parallels desktop 通过多层隔离与内置安全机制提升虚拟机安全性，关键在于合理启用虚拟tpm、安全启动、收紧共享功能、选择合适网络模式及严格管控系统权限。
parallels desktop 本身不是杀毒软件，但它通过多层隔离与可控机制，显著提升虚拟机环境的整体安全水位。关键不在于“加装更多防护”，而在于合理启用和配置已内置的安全能力。
启用虚拟 TPM 与安全启动
这是 Windows 10/11 虚拟机的基础安全支柱。vTPM 不仅是升级 Windows 11 的硬性要求，更是 BitLocker 加密、Windows Hello、Credential Guard 等核心安全功能的运行前提。
- 必须确保虚拟机使用 UEFI BIOS（非传统 BIOS），否则 TPM 选项不可见
- 添加 vTPM 后，系统会自动启用安全启动，阻止未签名驱动加载
- 加密密钥由 Parallels Desktop 存入 Mac 系统钥匙串，受 macOS 原生保护
- 注意：启用后虚拟机绑定当前 Mac，不建议复制或迁移——如需备份，请先导出恢复密钥
限制跨系统文件暴露面
拖放、共享剪贴板和共享文件夹虽便利，但也是潜在攻击入口。Parallels Desktop 默认做了隔离，但用户可进一步收紧：
- 关闭不需要的共享项：在虚拟机配置 → 选项 → 共享 → 取消勾选“共享文件夹”“共享剪贴板”“拖放”
- 若保留共享文件夹，避免将其指向 macOS 系统目录（如 /Users/xxx/Desktop）、应用数据目录或 Keychain 相关路径
- Windows 虚拟机中安装轻量级反病毒软件（如 Microsoft Defender），并开启实时扫描——它只影响虚拟机内部，不影响 macOS
网络模式选择即安全策略
不同网络模式本质是不同信任边界。选错模式，等于主动打开风险窗口：
- 日常开发/办公首选“共享网络（NAT）”：虚拟机对外可上网，但局域网其他设备无法扫描或连接它，天然防火墙
- 避免无必要启用“桥接模式”：该模式让虚拟机获得真实局域网 IP，等同于一台物理 Windows 电脑暴露在内网中，易被横向渗透
- 敏感测试或离线任务用“仅主机模式”：彻底切断外网，仅保留 Mac 与虚拟机点对点通信，适合逆向分析或恶意样本观察
权限与系统扩展管控
Parallels Desktop 需要加载系统扩展才能创建虚拟网卡、管理内存映射等。macOS 的权限控制是第一道防线：
- 安装或更新后，务必前往「系统设置 → 隐私与安全性 → 完全磁盘访问」和「系统扩展」中手动授权 Parallels 进程
- 拒绝授权会导致网络初始化失败、USB 设备识别异常、甚至虚拟机无法启动
- 定期检查「活动监视器」中是否有残留的 prl_* 进程；异常高 CPU 占用可能暗示后台服务异常，可重启 Parallels Service（菜单栏图标 → 退出并重开）
