Windows 8 將安全性提升至核心設計層次，所有版本 (普通版、專業版、企業版、RT) 均內建基礎安全功能，專業版與企業版另提供進階企業級防護。本文全面解析各版本安全特性。
所有版本共通的基礎安全功能
1. UEFI 安全開機 (Secure Boot)
- 需 UEFI 2.3.1 相容韌體與 Windows 8 認證硬體
- 驗證所有開機元件 (開機載入器、驅動程式、核心) 數位簽章
- 阻止 Rootkit/開機套件在反惡意軟體載入前竄改系統
- 偵測到簽章驗證失敗 → 自動啟動修復模式嘗試修復
- 企業建議：部署時啟用並透過群組原則禁止使用者關閉
2. 智慧畫面篩選器 (SmartScreen Filter) 系統級擴展
- 從 IE 瀏覽器擴展至作業系統層級，攔截未知/惡意執行檔
- 雙引擎架構：
- URL 信譽：防禦網路釣魚、社交工程攻擊網站
- 應用程式/檔案信譽：追蹤檔案下載來源、驗證數位簽章、雲端信譽查詢
- 三級警告機制：
- 已知惡意 → 紅色封鎖頁面，強制阻止
- 未知/低信譽 → 黃色警告，允許使用者自行決定 (風險自負)
- 已知安全/高信譽 → 無提示直接執行
- 管理員可透過群組原則強制封鎖「未知/低信譽」應用程式執行
3. 內建 Windows Defender (整合 MSE 反病毒引擎)
- Windows 8 版 Defender = 完整即時反病毒/反惡意軟體解決方案
- 核心優勢：系統整合度高、記憶體/CPU 佔用極低、零成本、自動更新
- 企業啟示：評估是否可替換既有付費端點防護產品，降低授權成本
- 相容性：安裝第三方防毒軟體時自動停用並註冊為「監控模式」
專業版/企業版專屬進階安全功能
| 功能 | 專業版 | 企業版 | 說明 |
|---|
| BitLocker 磁碟加密 | ✅ | ✅ | 系統/固定/可攜式磁碟機加密，支援 TPM/密碼/智慧卡/USB 金鑰多重保護 |
| BitLocker To Go | ✅ | ✅ | 可攜式儲存裝置加密，跨電腦存取需輸入密碼 |
| 加密檔案系統 (EFS) | ✅ | ✅ | 檔案/資料夾層級加密，支援憑證備份與資料復原代理人 (DRA) |
| AppLocker | ❌ | ✅ | 規則型應用程式控制 (路徑/雜湊/發布者)，支援 DLL/腳本/安裝程式/執行檔 |
| DirectAccess | ❌ | ✅ | 無縫 VPN 替代方案，IPv6/IPsec 隧道，自動連線企業網路 |
| Windows To Go | ❌ | ✅ | 完整企業環境安裝於 USB，支援開機進入受管理工作區 |
| 群組原則管理 | ✅ (本機) | ✅ (完整) | 企業版支援完整域式群組原則部署與結果模組 (RSoP) |
| VPN 設定檔佈建 | ✅ | ✅ | 透過 PowerShell/MDM 大量部署 VPN 連線設定 |
Windows RT 版安全特性
- 裝置加密 (預設啟用，類似 BitLocker 但簡化管理)
- 安全開機 (強制啟用，不可關閉)
- 僅執行經 Windows Store 簽署驗證的 Metro 應用程式 (應用程式沙盒隔離)
- 內建 Office 2013 RT 受保護模式
- 不支援傳統桌面應用程式 → 原生免疫大多數 Win32 惡意碼
部署建議
- 採購具備 UEFI Secure Boot 與 TPM 2.0 的 Windows 8 認證硬體
- 企業環境：專業版起跳，大型組織採企業版 + AppLocker + DirectAccess
- 啟用 Windows Defender 作為基線防護，評估第三方產品增值後再決策
- 配置 SmartScreen 群組原則：封鎖未知應用程式、要求管理員核准
- 建立 BitLocker 復原金鑰備份機制 (AD 儲存/列印/雲端)
Windows 8 以「預設安全、纵深防禦」為核心哲學，將原為選配的安全技術 (Secure Boot、SmartScreen、Defender) 內建為標準裝備，大幅提升基準防護水位。