5 tính năng bảo mật của Windows 7 các doanh nghiệp nên biết pptx

5 tính năng bảo mật của Windows 7
các doanh nghiệp nên biết
2 từ Windows và security – bảo mật không phải lúc nào cũng tương thích.
Trong quá khứ, cuộc tìm kiếm của Microsoft trong việc tạo một hệ điều hành
càng dễ quản lý càng tốt đối với người dùng lại đồng nghĩa với việc phải hy
sinh chức năng bảo vệ bởi nó rất dễ bị xâm nhập và lây nhiễm. Các vụ tai
tiếng của Windows XP về lỗ hổng dễ bị sâu hại máy tính đột nhập là một ví
dụ, và Microsoft đã nâng cấp hệ điều hành với một bức tường lửa – firewall.
Tuy nhiên, họ lại để nó mặc định tắt.
Sau những lỗ hổng trong các phần mềm của hãng, Vista đã đánh dấu một bước lớn
trong bảo mật Windows. Sau đó, Windows 7 tiếp tục phát triển sự cải tiến này khi
thêm một số tính năng mới và cùng với việc tăng cường cho các tính năng khác –
ví dụ hiển nhiên nhất là hệ thống User Account Control trong Windows Vista đã
khiến người dùng phải tắt bỏ, mặc dù điều này có thể khiến hệ điều hành của họ có
lỗ hổng để hacker có thể tận dụng, đổi lại thì họ có trải nghiệm bớt khó chịu hơn
với hệ điều hành. Trong Windows 7, UAC đã được “tân trang” lại, giảm bớt xâm
nhập và nhận biết rõ mối đê dọa hơn để có thể hoạt động hiệu quả hơn.
Những tính năng bảo mật khác của Windows 7 ít rõ ràng hơn, đặc biệt là những
tính năng dành cho các doanh nghiệp có quan tâm tới bảo vệ an ninh cho không chỉ
một mà toàn bộ mạng máy tính. Trong số những tính năng mới quan trọng nhất là
DirectAccess, một sự thay thế cho VPN đối với các máy tính hoạt động trên hệ
thống Windows; là tính năng Windows Biometric Framework, chuẩn hóa cách sử
dụng vân tay trong các máy quét và các ứng dụng sinh trắc; và AppLocker, nâng
cấp phiên bản trước đó của Windows là Software Restriction Policies nhằm hạn
chế các phần mềm có thể chạy trên máy tính.
Một tính năng khác đáng chú ý là BitLocker To Go. Tính năng này cho phép mở
rộng mã hóa ổ đĩa của BitLocker đối với các ổ cứng cắm ngoài và có phương pháp
“tinh lọc” các profile firewall hiện có để tăng khả năng phòng thủ khi người dùng
truy cập Internet.
Theo thói quen thông thường, những tính năng này được phổ biến rộng rãi mà
không có sự phô trương hay hướng dẫn của hãng. Hãy cùng nhìn qua từng tính

năng để có thể biết cách chúng giúp Windows trở nên an toàn hơn.
Chú ý rằng một số tính năng này có sẵn trong tất cả các phiên bản của Windows 7,
trong khi một số khác chỉ có trên phiên bản Enterprise hay Ultimate. Hơn nữa, bạn
không thể thực hiện đầy đủ một số tính năng trừ khi bạn cập nhật tất cả người dùng
vào Windows 7 hoặc ít nhất là một - DirectAccess – có yêu cầu nền mà hầu hết các
công ty không có. Tuy nhiên, những tính năng này hoạt động được với các nghệ cũ
hơn đối với những người dùng vẫn “kiên định” sử dụng các phiên bản cũ của
Windows.
Vì vậy, mặc dù bạn không thể tận dụng ngay lập tức toàn bộ các tính năng mới,
nhưng bạn vẫn có thể lên kế hoạch sử dụng cũng như biết rõ hơn về chúng ngay tại
thời điểm này. Chúng ta sẽ bắt đầu với những tính năng bạn có thể sử dụng ngay.
Multiple active firewall profiles
Windows 7 cung cấp một cải tiến tuy nhỏ nhưng rất quan trọng từ Vista trong cách
quản lý profile firewall. Vista cho phép người dùng cài đặt các profile khác nhau
cho công cộng, cá nhân và kết nối miền. Mạng cá nhân có thể là mạng Wi-Fi, riêng
về chuẩn WEP hay WPA, dù không đăng nhập nhưng bạn vẫn có thể tin tưởng nó
hơn là mạng công cộng hay các quán café. Một miền yêu cầu các xác nhận - mật
khẩu, vân tay, thẻ thông minh hoặc các yếu tố kết hợp khác – để có thể đăng nhập.
Mỗi một loại profile có lựa chọn về ứng dụng và kết nối riêng để có thể được phép
đi qua firewall. Ví dụ, đối với mạng cá nhân hoặc doanh nghiệp nhỏ, sử dụng
Private là bạn có thể cho phép chia sẻ file và máy in, trong khi với mạng sử dụng
Public, bạn có thể ngăn cản việc truy cập các file của bạn.
Các profile của firewall hoạt động tốt trừ trường hợp một máy tính được kết nối
đồng thời với rất nhiều mạng, ví như Ethernet và mạng không dây. Trong trường
hợp này, hệ thống cần phải mặc định sử dụng một profile hạn chế nhất. Tuy nhiên,
điều này có thể gây rắc rối, ví như khi kết nối tới một VPN thông qua mạng Wi-Fi ,
Vista có thể nhận dạng kết nối đồng thời tới cả 2 mạng công cộng và cá nhân và áp
dụng profile công cộng cho cả 2.
Tất cả các phiên bản của Windows 7 đều cho phép các máy tính hoạt động một số
profile của firewall trong cùng một thời điểm, lưu giữ truy cập và hoạt động của

