2025年10月14日后继续使用Windows 10需采取七类措施：一、注册ESU获取关键安全补丁；二、强化Windows安全中心离线防护；三、部署本地签名库与定时扫描；四、启用TPM 2.0与Secure Boot硬件隔离；五、禁用SMBv1、RDP等高危服务；六、硬件达标则升级Win11；七、老旧设备可迁至Ubuntu LTS等Linux发行版。
如果您在2025年10月14日之后继续使用Windows 10，系统将不再接收微软官方的安全更新与技术支持，此时面临未修补漏洞、驱动兼容性退化及安全中心功能受限等风险。以下是针对该状态下的安全维护方案：
一、注册扩展安全更新（ESU）计划
微软为Windows 10用户提供付费的扩展安全更新服务，可在支持终止后继续获得关键安全修补程序，但不包含新功能或技术支持。
1、确认设备是否符合ESU计划资格：仅限Windows 10 Home、Pro、Pro Education或Workstations版本；必须运行22H2或更高版本；需已安装全部可用更新。
2、确保使用Microsoft账户登录且具备管理员权限；若为本地账户，需先切换至Microsoft账户。
3、打开“设置 > 更新和安全 > Windows 更新”，查找并点击“立即注册”入口；若未显示，可尝试启用设备设置同步至云端以触发选项。
4、选择注册方式：支付30美元、兑换1000个Microsoft Rewards积分，或欧盟用户直接获取。
5、注册成功后，在“Windows 更新”中手动检查并安装含“ESU”标识的安全补丁。
二、强化Windows安全中心离线防护能力
即使失去官方更新通道，Windows安全中心仍可基于本地签名库与行为分析提供基础防护，需固化其核心模块运行环境并禁用依赖云端更新的功能。
1、进入“设置 > 隐私与安全 > Windows安全”，确认“病毒与威胁防护”与“防火墙与网络保护”均已启用。
2、在“病毒与威胁防护设置”中开启实时保护、勒索软件防护，并将基于云的保护设为“仅限已知威胁”。
3、在“管理设置”中关闭自动样本提交与云交付保护，防止因服务终止导致功能异常。
三、部署独立签名库与离线扫描机制
微软自2025年10月起停止向Windows 10推送新病毒定义，但可借助第三方工具导入截止于支持终止日前的最新签名包，并构建本地扫描调度任务。
1、从Microsoft官方存档页面下载2025年10月13日发布的最后版Defender签名包（文件名含mpam-fe.exe），保存至本地非系统盘。
2、以管理员身份运行命令提示符，执行：mpcmdrun -SignatureUpdate -MMPC，强制加载本地签名文件。
3、使用Task Scheduler创建每日凌晨2点触发的计划任务，调用mpcmdrun -Scan -ScanType 2执行全盘深度扫描。
四、启用硬件级可信执行环境隔离
在无系统层更新支持的前提下，利用TPM 2.0芯片与UEFI Secure Boot构建启动链防护，阻止固件层恶意代码注入，弥补操作系统更新缺失带来的引导安全空白。
将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。
1、重启进入BIOS/UEFI设置界面，确认TPM Device Enabled与Secure Boot Mode: Standard均处于启用状态。
2、在Windows中以管理员身份运行PowerShell，执行：Confirm-SecureBootUEFI，验证返回值为True。
3、运行tpm.msc打开TPM管理控制台，点击“操作 > 准备TPM”，选择“清除TPM并重新启动”，完成后立即启用BitLocker加密系统分区。
五、禁用高危协议与关闭不必要的网络服务
通过系统级配置主动收缩攻击面，替代部分因缺失更新而失效的默认防护机制。
1、在PowerShell（管理员）中运行：Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol -NoRestart，禁用SMBv1协议。
2、进入“控制面板 > 系统和安全 > Windows Defender防火墙 > 高级设置”，新建入站规则阻止TCP 3389（RDP）、135-139（NetBIOS）、445（SMB）等高危端口。
3、在“服务”管理器中定位Remote Desktop Services，将其启动类型设为“禁用”，并停止该服务。
六、迁移到Windows 11（硬件达标前提下）
若设备满足Windows 11最低硬件要求，升级是恢复完整安全支持周期最直接有效的路径。
1、下载并运行微软官方PC健康检查工具（PC Health Check），验证兼容性状态。
2、备份全部用户数据至外部存储设备或可信云服务，避免升级中断导致文件损坏。
3、通过“设置 > 更新和安全 > Windows 更新”检查更新，若显示升级选项则点击安装；否则使用Windows 11安装助手或创建可启动U盘进行清洁安装。
七、转向轻量级Linux发行版（老旧设备适用）
对于无法满足Windows 11硬件要求的旧设备，迁移至长期支持的开源操作系统可规避闭源系统停服风险，并保持基础办公与网络功能。
1、选择Alibaba Cloud Linux或Ubuntu LTS等提供长达5年安全维护的发行版。
2、使用Rufus工具将ISO镜像写入USB闪存盘，设置BIOS为UEFI模式并禁用Secure Boot（如需）。
3、启动后选择“试用而不安装”，验证Wi-Fi、显卡、声卡等关键硬件驱动兼容性。
4、确认无误后执行安装，分配至少20GB根分区与4GB交换空间，保留原有Windows分区作为数据盘。
