Windows7企业版存储安全新功能详解

xyy0510

　　经过一段时间的火爆销售后，Windows 7及Windows Server 2008 R2正全面入驻企业计算机。为了更好地满足企业用户的需求，微软在Windows 7企业版/旗舰版及Windows Server 2008 R2中引入了大量的存储、网络访问、安全等功能，成为企业应用的新利器。而这类具备代表性的功能究竟有哪些呢？该如何使用呢？会给企业应用带来什么影响呢？
　　
　　企业效率倍增器：分支缓存
　　据微软介绍，Branch Cache（分支缓存）是Windows 7及Windows Server 2008 R2中提供的企业级新功能，启用该功能，在WAN（广域网）中首次访问时可像平常一样根据授权访问数据，而需要再次访问时，则可在就近部门的另一客户端根据验证状况访问相同的内容。通过这种就近访问，可提高网络的带宽利用率，同时提高远程办公网络应用的性能，减少对企业网络带宽的占用。
　　Branch Cache有两种工作模式：一种为分布式缓存（Distributed Cache），另一种为托管式缓存（Hosted Cache）。分布式缓存使用点对点模式，类似于Ad-hoc网络，它能在较小的应用范畴内获得更快的访问速度。托管式缓存采用服务器/客户端架构，类似于AP中心模式，Windows 7客户端可将内容复制到运行Windows Server 2008 R2的本地计算机，这样其他需要访问同样内容的客户端就能在本地服务器中直接访问该数据，不再依赖最初的服务器。要使用Branch Cache，所有服务器系统都必须为Windows Server 2008 R2，所有客户端都必须采用Windows 7。
　　用户可以使用组策略设置或Netsh命令行脚本实用程序来管理Branch Cache客户端。可以使用其中任一工具在Branch Cache客户端上执行下列配置任务：启用Branch Cache（默认情况下它处于禁用状态）;选择分布式缓存模式或托管式缓存模式;指定客户端计算机的缓存的大小（使用分布式缓存模式），默认情况下Branch Cache最多为该缓存使用硬盘驱动器的5%;指定托管缓存的位置（使用托管缓存模式）。对此，在使用该设置时，Windows系统给出了详细直观的设置说明，大家根据说明就能完成设置。
　　根据微软的测试，从企业远程服务器上下载一个3MB的文件，第一次用了47秒，而第二次只用了2秒，从中可见Branch Cache（分支缓存）功能的效率，它对大中型企业构架分支办公室很有用处。通过压缩、消除冗余、传输优化、缓存和内容分发的联合加速应用，可为企业提供一个易于整合分支服务器、整合存储和备份基础设施的途径，同时确保最终用户的高性能应用。
　　企业访问新保安：DirectAccess
　　DirectAccess（直接访问）同样是Windows 7及Windows Server 2008 R2中提供的企业应用新功能。通过该功能，外网的用户可以在不需要建立VPN（虚拟专用网络，VPN的核心就是利用公共网络建立虚拟私有网）连接的情况下，高速、安全地从Internet直接访问公司防火墙后的资源。
　　DirectAccess功能是怎么实现的呢？为了实现该功能，DirectAccess利用了IPv6技术的一些特性。众所周知，在IPv6发展初期，如何让众多的局部性的纯IPv6网络“穿越”传统的IPv4骨干网络实现互通呢？为此出现了IPv6“隧道”技术，在IPv6网络与IPv4网络间的隧道入口处，路由器将IPv6的数据分组封装入IPv4中，在隧道的出口处再将IPv6分组取出转发给目的节点，这样就能将类似于孤岛的IPv6网络连接起来。
　　而DirectAccess正是利用了该技术，它在开启后，可在客户端建立一个通向DirectAccess服务器的并可在普通的IPv4网络上工作的IPv6隧道连接，这样管理人员就可在用户登录之前对相关计算机进行管理，DirectAccess服务器在这个过程中主要担当内外网信息传递的角色（即网关）。而为了获得良好的加密和认证，DirectAccess还利用了IPv4中可选的、IPv6中必备的IPsec（Internet Protocol Security）协议族，以IP Packet（小包）为单位对信息进行暗号化的方式，来对传输途中的信息包进行加密或防止遭到窜改，从而保证安全通信。
　　据微软介绍，应用DirectAccess，企业用户在远程未登录的情况下，也能通过互联网对计算机进行管理，且具备很强的安全性。通过该功能可为移动办公人员提供高效的工作环境，例如公司员工正在外面进行客户服务，或在一个外部会议上想查找相关的内部资料，就可通过能上网的笔记本电脑在不需要建立VPN连接的情况下，高速、安全地直接访问公司防火墙后的资源。
