Οδηγίες για τον αποκλεισμό της επαναφοράς των ενημερώσεων ασφαλείας που σχετίζονται με την ασφάλεια βάσει αναπαράστασης (VBS)

Σημαντική σημείωση σχετικά με την πολιτική SkuSiPolicy.p7b

Για οδηγίες σχετικά με την εφαρμογή της ενημερωμένης πολιτικής, ανατρέξτε στην ενότητα Ανάπτυξη πολιτικής ανάκλησης με υπογραφή Microsoft (SkuSiPolicy.p7b). 

Σε αυτό το άρθρο

• Σύνοψη

• Πεδίο εφαρμογής επιπτώσεων

• Διαθέσιμοι μετριασμούς

• Κατανόηση των κινδύνων μετριασμού

• Οδηγίες ανάπτυξης μετριασμού

  • Ανάπτυξη μιας υπογεγραμμένης πολιτικής ανάκλησης της Microsoft (SkuSiPolicy.p7b)

  • Ενημέρωση εξωτερικών πολυμέσων εκκίνησης

• Αρχεία καταγραφής συμβάντων των Windows

  • Συμβάντα ενεργοποίησης πολιτικής

  • Έλεγχος και αποκλεισμός συμβάντων

• Διαδικασία κατάργησης και αποκατάστασης πολιτικής

• Αλλαγές που έγιναν σε αυτό το άρθρο

Σύνοψη

Η Microsoft ενημερώθηκε για μια ευπάθεια στα Windows που επιτρέπει σε έναν εισβολέα με δικαιώματα διαχειριστή να αντικαταστήσει ενημερωμένα αρχεία συστήματος των Windows που έχουν παλαιότερες εκδόσεις, ανοίγοντας την πόρτα για έναν εισβολέα να επαναφέρει ευπάθειες σε ασφάλεια που βασίζεται σε λειτουργία αναπαράστασης (VBS).  Η επαναφορά αυτών των δυαδικών αρχείων μπορεί να επιτρέψει σε έναν εισβολέα να παρακάμψει τα χαρακτηριστικά ασφαλείας του VBS και να αποσπάσει δεδομένα που προστατεύονται από VBS. Αυτό το πρόβλημα περιγράφεται στο CVE-2024-21302 | Ευπάθεια ασφαλούς λειτουργίας πυρήνα των Windows.

Για να επιλύσουμε αυτό το πρόβλημα, θα ανακαλέσουμε τα ευάλωτα αρχεία συστήματος VBS που δεν έχουν ενημερωθεί. Λόγω του μεγάλου αριθμού αρχείων που σχετίζονται με VBS που πρέπει να αποκλειστούν, χρησιμοποιούμε μια εναλλακτική προσέγγιση για τον αποκλεισμό των εκδόσεων αρχείων που δεν ενημερώνονται.

Πεδίο εφαρμογής επιπτώσεων

Όλες οι συσκευές Windows που υποστηρίζουν VBS επηρεάζονται από αυτό το πρόβλημα. Σε αυτές περιλαμβάνονται οι φυσικές συσκευές και οι εικονικές μηχανές (VM) εσωτερικής εγκατάστασης. Η VBS υποστηρίζεται σε Windows 10 και νεότερες εκδόσεις των Windows και Windows Server 2016 και νεότερες Windows Server εκδόσεις.

Μπορείτε να ελέγξετε την κατάσταση VBS μέσω του εργαλείου πληροφοριών συστήματος της Microsoft (Msinfo32.exe). Αυτό το εργαλείο συλλέγει πληροφορίες σχετικά με τη συσκευή σας. Αφού ξεκινήσετε Msinfo32.exe, κάντε κύλιση προς τα κάτω στη γραμμή ασφαλείας που βασίζεται σε λειτουργία αναπαράστασης . Εάν η τιμή αυτής της γραμμής είναι Εκτελείται, η VBS είναι ενεργοποιημένη και εκτελείται.

