Omezení rizik ověřování CLFS (Common Log File System)

V tomto článku 

Shrnutí

Období přijetí zmírnění rizik

Dopad na uživatele

Konfigurace

Aktualizace nastavení Zásady skupiny pomocí místního Zásady skupiny Editor

Aktualizace nastavení Zásady skupiny/MDM pomocí Intune

Změny rozhraní CLFS API

Nejčastější dotazy

Glosář

Shrnutí

Pro ovladač CLFS (Common Log File System) bylo zavedeno nové omezení zabezpečení ověřování, které přidává do podkladových souborů souboru protokolu CLFS ověřovací kód zpráv založený na hodnotě hash (HMAC). Ověřovací kódy se vytvářejí kombinací dat souborů s kryptografickým klíčem jedinečným systémem, který je uložený v registru a je přístupný pouze správcům a systému. Ověřovací kódy umožní clfs zkontrolovat integritu souboru a zajistit tak bezpečnost dat souborů před analýzou jeho interních datových struktur. CLFS předpokládá, že tento soubor byl externě změněn, úmyslně nebo jinak, pokud se kontrola integrity nezdaří a odmítne otevřít soubor protokolu. Pokud chcete pokračovat, musí se buď vytvořit nový soubor protokolu, nebo ho správce bude muset ručně ověřit pomocí příkazu fsutil.

Období přijetí zmírnění rizik

Systém, který obdrží aktualizaci s touto verzí CLFS, bude mít v systému pravděpodobně existující soubory protokolu, které nemají ověřovací kódy. Aby se zajistilo, že se tyto soubory protokolů převedou do nového formátu, systém umístí ovladač CLFS do režimu učení, který dá CLFS pokyn, aby automaticky přidával ověřovací kódy do souborů protokolu, které je nemají. Automatické přidání ověřovacích kódů proběhne při otevření souboru protokolu a pouze v případě, že volající vlákno má požadovaný přístup k zápisu do souboru. V současné době trvá období přijetí 90 dnů od okamžiku, kdy byl systém poprvé spuštěn s touto verzí CLFS. Po uplynutí tohoto 90denního období přechodu ovladač automaticky přejde do režimu vynucování při dalším spuštění, po kterém bude CLFS očekávat, že všechny soubory protokolu budou obsahovat platné ověřovací kódy. Všimněte si, že tato 90denní hodnota se může v budoucnu změnit.

Pokud se soubor protokolu během tohoto období přijetí neotevře, a proto nebyl automaticky převeden na nový formát, lze k přidání ověřovacích kódů do souboru protokolu použít nástroj příkazového řádku fsutil clfs authentication . Tato operace vyžaduje, aby volající byl správce.

Dopad na uživatele

Toto zmírnění rizik může mít dopad na uživatele rozhraní API CLFS následujícími způsoby:

• Vzhledem k tomu, že kryptografický klíč použitý k vytvoření ověřovacích kódů je jedinečný pro systém, protokolovací soubory se už mezi systémy nepřenosí. Pokud chcete otevřít soubor protokolu vytvořený ve vzdáleném systému, musí správce nejprve použít ověřovací nástroj fsutil clfs k ověření souboru protokolu pomocí kryptografického klíče místních systémů.

• Vedle binárního souboru protokolování (BLF) a datových kontejnerů se bude ukládat nový soubor s příponou .cnpf. Pokud se soubor protokolu BLF nachází v umístění C:\Users\User\example.blf, měl by být soubor opravy umístěn v umístění C:\Users\User\example.blf.cnpf. Pokud soubor protokolu není čistě uzavřený, soubor opravy bude obsahovat data potřebná pro clfs k obnovení souboru protokolu. Soubor opravy se vytvoří se stejnými atributy zabezpečení jako soubor, pro který poskytuje informace o obnovení. Tento soubor bude mít maximálně stejnou velikost jako FlushThreshold (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Parameters [FlushThreshold]).

• K uložení ověřovacích kódů je potřeba další místo v souborech. Velikost místa potřebného pro ověřovací kódy závisí na velikosti souboru. V následujícím seznamu najdete odhad toho, kolik dalších dat bude pro vaše soubory protokolů potřeba:

  • Soubory kontejnerů 512 kB vyžadují pro ověřovací kódy další ~8192 bajtů.

  • Soubory kontejneru 1024 kB vyžadují pro ověřovací kódy dalších ~12288 bajtů.

  • 10MB soubory kontejneru vyžadují další ~90112 bajtů pro ověřovací kódy.

  • Soubory kontejneru o 100 MB vyžadují další ~57344 bajtů pro ověřovací kódy.

  • 4GB soubory kontejneru vyžadují další ~2101248 bajty pro ověřovací kódy.

• Vzhledem k nárůstu počtu vstupně-výstupních operací pro údržbu ověřovacích kódů se prodloužila doba potřebná k provedení následujících operací:

  • vytvoření souboru protokolu

  • Soubor protokolu otevřený

  • zápis nových záznamů

  Prodloužení doby vytvoření souboru protokolu a otevření souboru protokolu zcela závisí na velikosti kontejnerů, přičemž větší soubory protokolů mají mnohem znatelný dopad. V průměru se doba potřebná k zápisu do záznamu v souboru protokolu zdvojnásobila.

