当恶意软件到达主机时，防护系统必须集中于保护主机系统及其数据，并停止感染的传播。这些防护与环境中的物理防护和网络防护一样重要。您应该根据以下假定来设计主机防护：恶意软件已经找到了通过前面的所有防护层的方法。此方法是达到最高保护级别的最佳方法。

　　客户端的病毒防护步骤

　　您可以使用许多方法和技术配置客户端病毒防护。以下各节详细说明 Microsoft 建议的注意事项。

　　步骤 1：减小攻击面

　　应用程序层上的第一道防护是减小计算机的攻击面。应该在计算机上删除或禁用所有不需要的应用程序或服务，以最大限度地减少攻击者可以利用系统的方法数。

　　在 Microsoft.com 上 Windows XP Professional 产品文档的"Default settings for services"（默认服务设置）页上，可以找到 Windows XP Professional 服务的默认设置，该页的网址为：http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/sys_srv_default_settings.mspx。

　　在已经将攻击面减至最小，且不影响系统的所需功能后，要此层上使用的主要防护是防病毒扫描程序。扫描程序的主要作用是检测和阻止攻击，然后通知组织中的用户，还可能通知组织中的系统管理员。

　　步骤 2：应用安全更新

　　可能连接到组织网络的客户端计算机数量很大，而且种类很多，仅这一点就可以导致很难提供快速而可靠的安全更新管理服务。Microsoft 和其他软件公司已经开发了许多可用来帮助解决此问题的工具。下列修补程序管理和安全更新工具当前可以从 Microsoft 获得：

　　? Windows Update。对于小型组织或个人，Windows Update 服务同时提供了手动过程和自动过程来检测和下载 Windows 平台的最新安全和功能修改。在某些组织中使用此方法时出现的问题包括：在从此服务部署更新之前缺少对测试的支持、同时下载同一程序包时客户端可能占用组织中一定量的网络带宽。有关使用此服务的信息可从 Windows Update 主页获得，其网址为：www.windowsupdate.com。
 
　　? Software Update Service。此服务旨在为企业中的 Windows 客户端提供安全更新解决方案。通过既允许内部测试也允许分布式安全更新管理，此服务为更大组织克服了 Windows Update 的这两项不足。有关使用此服务为您的组织开发解决方案的信息可从 Microsoft.com 上的 Software Update Service 主页获得，其网址为：http://www.microsoft.com/windowsserversystem/sus/
 
　　? Systems Management Server 2003。Microsoft Systems Management Server 2003 是一个完整的企业管理解决方案，它能够提供综合的安全更新服务以及更多功能。有关此解决方案的详细信息，请参阅 Microsoft.com 上的 Systems Management Server 主页，其网址为：http://www.microsoft.com/smserver/default.asp。
 

　　其中的每种 Microsoft 安全更新工具都有特定的优点和用途。最佳方法很可能是使用其中的一种或多种工具。为帮助评估组织的安全更新解决方案，请参阅 Microsoft.com 上"Choosing a Security Update Management Solution"（选择安全更新管理解决方案）页提供的功能比较，其网址为：http://www.microsoft.com/windowsserversystem/sus/suschoosing.mspx。