Windows 10預計將在2015年年底發(fā)布，這將是微軟第一個可在所有類型設備運行的操作系統，包括Windows個人電腦和移動設備。

在整個企業(yè)運行單一操作系統可以帶來直接的安全優(yōu)勢，包括顯著簡化設備管理以及減少整體攻擊面。

另外，Windows 10還將包括加強身份驗證和數據保護的新功能，對于想要杜絕密碼使用以及在BYOD時代保護數據的企業(yè)來說，這很有吸引力。

在這篇文章中，筆者將討論Windows 10的三大安全改進，這些改進可能讓企業(yè)考慮升級Windows。

Windows 10多因素身份驗證

Windows 10廣受吹捧的功能是其內置多因素身份驗證。這個身份驗證機制是基于FIDO聯盟的開放標準，并將消除對額外安全硬件外圍設備(例如智能卡和令牌)的需要。在登記后，設備成為身份驗證所需的兩個因素之一。這減少了網絡釣魚攻擊的可行性，因為攻擊者不僅需要用戶的PIN或生物識別信息，還需要物理訪問其設備才能實現攻擊。這還可以在密碼數據庫發(fā)生數據泄露事故時保護用戶，攻擊密碼數據庫是攻擊者用來獲取未經授權訪問的另一種常見做法。

在Windows 10中，設備的登錄憑證可以是Windows生成的密鑰對，或者內部PKI基礎設施配置給該設備的證書。Active Directory、Azure Active Directory和Microsoft Accounts都將支持這一新的身份驗證形式。在用戶通過驗證后，他或她的訪問令牌將存儲在運行Hyper-V技術的安全的容器內。這可以防止令牌通過pass the hash或者pass the ticket等技術被提取，這兩種技術讓攻擊者可以模擬用戶，而不需要實際取得他們的登錄憑證。

Windows 10數據丟失防護

Windows 10的另一個重要功能增強了對企業(yè)數據的保護。BitLocker自首次出現在Windows Vista以來一直提供全磁盤加密，但隨著移動設備在工作場所的增加，擴展這種保護到數據離開設備后(數據丟失防護)變得至關重要。微軟Office中的Azure權限管理服務和信息權限管理已經可以提供對數據離開設備后的保護，但它們需要用戶選擇激活這種保護。在Windows 10中，企業(yè)不僅可以定義哪些應用可以訪問企業(yè)數據，還可以防止在沒有正確安全配置文件時對數據的復制或訪問--無論數據在傳輸中還是位于另一臺設備中。Windows 10通過使用容器以及在應用和文件級別分離企業(yè)數據和個人數據，并在數據到達設備時自動加密來保護數據。同時不需要用戶切換模式或者使用特殊應用來保護企業(yè)數據，這解決了用戶漠視安全性的大問題。

應用訪問控制

企業(yè)需要管理BYOD環(huán)境，這意味著對網絡資源的安全訪問是很多企業(yè)的重要任務。Windows 10讓管理員可以指定哪些應用允許或者不允許訪問企業(yè)的VPN。企業(yè)還可以基于端口和IP地址來限制訪問。此外，管理員可以配置設備為只允許安裝可信賴的應用，包括企業(yè)自行簽名的應用、來自獲批軟件供應商的應用或者來自Windows Store的應用。這樣做的目的是讓企業(yè)更容易地鎖定關鍵或敏感設備，以保護它們抵御惡意軟件感染，同時向其他組用戶提供更大的靈活性。

這三個關鍵的新功能減少了對某些第三方產品的依賴，例如DLP和雙因素身份驗證，但企業(yè)在他們使用的安全控制方面仍然會有很大的靈活性。Windows 10可以加入到大多數移動設備管理產品和VPN基礎設施。Windows Server 10還將包括Windows Defender，盡管大多數企業(yè)仍然想在網絡網關和關鍵設備運行專門的防病毒和反惡意軟件產品。

Windows 10可以讓管理員更容易地部署安全措施以及更便于員工使用，這應該會使其在企業(yè)中很受歡迎，并會吸引那些仍在運行Windows 7的企業(yè)。

統一部署和管理以及通用應用平臺及安全模式將讓系統管理員騰出時間，并提供更好的整體安全性。對于大型企業(yè)而言，可以讓一些IT人員加入Windows Insider Program以獲得機會在Windows 10公開發(fā)布之前體驗Windows 10的新的安全功能，以及評估其適用性和易用性。企業(yè)應該確保分析師使用測試設備進行實驗，不過，微軟已經從運行預覽版本的設備收集了大量信息。