我们经常收到这样的问题：“我已经在使用 Deep Freeze 了。我还需要 Anti-Executable 吗？这会不会太多余了？”，
这是一个合理的问题。这两种产品都能保护终端。它们都能防止恶意软件造成持久性损害。如果 Deep Freeze 每次重启都会清除所有内容，那为什么还要费力阻止可执行文件呢？
简而言之：它们在不同时间保护不同的东西。Deep Freeze 处理重启后发生的事情。Anti-Executable 处理会话期间发生的事情。两者结合起来，可以弥补单独使用时都无法解决的漏洞。
这是否“多余”取决于您的环境。本指南将解释每种产品保护的内容、它们为何互补以及何时组合使用最合适——以及何时单独使用 Deep Freeze 可能就足够了。
每种产品实际保护的内容
为了理解它们为何是互补而非冗余，让我们精确地说明每种工具的作用：
Deep Freeze：持久性保护。
Deep Freeze 确保在重启时，冻结驱动器上的任何更改都会被清除。会话期间安装的恶意软件？重启后消失。配置更改？消失。损坏的文件？消失。系统每次都会恢复到其基线状态。
Deep Freeze 做不到什么：它不会阻止会话期间发生的任何事情。恶意软件可以执行、加密文件、窃取数据、在网络中传播并造成损害——所有这些都发生在下次重启之前。Deep Freeze 之后会修复本地计算机，但它无法阻止活动威胁。
Anti-Executable：执行保护。
Anti-Executable 首先阻止未经授权的软件运行。到达系统的恶意软件无法执行。勒索软件无法启动。未经授权的应用程序无法运行。威胁在造成任何损害之前就被阻止了。
Anti-Executable 做不到什么：它不会撤销由不涉及新可执行文件的威胁（例如使用现有工具处理文档中的宏攻击）造成的损害，也不会在出现问题时恢复系统状态。如果白名单中的应用程序被利用，或者通过合法工具更改了配置，Anti-Executable 也无法修复。
各自留下的漏洞：
• 单独使用 Deep Freeze：会话期间威胁可以自由活动
• 单独使用 Anti-Executable：如果出现意外情况或批准的软件被泄露，则无法恢复
它们为何互补：实时保护 + 重启恢复
可以将其视为在不同时刻运作的两道防线：
会话期间（Anti-Executable）。用户点击了恶意电子邮件附件。附件试图启动勒索软件可执行文件。Anti-Executable 会阻止它——该可执行文件不在白名单中。威胁已中和。用户会看到“已阻止”通知；IT 会看到日志条目。没有发生加密。没有数据被窃取。没有造成损害。
会话之后（Deep Freeze）。计算机重启。即使会话期间发生了任何事情——配置更改、文件修改、任何意外情况——Deep Freeze 都会将其清除。系统恢复到基线状态。为下一位用户提供干净的起点。
组合有意义的实际场景：
场景 1：零日勒索软件。仅使用 Deep Freeze，勒索软件会执行，加密本地和可能的网络驱动器上的文件，并传播到其他计算机。重启后本地冻结的驱动器会恢复，但网络共享可能被加密，其他计算机可能被感染。添加 Anti-Executable 后，勒索软件永远无法执行。没有加密。没有传播。没有损害。
场景 2：数据泄露。恶意软件执行并开始将敏感数据上传到外部服务器。仅使用 Deep Freeze，上传会在下次重启前完成——数据已丢失。Deep Freeze 无法撤销数据泄露。使用 Anti-Executable，恶意软件根本无法运行。不会发生数据泄露。
场景 3：加密货币挖矿。未经授权的挖矿软件在会话期间持续运行，消耗资源和电力。Deep Freeze 在重启时将其删除，但它会在每个会话中重新安装（或被重新下载）。使用 Anti-Executable，它根本无法运行——即使它反复出现在系统中。
场景 4：横向移动。一台计算机上的恶意软件将其用作攻击网络上其他计算机的起点。Deep Freeze 在重启后保护源计算机，但不会阻止攻击其他系统。Anti-Executable 首先阻止恶意软件运行，从而保护本地计算机和网络。
场景 5：配置漂移。批准的应用程序配置错误，或用户使用合法的 Windows 工具更改了设置。Anti-Executable 不会阻止这种情况（不涉及新可执行文件）。Deep Freeze 在重启时恢复正确的配置。每种工具都能处理对方无法处理的情况。
同时运行两者的理想环境
组合使用在以下环境中最为合适：
公共访问计算机。图书馆、酒店商务中心、机场工作站、政府服务中心。未知用户带着未知意图全天访问计算机。您希望阻止威胁运行（Anti-Executable），并确保用户之间的完全恢复（Deep Freeze）。最大程度的保护以应对最大程度的风险。
学校计算机实验室。学生会尝试安装游戏、运行下载的软件以及尝试他们能找到的任何东西。Anti-Executable 会阻止这些尝试。Deep Freeze 确保每个班级都从干净的计算机开始。教师不必处理“这台计算机有问题”——预防和恢复都是自动的。
高安全性环境。金融服务、医疗保健、政府、关键基础设施。发生安全事件的成本很高。需要纵深防御。同时使用这两种工具可提供分层保护，满足安全要求并降低实际风险。
