与仅断电待机的睡眠不同，休眠会把易失内存的状态持久化到磁盘上的镜像分区，关机后数据仍然留在存储介质上。恢复时内核把镜像读回内存并继续执行，进程状态、密钥材料与会话数据随之回到运行环境。

这一机制带来两类典型风险：一是镜像以可读形式存在于磁盘上，可能成为离线取证或数据泄露的入口；二是镜像若在恢复前被替换或篡改，内核会在高信任路径上加载被改动的状态。因此加固方向通常集中在两点——限制休眠镜像的读写权限与访问时机，以及在恢复前校验镜像来源与完整性。

对企业 IT 而言，休眠安全是终端基线中容易被忽略的一项。笔记本携带离场、维修或二手处置时，磁盘上的休眠镜像等同于把一次内存快照留在设备上。建议结合全盘加密与可信平台模块使用，明确允许休眠的机型与策略范围，并通过组策略或配置管理工具统一控制；在对数据外泄敏感的角色上，直接禁用休眠、改用待机的做法往往更容易验证和审计。

来源：LWN，原文。