Kerneisolering

Hukommelsesintegritet

Hukommelsesintegritet, også kaldet HVCI (Hypervisor-protected Code Integrity), er en Windows-sikkerhedsfunktion, der gør det svært for skadelige programmer at bruge drivere på lavt niveau til at kapre computeren.

En driver er et stykke software, der lader operativsystemet (Windows i dette tilfælde) og en enhed (f.eks. et tastatur eller et webcam, for to eksempler) tale med hinanden. Når enheden ønsker, at Windows skal foretage sig noget, bruger den driveren til at sende anmodningen.

Hukommelsesintegritet fungerer ved at oprette et isoleret miljø ved hjælp af hardwarevirtualisering.

Tænk på det som en sikkerhedsvagt inde i en låst bås. Dette isolerede miljø (den låste stand i vores analogi) forhindrer hukommelsesintegritetsfunktionen i at blive ændret af en hacker. Et program, der ønsker at køre et stykke kode, som kan være farlig, skal videregive koden til hukommelsesintegritet inde i den virtuelle stand, så den kan verificeres. Når hukommelsesintegritet er sikker på, at koden er sikker, bliver koden tilbage til Windows for at køre. Dette sker typisk meget hurtigt.

Uden hukommelsesintegritet, der kører, står "sikkerhedsvagten" helt ude i det fri, hvor det er meget nemmere for en hacker at forstyrre eller ødelægge vagten, hvilket gør det nemmere for ondsindet kode at snige sig forbi og forårsage problemer.

Kernetilstandshardware gennemtvunget stakbeskyttelse

Kernetilstandshardware gennemtvunget Stack Protection er en hardwarebaseret Windows-sikkerhedsfunktion, der gør det svært for skadelige programmer at bruge drivere på lavt niveau til at kapre computeren.

En driver er et stykke software, der gør det muligt for operativsystemet (Windows i dette tilfælde) og en enhed som f.eks. et tastatur eller et webcam at tale med hinanden. Når enheden ønsker, at Windows skal foretage sig noget, bruger den driveren til at sende anmodningen.

Den hardware-tvungne stakbeskyttelse i kernetilstand fungerer ved at forhindre angreb, der ændrer returadresser i kernetilstandshukommelse, for at starte skadelig kode. Denne sikkerhedsfunktion kræver en CPU, der indeholder mulighed for at bekræfte returadresserne på den kørende kode.

Når du eksekverer kode i kernetilstand, kan returadresser i kernetilstandsstakken blive beskadiget af skadelige programmer eller drivere for at omdirigere normal udførelse af kode til skadelig kode. På understøttede CPU'er vedligeholder CPU'en en anden kopi af gyldige returadresser i en skrivebeskyttet skyggestak, som driverne ikke kan ændre. Hvis en afsenderadresse på den almindelige stak er blevet ændret, kan CPU'en registrere denne uoverensstemmelse ved at kontrollere kopien af afsenderadressen i skyggestakken. Når denne uoverensstemmelse opstår, beder computeren om en stopfejl, også kaldet en blå skærm, for at forhindre, at den skadelige kode udføres.

Ikke alle drivere er kompatible med denne sikkerhedsfunktion, da et lille antal legitime drivere foretager ændring af afsenderadresse til ikke-skadelige formål. Microsoft har kommunikeret med mange driverudgivere for at sikre, at deres nyeste drivere er kompatible med kernetilstandshardware-gennemtvunget stakbeskyttelse.

Beskyttelse af hukommelsesadgang

Dette kaldes også "Kernel DMA protection" og beskytter din enhed mod angreb, der kan opstå, når en skadelig enhed er tilsluttet en PCI-port (Peripheral Component Interconnect), f.eks. en Thunderbolt-port.

Et enkelt eksempel på et af disse angreb ville være, hvis nogen forlader deres pc for at få en hurtig kaffepause, og mens de var væk, træder en hacker ind, tilslutter en USB-lignende enhed og går væk med følsomme data fra maskinen eller indsætter malware, der giver dem mulighed for at styre pc'en eksternt. 

Beskyttelse mod adgang til hukommelse forhindrer disse typer angreb ved at nægte direkte adgang til hukommelsen til disse enheder, undtagen under særlige omstændigheder, især når pc'en er låst , eller brugeren er logget af.