合规驱动环境。安全框架通常建议同时进行应用程序白名单和系统恢复功能。同时运行这两种工具可以向审计员展示多种补偿性控制。
自助服务终端和单用途机器。这些机器应只运行特定软件，任何偏差都值得怀疑。Anti-Executable 确保只运行批准的应用程序。Deep Freeze 确保自助服务终端在发生任何异常后恢复到其配置状态。
重启间隔较长的环境。如果计算机在没有重启的情况下运行很长时间——也许是一整天或一个完整的工作班次——Deep Freeze 的保护就会延迟。Anti-Executable 在这些长时间的会话期间提供持续保护。
何时单独使用 Deep Freeze 可能就足够了
我们不会假装每个人都需要两者。如果满足以下条件，单独使用 Deep Freeze 可能就足够了：
• 计算机重启非常频繁（每次会话后或每隔几个小时）
• 会话时间短，用户活动有限
• 网络隔离可防止威胁传播到其他系统
• 冻结的计算机无法访问敏感数据
• 强大的边界安全（Web 过滤、电子邮件过滤）可减少威胁量
• 预算限制需要优先排序
在这些环境中，造成损害的窗口很小，影响范围有限，而 Deep Freeze 的重启恢复可以解决大多数问题。Anti-Executable 增加了价值，但可能不是必需的。
诚实的评估：Deep Freeze 单独为许多环境提供了出色的保护。对于会话期间的威胁是重大担忧的环境，Anti-Executable 增加了另一层保护。在高风险环境中，这并非多余；在低风险环境中，可能是不必要的。
同时运行两者会增加管理工作吗？
一个合理的问题。现实情况是：
统一管理。从单个界面管理两者。一起部署配置。在一个地方监控这两种工具。管理开销不会翻倍——只有一个控制台管理两种功能。
协调维护。在维护窗口期间，可以一起管理这两种工具。解冻 Deep Freeze，将 Anti-Executable 置于维护模式，应用更新，白名单化新软件，然后重新启用两者。一个维护窗口可以处理这两种工具。
减少故障排除。矛盾的是，同时运行两者可以减少管理工作。Anti-Executable 可以阻止用户运行可能导致支持电话的问题软件（即使 Deep Freeze 在重启后会修复它）。由于从一开始就很少出现问题，因此“这台计算机有问题”的工单也更少。
稳定的环境维护成本低。一旦配置好，这两种工具在静态环境中几乎不需要持续关注。白名单很少更改。冻结的基线很少更改。日常管理工作量很轻。
常见问题解答
这种组合对用户来说是否过于严格？
对于适用的环境——共享 PC、实验室、自助服务终端——限制就是目的。用户只能运行批准的软件；他们不应期望更改会持久。对于需要灵活性的个人工作站，这两种工具通常都不适合。将工具匹配到可以接受限制的环境。
同时运行这两种工具会影响系统性能吗？
这两种工具的性能开销都很小。Deep Freeze 在磁盘级别运行，影响微乎其微。Anti-Executable 在启动时检查可执行文件——这是一个快速操作。同时运行这两种工具不会造成明显的减速。与单独运行其中一种工具相比，用户不会感觉到任何差异。
成本如何——支付两者的费用是否合理？
取决于您的风险状况。对于公共访问和高安全性环境，额外的保护证明了成本的合理性。防止一次勒索软件事件或数据泄露的成本通常远高于许可这两种工具的费用。对于风险较低的环境，单独使用 Deep Freeze 可能就足够了。我们宁愿您购买所需的产品，而不是为不需要的保护付费。
我可以在决定之前一起试用这两种产品吗？
可以。这两种产品都提供 30 天免费试用。将它们部署在代表性机器上，看看它们在您的环境中如何工作，并评估组合是否增加了价值。实际测试是做出决定的最佳方式。
它们之间会发生冲突吗？
不会。它们被设计为协同工作，并在不同级别运行。Deep Freeze 管理磁盘状态；Anti-Executable 管理执行权限。它们的运行没有冲突或重叠。Faronics 特别设计这些产品以使其互补。
我还需要添加防病毒软件吗，或者那肯定太多余了？
我们建议保留防病毒软件。Anti-Executable 会阻止未知可执行文件；防病毒软件会在已知威胁尝试执行之前捕获它们，并保护免受非可执行威胁（恶意文档、浏览器漏洞）的侵害。Deep Freeze 会从任何溜过的东西中恢复。三层防御，三种不同的保护机制，全面的覆盖。
底线：互补，而非冗余
Deep Freeze 和 Anti-Executable 在不同时间保护免受不同威胁的侵害。Deep Freeze 保证重启后的恢复。Anti-Executable 可防止会话期间的损害。两者结合起来，提供单独使用时都无法实现的持续保护。
这是否多余？对于个人工作站来说，可能是的——这两种工具都不适合该环境。对于公共访问计算机、高安全性系统和合规驱动环境，这种组合正是纵深防御的体现。
问题不是这种组合是否有价值——它显然有。问题在于您环境的风险状况是否能证明增加这一层保护的合理性。对于许多共享访问环境来说，答案是肯定的。
想看看它们如何协同工作？
免费试用 Deep Freeze 和 Anti-Executable 30 天。亲身体验分层终端保护。
→ 试用 Faronics Cloud Deep Freeze
→ 联系支持
