密码攻击飙升3378％！Windows 11新增20+项安全功能

Windows 11自发布以来不断更新，除了显而易见的界面、特性变化，更是持续引入了大量的安全功能和更新，无论对个人用户还是对企业机构都至关重要，但它们往往隐居在幕后，不为人所知。

现在，微软特意撰文，详细总结了Windows 11近期在安全方面的新变化，涉及到20多个不同角度。

微软首先给出了一个惊人的数字：2015年，Windows系统的身份验证系统每秒遭受大约115次密码攻击，而现在这个数字达到了每秒4000多次，不到十年就飙升了3378％！！

Windows 11的安全举措可以分为硬件、软件两个层面，其中在硬件层面，所有的新型Windows 11 AI PC都会有以下三大特性：

第一全部都是安全核心PC(Secured-core PC)，具备先进的固件保护功能和动态可信度量根，可以提供覆盖芯片、云、关键计算层的全面防护。

第二全部默认启用Mcirosoft Pluton安全处理器，这是微软设计的从芯片到云的安全技术，以零信任原则为核心，PC被安装恶意软件甚至被实际占有之后，也很难盗取、删除安全凭证、身份信息、个人数据、加密密钥等敏感信息。

第三全部配备Windows Hello增强型登录安全性(ESS)，更安全的生物识别登录技术，无需输入密码，因为它采用了VBS(基于虚拟化的安全性)、TPM 2.0等专门的软硬件，提高提高生物识别数据的安全性。

软件方面，首先是系统层面启用了一系列新的默认设置：

－ 安全层

默认开启，包括安全凭证保护、恶意软件屏蔽、应用程序保护等，开箱即用，使得安全事件减少58％，其中固件攻击减少3.1倍。

－ 本地安全认证保护

通过多个关键进程验证用户身份，尤其是本地安全认证(LSA)，以前仅用于商用设备，如今在消费级PC上也默认开启，可抵御不可信代码，避免不可信进程访问LSA内存，避免安全凭证被盗。

－ 弃用NT LAN Manager(NTLM)

根据安全社区的强烈反馈，此功能从今年下半年开始弃用，以加强用户身份验证。

－ VBS(基于虚拟化的安全性)

基于CPU处理器，防护能力优于软件隔离，性能优于硬件方案。该功能正在预览测试。

－ Windows Hello加固

如果设备没有生物识别功能，也可以使用密码，默认通过VBS隔离身份验证信息。

其次是应用程序与驱动程序防护方面，Windows 11现在默认启用了AI学习增强的智能应用控制，新加入了Win32应用隔离(即将公测)、可信签名(公测中)，向第三方应用开放了VBS enclaves，提高了管理员用户的安全性(内测中)。

针对不断升级的黑客攻击，Windows 11增加了保护打印模式，重新设计了工具提示，TLS服务器身份验证不在信任RAS密钥小于2048位并连接到信任根的TLS证书。

最后是针对商业用户，Windows 11新增了配置刷新(30-90分钟一次)、个人数据加密PDE(必须使用Windows Hello商用版)、零信任DNS(只允许通过域名连接网络)，升级了防火墙，现在从每个原子区块中强制执行“全有或全无”规则。