Μπορείτε επίσης να ελέγξετε την κατάσταση VBS με Windows PowerShell χρησιμοποιώντας την κλάση WMI Win32_DeviceGuard. Για να υποβάλετε ερώτημα για την κατάσταση VBS από το PowerShell, ανοίξτε μια περίοδο λειτουργίας με αναβαθμισμένο Windows PowerShell και, στη συνέχεια, εκτελέστε την ακόλουθη εντολή:

Μετά την εκτέλεση της παραπάνω εντολής PowerShell, η κατάσταση της κατάστασης VBS πρέπει να είναι ένα από τα εξής.

Διαθέσιμοι μετριασμούς

Για όλες τις υποστηριζόμενες εκδόσεις του Windows 10, έκδοση 1507 και νεότερες εκδόσεις των Windows και Windows Server 2016 και νεότερες Windows Server εκδόσεις, οι διαχειριστές μπορούν να αναπτύξουν μια πολιτική ανάκλησης με υπογραφή Microsoft (SkuSiPolicy.p7b). Αυτό θα αποκλείσει τη φόρτωση ευάλωτων εκδόσεων αρχείων συστήματος VBS που δεν ενημερώνονται από το λειτουργικό σύστημα.  

Όταν το SkuSiPolicy.p7b εφαρμοστεί σε μια συσκευή Windows, η πολιτική θα κλειδωθεί επίσης στη συσκευή, προσθέτοντας μια μεταβλητή στο υλικολογισμικό UEFI. Κατά την εκκίνηση, η πολιτική φορτώνει και τα Windows εμποδίζουν τη φόρτωση δυαδικών ημερολογίων που παραβιάζουν την πολιτική. Αν εφαρμοστεί το κλείδωμα UEFI και η πολιτική καταργηθεί ή αντικατασταθεί από μια παλαιότερη έκδοση, η διαχείριση εκκίνησης των Windows δεν θα εκκινηθεί και η συσκευή δεν θα εκκινηθεί. Αυτή η αποτυχία εκκίνησης δεν θα εμφανίσει σφάλμα και το σύστημα θα προχωρήσει στην επόμενη διαθέσιμη επιλογή εκκίνησης που μπορεί να οδηγήσει σε βρόχο εκκίνησης.

Μια πρόσθετη πολιτική CI με υπογραφή Microsoft, η οποία είναι ενεργοποιημένη από προεπιλογή και δεν απαιτεί πρόσθετα βήματα ανάπτυξης έχει προστεθεί, τα οποία δεν είναι συνδεδεμένα με το UEFI. Αυτή η υπογεγραμμένη πολιτική CI θα φορτωθεί κατά την εκκίνηση και η επιβολή αυτής της πολιτικής θα αποτρέψει την επαναφορά των αρχείων συστήματος VBS κατά τη διάρκεια αυτής της περιόδου λειτουργίας εκκίνησης. Σε αντίθεση με το SkuSiPolicy.p7b, μια συσκευή μπορεί να συνεχίσει να εκκινείται, αν η ενημέρωση δεν είναι εγκατεστημένη. Αυτή η πολιτική περιλαμβάνεται σε όλες τις υποστηριζόμενες εκδόσεις του Windows 10, έκδοση 1507 και νεότερες. Το SkuSkiPolicy.p7b εξακολουθεί να μπορεί να εφαρμοστεί από τους διαχειριστές για την παροχή πρόσθετης προστασίας για επαναφορά σε περιόδους λειτουργίας εκκίνησης.   

Τα αρχεία καταγραφής μετρημένης εκκίνησης των Windows που χρησιμοποιούνται για την επιβεβαίωση της εύρυθμης λειτουργίας εκκίνησης του υπολογιστή περιλαμβάνουν πληροφορίες σχετικά με την έκδοση πολιτικής που φορτώνεται κατά τη διαδικασία εκκίνησης. Αυτά τα αρχεία καταγραφής διατηρούνται με ασφάλεια από την TPM κατά την εκκίνηση και οι υπηρεσίες επιβεβαίωσης της Microsoft αναλύουν αυτά τα αρχεία καταγραφής για να επαληθεύσουν ότι φορτώνονται οι σωστές εκδόσεις πολιτικής. Οι υπηρεσίες επιβεβαίωσης επιβάλλουν κανόνες που διασφαλίζουν τη φόρτωση μιας συγκεκριμένης έκδοσης πολιτικής ή νεότερης. Διαφορετικά, το σύστημα δεν θα θεωρείται υγιές.