các mạng đáng tin cậy trong khi nó sẽ ngăn chặn những mạng ít đáng tin cậy hơn.
Bởi có rất nhiều chức năng truy cập từ xa yêu cầu cài đặt firewall bớt “nghiêm
khắc”, giờ đây người dùng có thể làm việc an toàn hơn trong khi vẫn được bảo vệ
từ các nguy cơ tấn công bên ngoài mạng.

Windows Biometric Framework
Với việc nhận dạng vân tay ngày càng phổ biến trên máy tính xách tay, nhiệm vụ
thiết lập một chuẩn trong việc lưu trữ dữ liệu sinh trắc đã trở nên quan trọng hơn
bao giờ hết. Với tính năng Windows Biometric Framework, một chuẩn để lưu trữ
dữ liệu vân tay và truy cập nó thông qua tham chiếu giao diện lập trình ứng dụng
API. Mặc dù hầu hết các tính năng của hệ thống phụ này chỉ thích hợp với các lập
trình viên, có 2 điều quan trọng mà các doanh nghiệp nên biết:
Thứ nhất, trong khi máy quét vân tay chỉ có thể sử dụng để đăng nhập vào một
máy tính mà không thể đăng nhập vào một miền của công ty thì Windows
Biometric Framework lại có thể đăng nhập miền.

Thứ 2, người dùng có thể lưu tới 10 dấu vân tay, mỗi tay một dấu. Mặc dù hầu hết
chúng ta không hề muốn bị mất dấu vân tay, có tới 10 dấu vân tay để sử dụng luân
phiên đề phòng trường hợp xấu xảy ra. Ví như bạn bị bỏng khi đang nấu ăn hoặc
không để ý bị kẹt tay vào cửa. Trong trường hợp này, bạn sẽ cảm ơn tính năng
Windows Biometric Framework khi đã cho phép lưu tới 10 dấu vân tay, bởi bạn
không phải chờ ngón tay đã lưu dấu vân tay hồi phục mà vẫn có thể truy cập máy
tính của mình.
Dấu vân tay được thêm bằng cách sử dụng Biometric Device, có trong Control
Panel của bất kì máy tính chạy hệ điều hành Windows 7, với máy quét dấu vân tay
được gắn trước. Từ đó bạn có thể khởi động máy tính và truy cập miền. chú ý rằng
bạn sẽ phải đăng nhập với quyền là người quản lý mới có thể thêm hoặc quản lý
dấu vân tay trong Windows 7.
BitLocker To Go
Một trong những vấn đề về bảo mật nghiêm trọng nhất mà các doanh nghiệp phải

đối mặt ngày nay là việc mất những chiếc di động quý giá có chứa thông tin quan
trọng. Windows Vista's BitLocker đã bắt đầu nhấn mạnh vấn đề này bằng cách cho
phép người dùng có thể mã hóa toàn bộ ổ cứng của máy tính xách ta. Vì thế, khi bị
mất hoặc bị trộm, không ai có thể truy cập thông tin được lưu trong đó. BitLocker
To Go thậm chí còn mở rộng các biện pháp bảo vệ tới cả những ổ cứng cắm ngoài.

