Vejledning til blokering af annullering af VBS-relaterede sikkerhedsopdateringer (Virtualization-based Security)

Vigtig bemærkning om politikken SkuSiPolicy.p7b

Du kan finde en vejledning til at anvende den opdaterede politik i afsnittet Installation af en Microsoft-signeret tilbagekaldelsespolitik (SKUSiPolicy.p7b). 

I denne artikel

• Sammendrag

• Omfanget af indvirkningen

• Tilgængelige afhjælpninger

• Forstå afhjælpningsrisici

• Retningslinjer for udrulning af afhjælpning

  • Installation af en Microsoft-signeret tilbagekaldelsespolitik (SKUSiPolicy.p7b)

  • Opdatering af eksterne startmedier

• Hændelseslogge i Windows

  • Politikaktiveringshændelser

  • Overvåge og blokere hændelser

• Procedure til fjernelse og genoprettelse af politik

• Ændringer i denne artikel

Sammendrag

Microsoft blev gjort opmærksom på en sårbarhed i Windows, der gør det muligt for en hacker med administratorrettigheder at erstatte opdaterede Windows-systemfiler, der har ældre versioner, og som åbner døren for, at en hacker kan genindføre sårbarheder i VBS (Virtualization-based security).  Annullering af disse binære filer kan give en hacker mulighed for at omgå VBS-sikkerhedsfunktioner og eksfiltrere data, der er beskyttet af VBS. Dette problem er beskrevet i CVE-2024-21302 | Sårbarhed i forbindelse med sikker kernetilstand i Windows.

For at løse dette problem tilbagekalder vi sårbare VBS-systemfiler, der ikke opdateres. På grund af det store antal VBS-relaterede filer, der skal blokeres, bruger vi en alternativ tilgang til at blokere filversioner, der ikke opdateres.

Omfanget af indvirkningen

Alle Windows-enheder, der understøtter VBS, påvirkes af dette problem. Dette omfatter fysiske enheder i det lokale miljø og virtuelle maskiner (VM'er). VBS understøttes på Windows 10 og nyere Versioner af Windows og Windows Server 2016 og nyere Windows Server versioner.

VBS-tilstanden kan kontrolleres via værktøjet Microsoft Systemoplysninger (Msinfo32.exe). Dette værktøj indsamler oplysninger om din enhed. Når du har startet Msinfo32.exe, skal du rulle ned til den virtualiseringsbaserede sikkerhedsrække . Hvis værdien af denne række er Kører, er VBS aktiveret og kører.

VBS-tilstanden kan også kontrolleres med Windows PowerShell ved hjælp af Win32_DeviceGuard WMI-klassen. Hvis du vil forespørge om VBS-tilstanden fra PowerShell, skal du åbne en Windows PowerShell session med administratorrettigheder og derefter køre følgende kommando:

Når du har kørt ovenstående PowerShell-kommando, skal VBS-tilstandsstatus være et af følgende.

Tilgængelige afhjælpninger

For alle understøttede versioner af Windows 10, version 1507 og nyere Versioner af Windows og Windows Server 2016 og nyere Windows Server versioner kan administratorer implementere en Microsoft-signeret tilbagekaldelsespolitik (SkuSiPolicy.p7b). Dette vil blokere sårbare versioner af VBS-systemfiler, der ikke opdateres, i at blive indlæst af operativsystemet.  

Når SKUSiPolicy.p7b anvendes på en Windows-enhed, låses politikken også for enheden ved at føje en variabel til UEFI-firmwaren. Under opstart indlæses politikken, og Windows blokerer indlæsning af binære filer, der er i strid med politikken. Hvis UEFI-låsen anvendes, og politikken fjernes eller erstattes med en ældre version, starter Windows Boot Manager ikke, og enheden starter ikke. Denne startfejl viser ikke en fejl, og systemet fortsætter til den næste tilgængelige startindstilling, som kan resultere i en startløkke.