Για να λειτουργήσει ο μετριασμός της πολιτικής, η πολιτική πρέπει να ενημερωθεί χρησιμοποιώντας την ενημέρωση συντήρησης των Windows, καθώς τα στοιχεία των Windows και η πολιτική πρέπει να προέρχονται από την ίδια έκδοση. Αν αντιγραφεί ο μετριασμός της πολιτικής στη συσκευή, η συσκευή ενδέχεται να μην εκκινηθεί αν εφαρμοστεί εσφαλμένη έκδοση του μετριασμού ή ο μετριασμός ενδέχεται να μην λειτουργεί κατά το αναμενόμενο. Επιπλέον, οι μετριασμούς που περιγράφονται στο KB5025885 θα πρέπει να εφαρμόζονται στη συσκευή σας.

Στις Windows 11, έκδοση 24H2, Windows Server 2022 και Windows Server 23H2, η δυναμική ρίζα αξιοπιστίας για μετρήσεις (DRTM) προσθέτει έναν πρόσθετο μετριασμό για την ευπάθεια επαναφοράς. Αυτός ο μετριασμός είναι ενεργοποιημένος από προεπιλογή. Σε αυτά τα συστήματα, τα κλειδιά κρυπτογράφησης με προστασία VBS είναι συνδεδεμένα με την πολιτική περιόδου λειτουργίας εκκίνησης VBS CI με δυνατότητα προεπιλογής και θα αποσφραγίζονται μόνο εάν επιβάλλεται η αντίστοιχη έκδοση πολιτικής CI. Για να ενεργοποιηθούν οι επαναφορές που ξεκινούν από τους χρήστες, έχει προστεθεί μια περίοδος χάριτος για την ασφαλή επαναφορά 1 έκδοσης του πακέτου ενημέρωσης των Windows, χωρίς να χάσετε τη δυνατότητα κατάργησης της αναγραφής του κύριου κλειδιού VSM. Ωστόσο, η επαναφορά που ξεκινά από το χρήστη είναι δυνατή μόνο εάν δεν έχει εφαρμοστεί το SkuSiPolicy.p7b. Η πολιτική της VBS CI επιβάλλει ότι όλα τα δυαδικά αρχεία εκκίνησης δεν έχουν ανακληθεί στις ανακλημένες εκδόσεις. Αυτό σημαίνει ότι εάν ένας εισβολέας με δικαιώματα διαχειριστή επαναφέρει τα ευάλωτα δυαδικά αρχεία εκκίνησης, το σύστημα δεν θα εκκινείται. Εάν η πολιτική CI και τα δυαδικά αρχεία επιστρέψουν και τα δύο σε προηγούμενη έκδοση, τα δεδομένα που προστατεύονται με VSM δεν θα αποσυσκευαστούν.

Κατανόηση των κινδύνων μετριασμού

Πρέπει να γνωρίζετε τους πιθανούς κινδύνους προτού εφαρμόσετε την υπογεγραμμένη από τη Microsoft πολιτική ανάκλησης. Εξετάστε αυτούς τους κινδύνους και πραγματοποιήστε τις απαραίτητες ενημερώσεις για τα μέσα αποκατάστασης προτού εφαρμόσετε τον μετριασμό.

Σημείωση Αυτοί οι κίνδυνοι ισχύουν μόνο για την πολιτική SkuSiPolicy.p7b και δεν ισχύουν για τα προεπιλεγμένα ενεργοποιημένα μέτρα προστασίας.