Konfigurace

Nastavení související s tímto zmírněním rizik jsou uložena v registru na HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Následuje seznam hodnot registru klíčů a jejich účel:

• Režim: Provozní režim zmírnění rizik

  • 0: Zmírnění rizik se vynucuje. ClFS se nepodaří otevřít soubory protokolu, které mají chybějící nebo neplatné ověřovací kódy. Po 90 dnech od spuštění systému s touto verzí ovladače se clfs automaticky přepne do režimu vynucování.

  • 1: Zmírnění rizik je v režimu učení. CLFS vždy otevře soubory protokolu. Pokud v souboru protokolu chybí ověřovací kódy, clfs kódy vygeneruje a zapíše do souboru (za předpokladu, že volající má přístup k zápisu).

  • 2: Správce zakázal zmírnění rizik.

  • 3: Systém automaticky zakázal zmírnění rizik. Správce by neměl nastavit režim na tuto hodnotu, ale měl by použít hodnotu 2, pokud chce omezení rizik zakázat.

• EnforcementTransitionPeriod: Doba v sekundách, kterou systém stráví v období přijetí. Pokud je tato hodnota nulová, systém automaticky nepřejde na vynucení.

• LearningModeStartTime: Časové razítko, ve kterém se v systému spustil režim učení. Tato hodnota v kombinaci s "EnforcementTransitionPeriod" určí, kdy má systém přejít do režimu vynucení.

• Klíč: Kryptografický klíč používaný k vytváření ověřovacích kódů (HMAC). Správci by neměli tuto hodnotu upravovat.

Správci můžou zmírnění rizik úplně zakázat změnou hodnoty Mode na 2. Pokud chcete prodloužit dobu přijetí zmírnění rizik, může správce změnit hodnotu EnforcementTransitionPeriod (sekundy) na libovolnou hodnotu, kterou zvolíte (nebo 0 , pokud chcete zakázat automatický přechod do režimu vynucení).

Aktualizace nastavení Zásady skupiny pomocí místního Zásady skupiny Editor

Ověřování CLFS je možné povolit nebo zakázat pomocí nastavení Zásady skupiny:

1. Otevřete místní Zásady skupiny Editor ve Windows Ovládací panely.
   
   

2. V části Konfigurace počítače vyberte Šablona pro správu > Systém > Systém souborů a v seznamu Nastavení poklikejte na Povolit nebo zakázat ověřování souborů protokolu CLFS.
   
   

3. Vyberte Povolit nebo Zakázat a potom klikněte na OK. Pokud je vybraná možnost Nenakonfigurováno, omezení rizik je ve výchozím nastavení povolené.
   
   

Aktualizace nastavení Zásady skupiny/MDM pomocí Intune

Aktualizace Zásady skupiny a konfigurace ověřování CLFS pomocí Microsoft Intune:

1. Otevřete portál Intune (https://endpoint.microsoft.com) a přihlaste se pomocí svých přihlašovacích údajů.

2. Vytvoření profilu: 

   1. Vyberte Zařízení > Konfigurace windows >> Vytvořit > Nové zásady.

   2. Vyberte Platform > Windows 10 a novější.

   3. Vyberte Typ profilu > Šablony.

   4. Vyhledejte a vyberte Vlastní.
      
      

3. Nastavte název a popis:
   
   

4. Přidejte nové nastavení OMA-URI:
   
   

5. Úprava nastavení OMA-URI: 

   1. Přidejte název, například ClfsAuthenticationCheck.

   2. Volitelně můžete přidat popis.

   3. Nastavte cestu OMA-URI na následující:
      
      ./Vendor/MSFT/Policy/Config/FileSystem/ClfsAuthenticationChecking

   4. Nastavte datový typ na Řetězec.

   5. Nastavte hodnotu na <povoleno/> nebo <zakázáno/>.

   6. Klikněte na Save (Uložit).
      
      

6. Dokončete zbývající konfiguraci značek oboru a přiřazení a pak vyberte Vytvořit. ​​​​​​​

Změny rozhraní CLFS API

Aby nedošlo k zásadním změnám rozhraní API CLFS, používají se k hlášení chyb kontroly integrity volajícímu existující kódy chyb:

• Pokud CreateLogFile selže, funkce GetLastError vrátí kód chyby ERROR_LOG_METADATA_CORRUPT .

• V případě souboru ClfsCreateLogFile se stav STATUS_LOG_METADATA_CORRUPT vrátí, když se clfs nepodaří ověřit integritu souboru protokolu.

Nejčastější dotazy

Glosář

Posílení zabezpečení je proces, který pomáhá chránit před neoprávněným přístupem, odepřením služby a dalšími hrozbami tím, že omezuje potenciální slabiny, které činí systémy zranitelnými.

Atributy zabezpečení se používají k ukládání informací a vynucování jemně odstupňovaného řízení přístupu u konkrétních prostředků.