Windows Vista反间谍软件手册

风伊翼

可能是考虑到现在网络上的间谍软件特别猖獗，所以微软在Windows Vista中内置了一款相当不错的反间谍软件——Windows Defender。

　　Windows Defender概述
8 x0 e9 h" x& i) g
　　Windows Defender的前身是Giant公司的Giant Antispyware。2004年12月微软收购了Giant公司，并把Giant Antispyware更名为Microsoft Antisyware（Beta 1）。在今年的2月16日，又将其正式更名为Windows Defender（Beta 2）。
0 O& k" b- B1 R) V0 \
; o: i7 i5 ^" V　　相对于Microsoft Antisyware Beta 1和其他第三方的反间谍软件工具，Windows Defender Beta 2具备以下显著的优点：

　　1）只需要用户进行很少的人工干预，Windows Defender就可以轻松工作在最佳状态。

　　2）Windows Defender的工作界面非常简单，平时很难找到它的“踪影”，它并不像其他同类软件那样会在任务栏通知区域里添加一个图标。但是一旦发现Windows系统遭到间谍软件的危害，它就会立即“现身”帮助我们解决问题。

　　3）Windows Defender的软件更新集成到Windows Update中，无需我们额外花费精力进行管理。
4 \. I6 a& E0 A1 H* `) ?) a  f
& s! [1 Y" M$ A　　还有最重要的一个优点，就是Windows Defender是免费的，真是便宜量又足，完全可以给家庭用户带来足够的间谍软件保护功能。
, W" Z- o! i1 y. n, w
$ l6 B! X2 R6 m% M　　为什么看不到Windows Defender的通知区域图标

　　如果系统一切正常的话，Windows Defender就会从任务栏通知区域彻底消失。这对于熟悉前一版本Microsoft Antispyware的用户来说，可能会很不习惯，可能感觉Windows Defender并没有实时保护我们的计算机。

　　
' Z; T. z& o' |$ \; z0 O; J3 o
. J* P6 ?4 m) t2 C　　尽管平时Windows Defender并没有出现在任务栏的通知区域，但是实际上Windows Defender启动了一个后台服务，正在时时刻刻默默地替我们的计算机保驾护航。我们可以用以下步骤进行验证：

　　1）在运行对话框里输入“services.msc”并回车打开“服务”管理单元窗口。

0 S6 @. ~9 ~: \" O　　2）在打开窗口右侧的详细窗格里定位到“Windows Defender Service”服务，双击并打开其属性对话框，如图1。

0 O$ L6 a' Z7 ^/ c　　3）可以看到“Windows Defender Service”服务的启动类型为“自动”，这表明该服务随系统自动启动，其服务状态为“已启动”， Windows Defender确实在默默地为我们服务，只是它比较“低调”而已。

: M8 W- H* i- T2 i　　Windows Defender的实时监护
# R( w8 B, ?& m) k
% d8 u- N. ?3 `% S/ \2 e　　Windows Defender默认启用实时监护功能，一旦检测到对系统有危害的动作，就会立即弹出警告消息框。
4 u# s0 @/ l. Y  b' j: V( ]8 G
& P! D5 i2 |! z2 }) ?% [* H　　

　　如果安装某个应用程序时发现其中“夹带”了间谍软件（例如臭名卓著的3721），Windows Defender马上就会弹出如图2的警告框。

　　这时候可以直接单击该警告框上的“全部删除”按钮，如果不放心的话，还可以单击“复查”按钮进行查看，结果如图3。
$ T5 v8 Q! u; L) X- x& v
  K; ^  c6 M0 k5 T" M1 c　　
' p& x7 T8 [3 `( v$ J& v5 _
　　确认无误后，可以单击“全部删除”按钮，即可开始清除过程，由于3721涉及的文件和注册表键值较多，所以清除过程需要花上一点时间，如图4。清除结束后，系统可能会提示重新启动，以确保防护操作生效。

　　
( r, I( i/ E# f) G: }
　　Windows Defender的手动扫描
/ T8 R  e+ o2 u
　　除了实时监护外，系统默认每天都对系统进行一次快速扫描，以最大限度地保护我们的系统。

) e" ]8 C* S2 S- ]# p( E　　除此之外，我们还可以手动扫描：
: u3 n$ g* B, x  P
. @( C  e5 e3 U7 N　　1）单击Windows Defender主窗口“扫描”按钮右侧的下拉箭头，在展开的下拉菜单里可以看到三个菜单项：快速扫描、完整扫描和自定义扫描，分别对系统进行快速扫描、完全扫描和定制扫描。
* N% f  M* h! y$ P* I
　　2）单击“自定义扫描”，即可进入“选择扫描选项”页面，选中其上的“扫描选定的驱动器和文件夹”选项，然后单击右侧的“选择”按钮。

　　3）在打开的对话框上指定所需扫描的驱动器和文件夹，如图5。单击“确定”按钮，回到“选择扫描选项”页面，单击其上的“立即扫描”按钮即可开始扫描。
: b$ E* F) E5 T  R( f
# M/ t) r& L: m8 r$ X' z5 G" B　　
8 W, f6 s1 M) {4 q
　　自定义Windows Defender的配置
6 B3 {! d0 Q# E: ?9 \& x2 a" q3 B
& D  e6 V9 r7 [+ D% p3 t+ s　　Windows Defender的自定义配置功能非常强大，而且默认配置就已经可以提供足够的安全防护。这里我们也可以对其进行自定义：