Vi anbefaler, at beskyttelse mod hukommelsesadgang er slået til.

Firmwarebeskyttelse

Hver enhed har noget software, der er blevet skrevet til enhedens skrivebeskyttede hukommelse – dybest set skrevet til en chip på systemtavlen – der bruges til enhedens grundlæggende funktioner, f.eks. indlæsning af operativsystemet, der kører alle de apps, vi er vant til at bruge. Da denne software er vanskelig (men ikke umuligt) at ændre, henviser vi til den som firmware.

Da firmwaren indlæses først og kører under operativsystemet, har sikkerhedsværktøjer og funktioner, der kører i operativsystemet, svært ved at registrere den eller forsvare sig mod den. Ligesom et hus, der afhænger af et godt fundament for at være sikkert, en computer har brug for sin firmware for at være sikker for at sikre, at operativsystemet, programmer og kundedata på den pågældende computer er sikre.

Windows Defender System Guard er et sæt funktioner, der hjælper med at sikre, at hackere ikke kan få din enhed til at starte med upålidelig eller skadelig firmware.

Vi anbefaler, at du har slået den til, hvis din enhed understøtter det.

Platforme, der tilbyder firmwarebeskyttelse, beskytter typisk også SMM ( System Management Mode ), som er en meget privilegeret operativsystemtilstand, i varierende grader. Du kan forvente en af de tre værdier, hvor et højere tal angiver en større grad af SMM-beskyttelse:

• Din enhed opfylder firmwarebeskyttelsesversionen: Dette giver de grundlæggende sikkerhedsafhjælpninger, der kan hjælpe SMM med at modstå udnyttelse af malware, og forhindrer eksfiltrering af hemmeligheder fra operativsystemet (herunder VBS)

• Din enhed opfylder firmwarebeskyttelsesversion to: Ud over firmwarebeskyttelsesversion 1 sikrer version 2, at SMM ikke kan deaktivere virtualiseringsbaseret sikkerhed (VBS) og kerne-DMA-beskyttelse

• Din enhed opfylder firmwarebeskyttelsesversion tre: Ud over firmwarebeskyttelsesversion to hærder den yderligere SMM ved at forhindre adgang til visse registre, der har mulighed for at kompromittere operativsystemet (herunder VBS)

Microsoft Defender Credential Guard

Mens du bruger din arbejds- eller skolecomputer, logges den stille og roligt på og får adgang til en række forskellige ting, f.eks. filer, printere, apps og andre ressourcer i organisationen. At gøre denne proces sikker, men nem for brugeren, betyder, at din computer har en række godkendelsestokens (ofte kaldet "hemmeligheder") på den på et givet tidspunkt.

Hvis en hacker kan få adgang til en eller flere af disse hemmeligheder, kan de muligvis bruge dem til at få adgang til den organisationsressource (følsomme filer osv.), som hemmeligheden er for. Microsoft Defender Credential Guard hjælper med at beskytte disse hemmeligheder ved at placere dem i et beskyttet, virtualiseret miljø, hvor kun visse tjenester kan få adgang til dem, når det er nødvendigt.

Vi anbefaler, at du har slået den til, hvis din enhed understøtter det.

Microsoft Vulnerable Driver Blocklist

En driver er et stykke software, der lader operativsystemet (Windows i dette tilfælde) og en enhed (f.eks. et tastatur eller et webcam, for to eksempler) tale med hinanden. Når enheden ønsker, at Windows skal foretage sig noget, bruger den driveren til at sende anmodningen. På grund af dette har drivere en masse følsom adgang i dit system.

Fra og med opdateringen Windows 11 2022 har vi nu en blokeringsliste over drivere, der har kendte sikkerhedsrisici, er signeret med certifikater, der er blevet brugt til at signere malware, eller som omgår Windows Sikkerhed modellen.

Hvis du har aktiveret hukommelsesintegritet, Smart App Control eller Windows S-tilstand, vil den sårbare driverblokeringsliste også være slået til.

Se også

Beskyt din enhed med Windows Sikkerhed

Hjælp og undervisning i Microsoft Security