使用特权访问工作站

查看顾问为 Contoso 出具的安全报告时，你发现恶意黑客通常将重点放在对基础结构拥有高级访问权限的管理员经常使用的工作站上。 因此，确保此类工作站安全非常重要。

什么是特权访问工作站？

特权访问工作站 (PAW) 是可以用于执行管理任务的计算机，例如标识系统、云服务及其他敏感功能的管理。 此计算机受到保护，不受 Internet 影响且被锁定，因此只有所需的管理应用可以运行。

切勿将此工作站用于 Web 浏览、电子邮件及其他常规的最终用户应用，它应该具有严格的应用程序控制。 不得允许其连接到无线网络或外部 USB 设备。 PAW 应实现安全功能，例如多重身份验证 (MFA)。

Microsoft 建议在 PAW 中安装 Windows 11 企业版。 这是因为 Windows 11 企业版支持其他版本中未提供的安全功能。 下表介绍了这些 Windows Defender 功能。

PAW 硬件配置文件

请务必记住，管理员也是用户。 这意味着他们会使用电子邮件、浏览 Web 以及运行 Microsoft Office 等高效办公应用。 正确配置的 PAW 会大大影响用户在非管理任务中高效工作的能力。

为保持安全性，应向管理员用户提供两个工作站。 一个工作站是 PAW，另一个工作站用于执行不需要提升的日常任务。 可以通过使用 PAW 硬件配置文件来实现这种分离。 Microsoft 建议使用以下其中一个硬件配置文件：

• 专用硬件。 将用户任务与管理任务的专用设备分离。 管理员工作站必须支持硬件安全机制（如受信任的平台模块 (TPM)），并实现前面已讨论的 Windows 10 企业版安全功能。
• 同时使用。 可以通过运行两个操作系统（其中一个是用户系统，另一个是管理员系统）同时运行用户任务和管理任务的单个设备。 为实现此目的，可以在 VM 中运行单独的操作系统，以供日常使用。

下表介绍了这些方法的优缺点。