По-близък поглед върху базата данни с висока достоверност

Класификации на достоверността

Базата данни с висока достоверност групира устройствата в поверителни класификации, които отразяват текущата оценка на Microsoft на готовността за актуализация на сертификата за защитено стартиране и се използват за насочване на решенията за разполагане.

• Висока достоверност: Устройствата в тази група демонстрират чрез наблюдаваните данни, че могат успешно да актуализират фърмуера с помощта на новите сертификати за защитено стартиране.

• Временно поставена на пауза: Устройствата в тази група са засегнати от известен проблем. За да се намали рискът, актуализациите на сертификата за защитено стартиране временно се поставят на пауза, докато Microsoft и партньорите работят за поддържано решение. Това може да изисква актуализация на фърмуера. Потърсете събитие 1802 за повече подробности.

• Не се поддържа – известно ограничение: Устройствата в тази група не поддържат пътя за автоматично актуализиране на сертификата за защитено стартиране поради хардуерни или фърмуерни ограничения. В момента не е налично поддържано автоматично решение за тази конфигурация.

• Под наблюдение – необходими са още данни: Устройствата в тази група в момента не са блокирани, но все още няма достатъчно данни, за да се класифицират като с висока достоверност. Актуализациите на сертификата за защитено стартиране могат да бъдат отложени, докато има достатъчно данни.

• Не се наблюдават данни – изисква се действие: Microsoft не е наблюдавал това устройство в данните за актуализация на защитеното стартиране. В резултат на това автоматичните актуализации на сертификати не могат да бъдат оценени за това устройство и вероятно е необходимо действие на администратор. Тази класификация не е включена в базата данни с висока достоверност и се излъчва от Windows, когато устройството не е намерено в базата данни.

обратно към началото 

Достъп до данните в GitHub

Microsoft публикува четима от хора версия на базата данни с висока достоверност в GitHub, за да предостави прозрачност на данните, използвани за оценяване на готовността за актуализиране на сертификата за защитено стартиране. Тази версия включва атрибутите на устройството, използвани за формиране на доверителни набори, и е предназначена за инспектиране и анализ от хора. То не се използва директно от обслужването на Windows.

Данните са налични в GitHub хранилището на обекти за защитено стартиране на Microsoft и могат да бъдат полезни за следните аудитории:

• ИТ администратори и екипи за защита: Оценяване на готовността за разполагане на защитено стартиране и разберете кои класове устройства може да отговарят на условията за актуализации на сертификата, доставени чрез кумулативни актуализации.

• Производители на устройства: Прегледайте как конфигурациите на устройството и фърмуера са представени в екосистемата на Windows.

• Други доставчици на операционни системи, включително дистрибуции на Linux: Разберете как конфигурациите на устройството и фърмуера са класифицирани и, когато е приложимо, да се съгласуват с подхода на Microsoft за поетапно внедряване.

Данните се актуализират два пъти месечно, подравнени с месечните актуализации на защитата през втория вторник от месеца и опционалните актуализации на предварителния преглед, които не са свързани със защитата, на четвъртия вторник от месеца. ​​​​​

обратно към началото

Данни с висока достоверност, включени в актуализациите на обслужването

Подписана версия на базата данни с висока достоверност е включена в кумулативните актуализации на Windows и се използва директно от обслужването на Windows за оценка на готовността за актуализация на сертификата за защитено стартиране. Тези данни са защитени и оценени локално, което позволява решения за обслужване дори когато дадено устройство не е видимо за телеметрията на Microsoft.

На устройството данните се съхраняват като BucketConfidenceData.cab под:

Тази интегрирана версия на обслужването съдържа компактно, структурирано представяне на доверителни набори. Тя включва само атрибутите, необходими за определяне на членството в набора и свързаната класификация на достоверността. Метаданните за версия и времево клеймо гарантират, че се използват най-новите приложими данни. Тази версия е оптимизирана за надеждност, размер и защита и не е предназначена за директна проверка или промяна.

обратно към началото

Получаване на актуализации на базата данни с висока достоверност по-често

Устройства, работещи с Windows 11, версия 24H2 или 25H2, могат да получават актуализации на базата данни с висока достоверност по-често от месечния график за актуализации на защитата. В допълнение към месечните актуализации на защитата, тези версии получават и опционални актуализации, които не са за предварителен преглед на защитата, които може да включват по-нови доверителни данни. Инсталирането на тези актуализации позволява на клиентите да останат по-близо до най-новите доверителни данни, докато остават в стандартното обслужване на Windows.

обратно към началото

Повторно използване на данни с висока достоверност във версии на Windows

В някои среди администраторите могат да изберат да разположат базата данни с висока достоверност за поддържани версии на Windows, по-стари от Windows 11, версия 24H2 или 25H2.

В този случай базата данни се получава от Windows 11, версия 24H2 или 25H2, които получават по-нови доверителни данни чрез незадължителни актуализации за предварителен преглед, които не са свързани със защитата. Разполагането на тази база данни позволява по-нови оценки на надеждността да се оценяват по-стари поддържани версии на Windows по-рано, отколкото само чрез месечни актуализации на защитата. Това не променя начина, по който се изчислява достоверността или как се прилагат актуализациите на сертификата за защитено стартиране.

обратно към началото

Разполагане на базата данни с висока достоверност за други версии на Windows

За да разположите BucketConfidenceData.cab, използвайте процес, който съответства на инструментите и практиките за разполагане на вашата организация.

1. Получете BucketConfidenceData.cab от система на Windows 11, версия 24H2 или 25H2, изпълняваща най-новите актуализации, които не са свързани със защитата. Файлът се намира на:

   %SystemRoot%\System32\SecureBootUpdates\

2. На целевите устройства, като администратор, създайте следната директория, ако тя все още не съществува:
   ​​​​​​​

   %ProgramData%\Microsoft\Windows\SecureBootUpdates

3. Разположете BucketConfidenceData.cab в тази директория.

Следващия път, когато планираната задача се изпълнява, обикновено в рамките на 12 часа, Windows ще използва този файл, ако е по-нов от версията, включена в актуализациите на обслужването.

обратно към началото

Как Windows избира поверителни данни

Дадено устройство може да съдържа повече от едно копие на базата данни с висока достоверност. За да осигури съгласувано поведение, Windows прилага модел на дефинирано предимство, когато оценява доверителните данни.

Когато подписан файл с данни с достоверност е включен в кумулативната актуализация, това копие на обслужването се използва по подразбиране. Ако има множество копия, Windows избира най-новата приложима версия въз основа на метаданните за версия и времево клеймо.

обратно към началото