　　企业存储好帮手：驱动器加密
　　按理说，BitLocker（驱动器加密）已不算新功能，它在Windows Vista中便已出现。但在Windows 7中，其受关注度居然比在Windows Vista中还高，所以仍值得很多以前对它不感兴趣的企业用户关注。BitLocker是一种可提供磁盘级的数据加密能力的组件，要了解BitLocker，就需要了解它的前辈EFS（Encrypting File System，加密档案系统）。众所周知，NTFS是Windows NT及之后的操作系统的标准文件系统，支持元数据，并且使用了高级数据结构，以便于改善性能、可靠性和磁盘空间利用率，并提供了若干附加扩展功能，如EFS。在Windows 2000/XP/Server 2003中都配备了EFS，它可以帮助用户针对存储在NTFS磁盘卷上的文件和文件夹执行加密操作。如果硬盘上的文件已经使用EFS进行了加密，即使黑客能访问到硬盘上的文件，由于没有解密的密钥，文件也不可用。
　　当然，EFS并非天下无敌，低于1.5GB的NTFS活动系统分区与高于50GB的启动分区不能被EFS加密，这时便可使用BitLocker这个工具来进行保护了。使用EFS用户可以有选择地对一些重要的文件或文件夹进行加密，而BitLocker却是无条件地对整个驱动器的全部文件夹加密，BitLocker可弥补EFS的一些不足，能够很好地对非授权访问进行控制。
　　在默认情况下，Windows操作系统是不启动BitLocker功能的。若要对安装了Windows的驱动器用BitLocker进行加密，计算机必须具有两个分区：系统分区（包含启动计算机所需要的文件）和操作系统分区（包含Windows），操作系统分区会被加密，而系统分区将保持未加密状态，以便可以启动计算机。如果计算机没有系统分区，在Windows 7中BitLocker会自动使用200MB的可用磁盘空间创建一个系统分区，系统将不会为该系统分区分配驱动器号，并且“计算机”文件夹中也不会显示该系统分区。在对安装了Windows的驱动器（操作系统驱动器）加密时，BitLocker会将其自身的加密和解密密钥存储在硬盘之外的某个硬件设备上，因此你必须具有以下硬件设备之一：具有受信任的平台模块 （TPM）（许多计算机中具有的一种支持高级安全功能的特殊微芯片）的计算机;可移动的硬盘或U盘。
　　在启动了BitLocker功能的操作系统所在分区，该功能可对一系列的磁盘错误、BIOS更改、启动配置文件的更改等进行监控，如果这些功能被异常更改，BitLocker会自动将这个磁盘锁住。这时系统管理员便可利用预先设置的密钥来解锁这个驱动器。这对于防止数据丢失、防止被盗窃或防止被黑客攻击等很有帮助作用。并且，BitLocker可以锁定容易被他人看到重要数据的便携式存储设备，如U盘或移动硬盘。
　　企业应用小管家：AppLocker
　　AppLocker（应用程序控制策略）是Windows 7中新增加的一项安全功能，利用AppLocker管理员可以非常方便地进行配置。例如，QQ.exe可执行文件在没有进行AppLocker管理前，所有用户都可使用该程序，而在进行应用程序控制策略的相关设置后，被限制的用户就不能使用该程序。
　　具体方法是，打开“开始→运行”，输入gpedit.msc打开组策略编辑器。在左侧的窗格中依次打开“计算机配置→Windows设置→安全设置→应用程序控制”，可以看到AppLocker组策略配置项——“可执行规则”、“Windows安装程序规则”和“脚本规则”三种类型，在每一种规则上单击鼠标右键都可以创建新规则，用户可根据自己的需要创建相应的操作规则。右击“可执行规则→创建新规则”，点“下一步”，点选“选择”按钮，在弹出的对话框中点“高级”，点选“立即查找”，找到想要禁用的用户，确定后即可将限定的用户加入规则。然后就可将被禁用的对象指向QQ.exe，最后点“创建”即可。
　　如要防止闪存病毒传播，让AutoRun.inf文件不要运行即可。对此可选择“脚本规则”→“创建新规则”，在弹出的窗口中选择“权限”→“拒绝”，在“用户或组”里选择“Everyone”，“下一步”在创建条件中选择“路径”，在“路径”框中输入“？：\AutoRun.inf”，继续点“下一步”，最后点“创建”即可。
　　这样用户如能根据自己的实际情况，设置好Applocker的各种类型的默认规则，便可防止正常系统程序被病毒、木马利用，可阻止通过非正常途径进入电脑的恶意程序运行。