• Ενημερώσεις UEFI Lock και Κατάργηση εγκατάστασης. Μετά την εφαρμογή του κλειδώματος UEFI με την υπογεγραμμένη από τη Microsoft πολιτική ανάκλησης σε μια συσκευή, δεν είναι δυνατή η επαναφορά της συσκευής (με κατάργηση της εγκατάστασης ενημερώσεων των Windows, με χρήση σημείου επαναφοράς ή με άλλα μέσα), αν συνεχίσετε να εφαρμόζετε την Ασφαλή εκκίνηση. Ακόμα και η επαναδιαμόρφωση του δίσκου δεν θα καταργήσει το κλείδωμα UEFI του μετριασμού, αν έχει ήδη εφαρμοστεί. Αυτό σημαίνει ότι αν επιχειρήσετε να επαναφέρετε το λειτουργικό σύστημα Windows σε προηγούμενη κατάσταση που δεν διαθέτει τον εφαρμοζόμενο μετριασμό, η συσκευή δεν θα εκκινηθεί, δεν θα εμφανιστεί μήνυμα σφάλματος και το UEFI θα προχωρήσει στην επόμενη διαθέσιμη επιλογή εκκίνησης. Αυτό μπορεί να έχει ως αποτέλεσμα έναν βρόχο εκκίνησης. Πρέπει να απενεργοποιήσετε την Ασφαλή εκκίνηση για να καταργήσετε το κλείδωμα UEFI. Λάβετε υπόψη όλες τις πιθανές επιπτώσεις και ελέγξτε διεξοδικά προτού εφαρμόσετε τις ανακλήσεις που περιγράφονται σε αυτό το άρθρο στη συσκευή σας.

• Εξωτερικά μέσα εκκίνησης. Αφού εφαρμοστούν οι μετριασμούς UEFI lock σε μια συσκευή, τα εξωτερικά μέσα εκκίνησης πρέπει να ενημερωθούν με την πιο πρόσφατη ενημέρωση των Windows εγκατεστημένη στη συσκευή. Αν τα εξωτερικά μέσα εκκίνησης δεν ενημερωθούν στην ίδια έκδοση ενημέρωσης των Windows, η συσκευή ενδέχεται να μην εκκινείται από αυτό το μέσο. Ανατρέξτε στις οδηγίες στην ενότητα Ενημέρωση πολυμέσων εξωτερικής εκκίνησης πριν από την εφαρμογή των μετριασμάτων.

• Περιβάλλον αποκατάστασης των Windows. Το Περιβάλλον αποκατάστασης των Windows (WinRE) στη συσκευή πρέπει να ενημερωθεί με την τελευταία δυναμική ενημέρωση ασφαλούς λειτουργικού συστήματος των Windows που κυκλοφόρησε στις 8 Ιουλίου 2025, στη συσκευή πριν από την εφαρμογή του SkuSipolicy.p7b στη συσκευή. Η παράλειψη αυτού του βήματος ενδέχεται να εμποδίσει την εκτέλεση της δυνατότητας Επαναφορά υπολογιστή από το WinRE.  Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα Προσθήκη πακέτου ενημέρωσης στα Windows RE.

• Εκκίνηση περιβάλλοντος εκτέλεσης πριν από την εκκίνηση (PXE). Αν ο μετριασμός αναπτυχθεί σε μια συσκευή και επιχειρήσετε να χρησιμοποιήσετε εκκίνηση PXE, η συσκευή δεν θα εκκινηθεί, εκτός αν εφαρμοστεί και η πιο πρόσφατη ενημέρωση των Windows στο είδωλο εκκίνησης του διακομιστή PXE. Δεν συνιστάται η ανάπτυξη μετριασμών σε προελεύσεις εκκίνησης δικτύου, εκτός εάν ο διακομιστής εκκίνησης PXE έχει ενημερωθεί στην τελευταία ενημέρωση των Windows που κυκλοφόρησε στις ή μετά τον Ιανουάριο του 2025, συμπεριλαμβανομένης της διαχείρισης εκκίνησης PXE.  

Οδηγίες ανάπτυξης μετριασμού

Για να αντιμετωπίσετε τα προβλήματα που περιγράφονται σε αυτό το άρθρο, μπορείτε να αναπτύξετε μια πολιτική ανάκλησης με υπογραφή της Microsoft (SkuSiPolicy.p7b). Αυτός ο μετριασμός υποστηρίζεται μόνο σε Windows 10, έκδοση 1507 και νεότερες εκδόσεις των Windows και Windows Server 2016.