Được tích hợp trong các phiên bản Windows 7 Enterprise và Ultimate, BitLocker
To Go rất dễ sử dụng: phải chuột vào ổ đĩa và chọn Turn on BitLocker để mở một
wizard có một loạt các bước để mã hóa ổ đĩa của bạn. chờ cho tới khi quá trình
hoạt động thành công, bạn đã có một ổ đĩa được mã hóa. Thời gian đợi phụ thuộc
vào tốc độ của máy tính và ổ cứng. Tuy nhiên, tốc độ mã hóa sẽ rơi vào khoảng 20
phút cho một ổ đĩa flash 2GB.
Ngoài ra, ổ đĩa BitLocker To Go sẽ được giải mã bởi mật khẩu hoặc đối với các
doanh nghiệp, họ có thể sử dụng thẻ thông minh với các xác nhận khác nhau.
Các ổ đĩa được mã hóa tháo ra được có thể tạo trên phiên bản Enterprise và
Ultimate của Windows 7. Tuy nhiên, khi mã hóa một ổ đĩa, bạn có thể đọc và thêm
dữ liệu trên ổ này từ bất kì một máy tính nào có chạy hệ điều hành Windows 7.
Ngoài ra, bạn có thể cài đặt một ứng dụng reader trên ổ đã được mã hóa, cho phép
người dùng đọc các dữ liệu từ máy tính Vista và XP.
Tính năng bảo mật phụ có thể áp dụng ở môi trường doanh nghiệp thông qua
quyền người quản lý có thể cho phép người dùng chỉ được lưu dữ liệu trên ổ
BitLocker To Go, đề phòng trường hợp người dùng lưu trữ dữ liệu trên ổ cứng
không bảo mật. Người dùng Windows Server cũng có thể giữ mật khẩu khôi phục
trong một chứng thư bằng cách sử dụng Active Directory. Vì vậy, nếu mật khẩu bị
mất hoặc quên có thể khôi phục lại.
AppLocker
Quản lý các ứng dụng người dùng có thể cài đặt hoặc chạy là một cách hiệu quả để
duy trì tính ổn định của hệ thống, ngăn chặn malware và bảo vệ việc các ứng dụng
ngốn băng thông như BitTorrent truy cập.
Trong các phiên bản trước của Windows, điều này được thực hiện bởi tính năng

Software Restriction Policies. Tính năng này có thể áp dụng để ngăn chặn một số
phần mềm từ vị trí của bó trong file hệ thống hoặc làm chúng thất bại khi kết nối
với mật mã của một ứng dụng đáng tin cậy.
Software Restriction Policies có thể gây một chút rắc rối khi thực hiện và duy trì
hiệu quả. Một số chương trình cần cài đặt bên ngoài đường dẫn đặc trưng, đòi hỏi
phải tạo một đường dẫn mới. Mặc dù những tính năng này cung cấp khả năng bảo
mật cao nhưng lại thất bại mỗi khi chương trình nào đó được cập nhật. Vì vậy,
người quản lý IT cần phải duy trì và cập nhật danh sách các rule và hủy chức năng
cập nhật tự động của chương trình.
AppLocker, có sẵn trong Windows 7 Enterprise và Ultimate (cũng có trong
Windows Server 2008 R2), có thêm một phương pháp mới, linh động trong việc
quản lý phần mềm: publisher rule. Publisher rule dựa vào thông tin hồ sơ ký hiệu
của chương trình, hiện đang có rất nhiều ứng dụng sử dụng.
Thông tin này chi tiết hơn so với đường dẫn file hay mã lệnh của dữ liệu, cho phép
người quản lý có thể tạo các rule phức tạp như cho phép phần mềm chỉ được chạy
từ một publisher cụ thể, với tên riêng biệt và tên file cụ thể hay một phiên bản cụ
thể để hoạt động. Ví dụ, một rule có thể cho phép bất kì thứ gì từ Adobe có thể
chạy hoặc chỉ Photoshop hoặc chỉ những phiên bản hiện nay và phiên bản trong
tương lai của Photoshop.
Các rule của AppLocker có thể áp dụng cho các file thực thi, script, chương trình
cài đặt hoặc thư viện hệ thống, cho phép người dùng đủ quyền để cài đặt những
phần mềm cần thiết hoặc cập nhật mà không cần quyền người quản lý trong khi
vẫn ngăn chặn họ việc sử dụng các phần mềm không được phép sử dụng.
Hơn nữa, các rule của AppLocker còn có thể áp dụng cho một số người cụ thể hoặc
một nhóm người dùng, một nhóm kế toán hoặc một nhóm thiết kế đồ họa có sử
dụng các phần mềm chuyên dụng khác, nhưng với AppLocker, chỉ một số quyền
cụ thể được áp dụng cho mỗi nhóm với những hạn chế và quyền lợi khác nhau.
AppLocker còn có thể dùng để phân biệt những người dùng khác nhau khi họ sử
dụng chung một máy tính.
Tính năng tiết kiệm thời gian thực là khả năng tạo rule tự động từ một máy tính

