我家家长还挺有安全意识的

AlphaRabbit

chjs 发表于 2023-3-4 01:37
难怪，普通的，不是商业用机很少带TPM芯片的，大多是CPU模拟的。不过靠这个防Rootkit，其实作用没那么大 ...

首先，2016年后即使是非商务机器也附带了TPM。


CPU模拟的fTPM安全性和dTPM（分离式/硬件TPM）等同，甚至有dTPM没有的优势：

1.fTPM没有暴露在主板上的线路，意味着进行硬件窃听是不可能的。

2.fTPM可以通过软件升级快速迭代自身的加密算法之类的，dTPM做不到，只能更换硬件。



TPM一般情况下也不验证启动时加载了什么驱动程序，它只是确保到系统内核加载这一段不被篡改。反Rootkit通过杀毒软件的ELAM（早期启动反恶意软件）驱动来实现。如下图。


但是，你可以搭建审计服务器，用来审计系统启动时做的一切（包括加载了什么驱动程序），TPM会记录这些，然后发送到审计服务器。

如图。

测量的启动
如果你组织中的电脑真的被 rootkit 感染，则你需要了解情况。 企业反恶意软件应用可以向 IT 部门报告恶意软件感染，但这不适用于隐藏其存在的 rootkit。 换句话说，你不能信任客户端告诉你它是否正常。

因此，即使正在运行反恶意软件，感染了 rootkit 的电脑看上去仍然正常。 受感染的电脑会继续连接到企业网络，使 rootkit 能够访问大量机密数据，并可能允许 rootkit 在整个内部网络中传播。

测量启动适用于 Windows 中的 TPM 和非 Microsoft 软件。 它允许网络上的受信任服务器验证 Windows 启动过程的完整性。 测量的启动使用以下过程：

电脑的 UEFI 固件在 TPM 中存储固件、启动加载程序、启动驱动程序以及将在反恶意软件应用之前加载的所有内容的哈希。
在启动过程结束时，Windows 将启动非 Microsoft 远程证明客户端。 受信任的证明服务器会向客户端发送一个唯一密钥。
TPM 使用此唯一密钥对 UEFI 记录的日志进行数字签名。
客户端会向服务器发送日志，其中可能包含其他安全信息。
根据实现和配置，服务器现在可以确定客户端是否正常。 它可以向客户端授予对受限隔离网络或完整网络的访问权限。保护 Windows 启动过程 | Microsoft Learn

fsts1014911532

你电脑开了内核隔离能用卡巴吗？我也想开了，我还有ESET、迈克菲、诺顿候选。

玻璃钢耗子

你爸的防范能力比你强多了，备份在自己的手里才安心

15717522768

注意一下，360云盘不是免费的
只是有几个月免费试用期

chjs

AlphaRabbit 发表于 2023-3-4 01:51
首先，2016年后即使是非商务机器也附带了TPM。

+1

AlphaRabbit

玻璃钢耗子 发表于 2023-3-4 07:58
你爸的防范能力比你强多了，备份在自己的手里才安心

有句老话怎么说的来着？哦，“你玩的都是你爹早年玩剩下的”。

AlphaRabbit

15717522768 发表于 2023-3-4 08:14
注意一下，360云盘不是免费的
只是有几个月免费试用期

高级会员试用十五天，之后就要付钱。

wingsla

家长能说出云端这两个字，基本已经是超越同年龄段很多人了。

AlphaRabbit

wingsla 发表于 2023-3-5 23:07
家长能说出云端这两个字，基本已经是超越同年龄段很多人了。

是

a8855942

我一直都是有云盘U盘备份的。