Der er tilføjet en yderligere Microsoft-signeret CI-politik, som er aktiveret som standard og kræver, at der ikke er tilføjet yderligere installationstrin, som ikke er bundet til UEFI. Denne signerede CI-politik indlæses under start, og håndhævelsen af denne politik vil forhindre annullering af VBS-systemfiler under den pågældende startsession. I modsætning til SKUSiPolicy.p7b kan en enhed fortsætte med at starte, hvis opdateringen ikke er installeret. Denne politik er inkluderet i alle understøttede versioner af Windows 10, version 1507 og nyere. SkuSkiPolicy.p7b kan stadig anvendes af administratorer for at give yderligere beskyttelse til annullering af opdatering på tværs af startsessioner.   

Windows-målt startlogge, der bruges til at bekræfte pc'ens starttilstand, indeholder oplysninger om den politikversion, der indlæses under startprocessen. Disse logfiler vedligeholdes sikkert af TPM under start, og Microsofts attesteringstjenester fortolker disse logfiler for at bekræfte, at de korrekte politikversioner indlæses. Attesteringstjenesterne håndhæver regler, der sikrer, at en bestemt politikversion eller nyere indlæses. ellers vil systemet ikke blive bevidnet som sundt.

For at politikafhjælpning kan fungere, skal politikken opdateres ved hjælp af serviceopdateringen til Windows, da komponenterne i Windows og politikken skal være fra den samme version. Hvis politikafhjælpning kopieres til enheden, starter enheden muligvis ikke, hvis den forkerte version af afhjælpningen anvendes, eller afhjælpningen fungerer muligvis ikke som forventet. Desuden bør afhjælpninger, der er beskrevet i KB5025885 , anvendes på din enhed.

På Windows 11 version 24H2, Windows Server 2022 og Windows Server 23H2 tilføjer DRTM (Dynamic Root of Trust for Measurement) en yderligere afhjælpning af annulleringssårbarheden. Denne afhjælpning er aktiveret som standard. På disse systemer er de VBS-beskyttede krypteringsnøgler bundet til den standardaktiverede VBS CI-politik for startsessionen og vil kun være uens, hvis den matchende CI-politikversion gennemtvinges. For at aktivere brugerinitierede annulleringer er der blevet tilføjet en udvidet periode for at aktivere sikker annullering af 1 version af Windows Update-pakken uden at miste muligheden for at fjerne VSM-hovednøglen. Brugerens initierede annullering er dog kun mulig, hvis SkuSiPolicy.p7b ikke anvendes. VBS CI-politikken gennemtvinger, at alle binære startfiler ikke er blevet tilbageført til tilbagekaldte versioner. Det betyder, at hvis en hacker med administratorrettigheder annullerer sårbare boot binære filer, vil systemet ikke starte. Hvis ci-politikken og binære filer begge rulles tilbage til en tidligere version, vil VSM-beskyttede data ikke blive ikke indekseret.

Forstå afhjælpningsrisici

Du skal være opmærksom på potentielle risici, før du anvender microsoft-signerede tilbagekaldspolitik. Gennemse disse risici, og foretag de nødvendige opdateringer af genoprettelsesmediet, før du anvender afhjælpningen.

Bemærk! Disse risici gælder kun for POLITIKKEN SKUSiPolicy.p7b og gælder ikke for standardaktiverede beskyttelser.

• UEFI Lock and Uninstalling updates. Når du har anvendt UEFI-låsen med microsoft-signerede tilbagekaldspolitik på en enhed, kan enheden ikke vende tilbage (ved at fjerne Windows-opdateringer, ved hjælp af et gendannelsespunkt eller på anden måde), hvis du fortsætter med at anvende sikker bootstart. Selv omformatering af disken fjerner ikke UEFI-låsen fra afhjælpningen, hvis den allerede er blevet anvendt. Det betyder, at hvis du forsøger at gendanne Windows-operativsystemet til en tidligere tilstand, der ikke har den anvendte afhjælpning, starter enheden ikke, der vises ingen fejlmeddelelse, og UEFI fortsætter til den næste tilgængelige startindstilling. Dette kan resultere i en startløkke. Du skal deaktivere sikker bootstart for at fjerne UEFI-låsen. Vær opmærksom på alle mulige konsekvenser, og test grundigt, før du anvender de tilbageførsler, der er beskrevet i denne artikel, på din enhed.