Σημείωση Αν χρησιμοποιείτε το BitLocker, βεβαιωθείτε ότι έχει δημιουργηθεί αντίγραφο ασφαλείας για το κλειδί αποκατάστασης BitLocker. Μπορείτε να εκτελέσετε την ακόλουθη εντολή από μια γραμμή εντολών διαχειριστή και να λάβετε υπόψη τον 48ψήφιο αριθμητικό κωδικό πρόσβασης:

Αρχεία καταγραφής συμβάντων των Windows

Τα Windows καταγράφουν συμβάντα όταν φορτώνονται οι πολιτικές ακεραιότητας κώδικα, συμπεριλαμβανομένου του SkuSiPolicy.p7b, και όταν ένα αρχείο αποκλείεται από τη φόρτωση λόγω επιβολής πολιτικής. Μπορείτε να χρησιμοποιήσετε αυτά τα συμβάντα για να επαληθεύσετε ότι έχει εφαρμοστεί ο μετριασμός.

Τα αρχεία καταγραφής ακεραιότητας κώδικα είναι διαθέσιμα στο Windows πρόγραμμα προβολής συμβάντων στην περιοχή Αρχεία καταγραφής εφαρμογών και υπηρεσιών > Microsoft > Windows > η ακεραιότητα κώδικα > αρχεία καταγραφής λειτουργικών > εφαρμογών και υπηρεσιών > Υπηρεσίες >Microsoft > Το AppLocker των Windows > > MSI και δέσμης ενεργειών.

Για περισσότερες πληροφορίες σχετικά με τα συμβάντα ακεραιότητας κώδικα, ανατρέξτε στον λειτουργικό οδηγό Έλεγχος εφαρμογών Windows Defender.

Διαδικασία κατάργησης και αποκατάστασης πολιτικής

Εάν κάτι δεν πάει καλά μετά την εφαρμογή της μετριασμού, μπορείτε να χρησιμοποιήσετε τα ακόλουθα βήματα για να καταργήσετε τη μετριασμό:

1. Αναστείλετε το BitLocker εάν είναι ενεργοποιημένο. Εκτελέστε την ακόλουθη εντολή από ένα αναβαθμισμένο παράθυρο γραμμής εντολών:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Απενεργοποιήστε την Ασφαλή εκκίνηση από το μενού του UEFI BIOS.
   
   Η διαδικασία απενεργοποίησης της Ασφαλούς εκκίνησης διαφέρει μεταξύ των κατασκευαστών και των μοντέλων της συσκευής. Για βοήθεια σχετικά με τον εντοπισμό του σημείου απενεργοποίησης της Ασφαλούς εκκίνησης, συμβουλευτείτε την τεκμηρίωση του κατασκευαστή της συσκευής σας. Μπορείτε να βρείτε περισσότερες λεπτομέρειες στην ενότητα Απενεργοποίηση ασφαλούς εκκίνησης.

3. Καταργήστε την πολιτική SkuSiPolicy.p7b.

   1. Ξεκινήστε κανονικά τα Windows και, στη συνέχεια, πραγματοποιήστε είσοδο.
      
      Η πολιτική SkuSiPolicy.p7b πρέπει να καταργηθεί από την ακόλουθη θέση:

      • <διαμέρισμα συστήματος EFI>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Εκτελέστε τις ακόλουθες εντολές από μια περίοδο λειτουργίας αναβαθμισμένων Windows PowerShell για να εκκαθαρίζετε την πολιτική από αυτές τις θέσεις:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Ενεργοποιήστε την Ασφαλή εκκίνηση από το BIOS.
   
   Συμβουλευτείτε την τεκμηρίωση του κατασκευαστή της συσκευής σας για τον εντοπισμό του σημείου ενεργοποίησης της Ασφαλούς εκκίνησης.
   
   Αν απενεργοποιήσατε την Ασφαλή εκκίνηση στο βήμα 1 και η μονάδα δίσκου προστατεύεται από το BitLocker, αναστείλετε την προστασία BitLocker και, στη συνέχεια, ενεργοποιήστε την Ασφαλή εκκίνηση από το μενού ΤΟΥ BIOS UEFI .

5. Ενεργοποιήστε το BitLocker. Εκτελέστε την ακόλουθη εντολή από ένα αναβαθμισμένο παράθυρο γραμμής εντολών:

   Manager-bde -protectors -enable c:

6. Επανεκκινήστε τη συσκευή σας.