　　首先单击Windows Defender主窗口的“工具”按钮，然后单击“选项”，即可进入配置页面。
* A3 K2 Y- \- `+ X. n  C' o# l
　　自动扫描配置
" x, v$ A3 q* }% x  A7 T5 a2 t% }
; z8 F9 v! q8 x: Y　　在“自动扫描”部分，可以指定扫描的频率，如图6。默认是每天都扫描，我们可以指定每星期扫描一次，例如可以选择星期日扫描。还可以指定扫描的时间，默认是清晨2点，可以进行调整。
& Q, R: r- A7 x) o; n
# E8 T/ O# f6 E　　
6 H0 W( R8 o' ?
　　实时监护自定义

" s7 z( C8 m: x, [! y　　还可以对实时监护的功能进行自定义，在“选项”页面的“实时保护选项”部分，可以选择实时监护所涉及的选项，这里推荐全部勾选，如图7。
! N' v0 `" e8 ?2 q6 s
　　
& D- q2 r, S  N& Y3 O% s: ~
　　Windows Defender的高级功能
% j- B+ k, q" Z1 w& ?' s
　　尽管Windows Defender和它的前任Microsoft Antispyware相比，变化非常大，但是却保留了Microsoft Antispyware最精华的部分——软件资源管理器。该功能可以帮助我们详细地了解并配置自启动进程、当前运行任务和网络连接，接下来分别进行描述。

　　首先单击Windows Defender主窗口的工具按钮，然后单击“软件资源管理器”，即可进入“软件资源管理器”页面。

　　
+ d) e0 q% h1 A3 \! R; M% y
& }+ f' b2 P0 K" x- l+ k$ E8 c　　配置自启动进程

6 w, X! b$ a# ?+ s+ X3 x0 _　　在“类别”下拉列表框里选择“启动程序”选项，即可在页面的左侧显示当前系统的所有自启动进程，并且按照所属厂商进行归类。
! A2 A. Y( R$ U. M- Z
　　任意选中其中的某个自启动进程，就可以在右侧的详细窗格里查看其具体信息：例如是否具有数字签名（并且显示提供签名的厂商），该应用程序所在的路径，启动类型、是否属于Windows自带的进程等。

) F, b. ^7 X, h" {  N　　例如在左侧的进程列表里选择“Microsoft Windows Explorer”进程，就可以在右侧详细窗格里查看该进程的具体信息，如图8。
8 i% s% R% e" E
$ x4 ^7 ]% b- \8 D1 h$ b8 @　　● 从“数字签名方”一栏里可以知道该进程是由“Microsoft Windows Verification Intermediate PCA”进行数字签名，应该是可信的进程。
2 @3 h" ~( C, _" h: U! ~5 m) _4 k. L
　　● 从“文件路径”一栏里可以了解该进程的程序文件位于“D:\WINDOWS\explorer.exe”。
" B0 A' n6 q; U7 X% U; c5 H! y# `
) |5 T" S4 E; g- k　　
4 ^; b) x* i5 z3 Z
　　当前运行的任务
4 n& m  u5 v3 Z0 I
　　在“类别”下拉列表框里选择“当前运行的程序”选项，即可在页面的左侧显示所有已经启动的进程，并且按照所属厂商进行归类。尽管在任务管理器中也能查看当前启动的进程，但是Windows Defender所提供的信息远比任务管理器多。
8 z4 ]& \% B% |
! a, I$ x! `) p5 P+ M　　这里可以在左侧的进程列表里选中一个“Microsoft Generic Host Process for Win32 Services”（svchost.exe）进程，即可在右侧详细窗格里看到其具体信息，如图9。
" K7 y  }2 v! q+ C5 b/ Y
　　其中绝大多数信息类似于查看自启动进程所得到的信息。但是其中的一项“服务”信息非常有用，可以查看该进程所加载的系统服务，例如本例中我们可以看到该进程加载了DCOM Server Process Launcher、Plug and Play等多个服务。

+ k9 w' m. K' C& M; T- h　　对于某些进程，我们可以单击右侧的“结束进程”按钮中止该进程，但是并不是所有的进程都可以通过这种方法中止（这时候“结束进程”按钮灰色显示），这是因为这些进程是Windows Vista的重要进程，如果强行中止的话，可能会导致系统崩溃。

　　网络连接程序
$ J/ Q8 \7 U% g2 r" ~
　　在“类别”下拉列表框里选择“网络连接的程序”选项，即可在页面的左侧显示所有网络连接进程，并且按照所属厂商进行归类。

* |2 Q6 [% Y+ s9 H6 h　　
( w2 `" B* m+ y: V- W; }/ V
0 v9 f- W* Z' J( p0 B$ B$ R: E9 D　　这个功能非常实用，例如我们选中左侧进程列表里的“Messenger”进程，在右侧的详细窗格里即可看到该进程的具体信息，如图10所示。

　　可以看到Messenger在本地打开的TCP/IP端口，以及远程IP地址所监听的端口。如果要中止该进程，单击右侧的“结束进程”按钮即可。如果希望阻止Messenger的入站连接，单击右侧的“传入阻止”按钮即可。
% }5 ^" M8 L8 C* ]0 F/ O
1 a. Q0 @9 Z0 g* L/ J　　单击右侧的“传入阻止”按钮，实际上是在Windows防火墙里取消“Windows Live Messenger 8.0”的例外，我们可以按照以下步骤进行验证：

　　

% R9 k0 l$ l* B2 G# y/ g! n　　在运行对话框里输入“firewall.cpl”，按回车打开“Windows防火墙”对话框，并切换到“例外”标签页。
8 }& O3 z7 ]) j/ k0 X0 s- i: v
, g+ P, `5 w0 i, S# [/ M! p7 R　　在该“例外”标签页里，我们可以看到“Windows Live Messenger 8.0”的例外左侧的复选框被清空，如图11