đáng tin cậy. Các quyền có thể chia sẻ và áp dụng toàn cầu đối với mạng sử dụng
cài đặt Group Policy của Windows.
Một điều quan trọng cần phải lưu ý là các rule của AppLocker chỉ áp dụng cho
những máy tính chạy hệ điều hành Windows 7 với phiên bản Enterprise hay
Ultimate. Nếu một số người dùng trong công ty vẫn sử dụng các phiên bản cũ của
Windows, bạn cần phải cài đặt Software Restriction Policies. Càng nhiều người
dùng nâng cấp lên Windows 7, bạn có thể đồng bộ Software Restriction Policies và
dựa vào tính năng AppLocker.
DirectAccess
Được Microsoft quảng cáo là thế hệ tiếp theo thay thế cho VPN, DirectAccess cho
phép người dùng Windows 7 Enterprise và Windows 7 Ultimate có thể kết nối trực
tiếp với Windows 2008 R2 và các thế hệ server khác trong tương lai. Trong khi
người dùng thường quen với kết nối VPN, DirectAccess hoàn toàn dễ hiểu với
người dùng cuối: khi máy tính kết nối với Internet, DirectAccess tự động tạo một
mạng bảo mật cho mạng doanh nghiệp mà không cần tới bất kì một hành động nào
của người dùng, và tự động định tuyến các yêu cầu đối với mạng nội bộ thông qua
kết nối này.
Ngoài ra, DirectAccess có một số cải tiến so với kết nối VPN truyền thống trong
việc tự động kết nối. Trước tiên, tính năng này sử dụng giao thức Internet IPsec và
IPv6 để mã hóa và định tuyến kết nối end to end. Trong khi mã hóa VPN được
thực hiện ở máy chủ VPN, DirectAccess có thể giữ mã hóa trong suốt quá trình kết
nối đi và đến từ ứng dụng của máy chủ bên trong mạng doanh nghiệp.
(DirectAccess hỗ trợ một số giao thức khác để tạo đường dẫn cho kết nối này
thông qua mạng không hỗ trợ IPv6 hay IPsec)
Do DirectAccess sử dụng một cổng chuẩn Internet cho lưu lượng lưu thông, nó dễ
dàng đi qua firewall mà không cần cấu hình thêm, một điều mà người dùng VPN
luôn phải đối mặt.
Một tiện dụng khác của tính năng này là: do kết nối được tạo ra và duy trì tự động,
người quản lý có thể liên tục quản lý và cập nhật những máy sử dụng
DirectAccess, ngay cả khi người dùng không trực tiếp sử dụng nguồn của doanh

nghiệp.
Điều này có nghĩa rằng VPN cần được kiểm duyệt, quét trước khi họ được phép
truy cập mạng của doanh nghiệp, một quá trình làm chậm kết nối và hạn chế năng
suất làm việc, cũng như chỉ cung cấp cho người quản lý IT một cửa sổ nhỏ trong
thời gian quản lý máy truy cập từ xa. Với DirectAccess, các máy tính được cập
nhật cùng thời điểm với các máy tính còn lại của mạng doanh nghiệp và được quản
lý bất cứ khi nào người dùng muốn truy cập vào mạng doanh nghiệp.
Tuy nhiên, bạn phải chú ý rằng không phải doanh nghiệp nào cũng có thể chuyển
ngay sang sử dụng DirectAccess. Hệ thống dựa vào cơ sở hạ tầng mạng cao cấp –
bao gồm Windows Server 2008 R2 và IPv6 – mà một số doanh nghiệp chưa nâng
cấp, họ sẽ phải mất một vài năm trước khi có đầy đủ các công cụ và kỹ thuật để có
thể chuyển hoàn toàn sang sử dụng DirectAccess. Vì vậy, trong thời gian chờ đợi
thì bạn có thể dùng kết nối VPN truyền thống.
Dẫu vậy, tính năng này vẫn đưa ra một đại cương cho mạng tương lai, bảo mật,
luôn kết nối tới dữ liệu khi cho phép những người kết nối từ xa có thể làm việc như
thể họ đang ngồi tại văn phòng chính.
Đối với các doanh nghiệp, Windows 7 giúp các công ty thiết lập sự hợp tác giữa
phòng bảo mật IT và người dùng cuối , cho phép nhân viên làm việc trong khi vẫn
áp dụng các quyền bảo mật và cập nhật từ mạng. Tất cả những tính năng chia sẻ
này giống như một bản giao ước dễ sử dụng, không tốn một chút chi phí cho bảo
mật và rất tiện ích cho các doanh nghiệp.