引起攻击的弱点进行了预防性修补。以期即使在没有安装补丁的情况下，缓解恶意软件工具及造成的危害。
1 参见http://support.microsoft.com/default.aspx?kbid=322389
2 参见http://support.microsoft.com/default.aspx?scid=%2fsupport%2fServicePacks%2fWindows%2fXP%2fSP1FixList.asp
3 参见http://www.microsoft.com/technet/security/current.aspx
4 参见http://www.microsoft.com/mscorp/execmail/2002/07-18twc.asp
5 参见http://www.microsoft.com/mscorp/twc/twc_whitepaper.mspx
6 参见http://support.microsoft.com/default.aspx?scid=kb;EN-US;811113
7 另外两个步骤是防火墙和防病毒软件，参见http://www.microsoft.com/china/security/protect/
8 Windows XP SP2并不检验所有的反病毒软件，要了解常用防病毒软件的列表，请参阅微软反病毒软件合作伙伴http://www.microsoft.com/security/partners/antivirus.asp
文章来源于领测软件测试网 https://www.ltesting.net/