• Eksterne startmedier. Når afhjælpningen af UEFI-låsen er blevet anvendt på en enhed, skal eksterne startmedier opdateres med den seneste Windows-opdatering installeret på enheden. Hvis eksterne startmedier ikke opdateres til den samme Windows Update-version, starter enheden muligvis ikke fra det pågældende medie. Se vejledningen i afsnittet Opdatering af eksterne startmedier , før du anvender afhjælpningerne.

• Windows Genoprettelsesmiljø. Windows Genoprettelsesmiljø (WinRE) på enheden skal opdateres med den seneste Windows Safe OS Dynamic Update, der blev udgivet d. 8. juli 2025, på enheden, før SKUSipolicy.p7b anvendes på enheden. Hvis du udelader dette trin, kan det forhindre WinRE i at køre funktionen Nulstil pc.  Du kan få mere at vide under Føj en opdateringspakke til Windows RE.

• PXE-start (Pre-boot Execution Environment). Hvis afhjælpningen er installeret på en enhed, og du forsøger at bruge PXE-start, starter enheden ikke, medmindre den seneste Windows-opdatering også anvendes på PXE-serverstartafbildningen. Vi anbefaler ikke installation af afhjælpninger på netværkstartkilder, medmindre PXE-startserveren er blevet opdateret til den seneste Windows-opdatering, der blev udgivet den eller efter januar 2025, herunder PXE-startstyringen.  

Retningslinjer for udrulning af afhjælpning

Du kan løse de problemer, der er beskrevet i denne artikel, ved at installere en Microsoft-signeret tilbagekaldelsespolitik (SKUSiPolicy.p7b). Denne afhjælpning understøttes kun på Windows 10 version 1507 og nyere Versioner af Windows og Windows Server 2016.

Bemærk! Hvis du bruger BitLocker, skal du kontrollere, at BitLocker-genoprettelsesnøglen er blevet sikkerhedskopieret. Du kan køre følgende kommando fra en administratorkommandoprompt og notere dig den 48-cifrede numeriske adgangskode:

Hændelseslogge i Windows

Windows logger hændelser, når politikker for kodeintegritet, herunder SKUSiPolicy.p7b, indlæses, og når en fil blokeres fra indlæsning på grund af politikhåndhævelse. Du kan bruge disse hændelser til at bekræfte, at afhjælpningen er blevet anvendt.

Logfiler for kodeintegritet er tilgængelige i Windows Logbog under Program- og tjenestelogge > Microsoft > Windows > CodeIntegrity > Operational > Application and Services logs > Services logs > Microsoft > Windows > AppLocker > MSI and Script.

Du kan finde flere oplysninger om hændelser med kodeintegritet i driftsvejledningen til Windows Defender Application Control.

Procedure til fjernelse og genoprettelse af politik

Hvis noget går galt efter anvendelse af afhjælpningen, kan du bruge følgende trin til at fjerne afhjælpningen:

1. Afbryd BitLocker midlertidigt, hvis den er aktiveret. Kør følgende kommando fra et kommandopromptvindue med administratorrettigheder:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Deaktiver Sikker bootstart fra UEFI BIOS-menuen.
   
   Fremgangsmåden til deaktivering af Sikker bootstart er forskellig fra enhedsproducent til -model. Du kan finde hjælp til at finde ud af, hvor du kan slå Sikker bootstart fra, i dokumentationen fra enhedsproducenten. Du kan finde flere oplysninger i Deaktivere sikker bootstart.

3. Fjern politikken SkuSiPolicy.p7b.

   1. Start Windows normalt, og log derefter på.
      
      Politikken SKUSiPolicy.p7b skal fjernes fra følgende placering:

      • <EFI-systempartition>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Kør følgende kommandoer fra en session med administratorrettigheder Windows PowerShell for at rydde op i politikken fra disse placeringer:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Slå Sikker bootstart fra BIOS til.
   
   Kontakt producenten af enheden i dokumentationen for at finde ud af, hvor sikker bootstart skal slås til.
   
   Hvis du har slået Sikker bootstart fra i trin 1, og drevet er beskyttet af BitLocker, skal du afbryde BitLocker-beskyttelsen og derefter slå Sikker bootstart fra UEFI BIOS-menuen til.

5. Slå BitLocker til. Kør følgende kommando fra et kommandopromptvindue med administratorrettigheder:

   Manager-bde -protectors -enable c:

6. Genstart din enhed.