如果Windows系统上没有应用Spectre和Meltdown OS补丁，是否可以应用其他新的微软补丁？

Question

在此信息安全 QA中，我们深入讨论了 Windows 机器上是否需要为 Spectre 和 Meltdown 打补丁。

毫无疑问，有些人会决定他们想要修补某些 Windows 机器，而另一些人会决定他们不想修补某些 Windows 机器。

对于不需要补丁的 Windows 7 机器（由于已知问题，包括负面性能影响），有没有办法不安装这些特定补丁，但继续安装 Microsoft 发布的其他操作系统补丁？

或者，如果系统不需要 Spectre 和 Meltdown 操作系统级补丁，那么就不能再将 Microsoft Windows 7 补丁应用于该特定系统？

Answer 1

如果性能损失是您的主要反对意见，那么您似乎不需要阻止安装这些更新：被认为导致大部分损失的 Meltdown/Spectre 保护措施的那部分稍后可能会被关闭（或重新打开） ）与注册表项，确保您在不受影响的情况下不会受到性能损失：

启用修复

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 0 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

重新启动计算机以使更改生效。

禁用修复

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverride /t REG_DWORD /d 3 /f

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v FeatureSettingsOverrideMask /t REG_DWORD /d 3 /f

重新启动计算机以使更改生效。

（无需更改 MinVmVersionForCpuBasedMitigations。）

• 注意，由于屏蔽，设置 3 对于启用/禁用设置都是准确的。

不仅如此，由于大部分损失是由用户内核转换造成的，由于缓解措施，用户内核转换的成本更高，因此 Linux 和其他基于单片内核的操作系统的情况比 Windows 更糟糕。在某些 Windows 配置中，性能影响可以忽略不计，因此如果您的配置符合这些配置，则无需担心太多。

也就是说，另请注意，性能影响并不是Windows 的 Meltdown/Spectre 补丁的唯一问题。已知一些防病毒产品会导致进一步的问题，包括蓝屏错误和无法启动。

尽管跳过安全更新是最终措施（只有当您百分百确定自己知道自己在做什么并准备好面对后果时才应该这样做），但最好首先检查您的防病毒软件的官方建议供应商（可能还有任何其他系统相关软件的供应商，如果您的安装中有任何软件），如果可以将 Spectre/Meltdown 更新与他们的产品一起使用。

请注意，最终，如果不安装这些 Meltdown/Spectre 补丁，您将来似乎将无法安装任何安全更新。这样，最好不要跳过，而是管理。