Suojatun käynnistyksen varmenteen päivitykset: OHJEITA IT-ammattilaisille ja organisaatioille

Suojatun käynnistyksen tilan tarkistaminen koko kalustossa: Onko suojattu käynnistys käytössä? 

Useimmat vuodesta 2012 lähtien valmistetut laitteet tukevat suojattua käynnistystä, ja ne toimitetaan suojatun käynnistyksen ollessa käytössä. Jos haluat varmistaa, että laitteessa on käytössä suojattu käynnistys, tee jompikumpi seuraavista: 

• GUI-menetelmä: Siirry aloitusvalikkoon >Asetukset > Tietosuoja & Suojaus > Windowsin suojaus > Device Security. Suojatun käynnistyksen kohdassa Laitteen suojaus pitäisi olla merkkinä siitä, että suojattu käynnistys on käytössä.

• Komentorivimenetelmä: Kirjoita PowerShellin laajennettuun komentokehotteeseen Vahvista-SecureBootUEFI ja paina sitten Enter-näppäintä. Komennon pitäisi palauttaa Tosi, mikä ilmaisee, että suojattu käynnistys on käytössä.

It-ammattilaisten käyttämien hallintaohjelmistojen on tehtävä suojatun käynnistyksen käyttöönottotarkistus laajamittaisissa käyttöönotoissa. 

Esimerkiksi suojatun käynnistyksen tilan tarkistaminen Microsoft Intune hallinnoiduissa laitteissa on mukautetun yhteensopivuuskomentosarjan Intune luominen ja käyttöönotto. Intune yhteensopivuusasetuksia käsitellään kohdassa Mukautettujen yhteensopivuusasetusten käyttäminen Linux- ja Windows-laitteissa Microsoft Intune kanssa.  

Jos suojattu käynnistys ei ole käytössä, voit ohittaa alla olevat päivitysvaiheet, koska ne eivät ole sovellettavissa.

Päivitysten käyttöönotto

Suojatun käynnistyksen varmennepäivityksiä voi kohdentaa laitteisiin monella tavalla. Käyttöönoton tietoja, kuten asetuksia ja tapahtumia, käsitellään myöhemmin tässä asiakirjassa. Kun kohdistat laitteen päivityksiä varten, laitteeseen tehdään asetus, joka ilmaisee, että laitteen on aloitettava uusien varmenteiden käyttöönotto. Ajoitettu tehtävä suoritetaan laitteessa 12 tunnin välein ja se havaitsee, että laite on kohdistettu päivityksille. Tehtävän toiminnan jäsennys on seuraava:

1. Windows UEFI CA 2023 otetaan käyttöön DB:ssä.

2. Jos laitteessa on Microsoft Corporation UEFI CA 2011 DB:ssä, tehtävä soveltaa DB:hen Microsoft Option ROM UEFI CA 2023:a ja Microsoft UEFI CA 2023:a.

3. Tämän jälkeen tehtävä lisää Microsoft Corporation KEK 2K CA 2023:n.

4. Ajoitettu tehtävä päivittää Windowsin käynnistyksen hallinnan Windows UEFI CA 2023:n allekirjoittamaan tehtävään. Windows havaitsee, että uudelleenkäynnistys on tarpeen, ennen kuin käynnistyksen hallinta voidaan ottaa käyttöön. Käynnistyksen hallinnan päivitys viivästyy, kunnes uudelleenkäynnistys tapahtuu luonnollisesti (esimerkiksi kuukausittaisten päivitysten yhteydessä), ja windows yrittää sitten uudelleen ottaa käyttöön käynnistyksen hallinnan päivityksen.

Kaikki edellä mainitut vaiheet on suoritettava onnistuneesti, ennen kuin ajoitettu tehtävä siirtyy seuraavaan vaiheeseen. Tämän prosessin aikana tapahtumalokit ja muut tilat ovat käytettävissä käyttöönoton seurannassa. Lisätietoja seurannasta ja tapahtumalokeista on alla.  

Suojatun käynnistyksen varmenteiden päivittäminen mahdollistaa tulevan päivityksen 2023 Boot Manageriin, joka on turvallisempi. Käynnistyksen hallinnan tietyt päivitykset julkaistaan tulevissa versioissa.

Käyttöönottovaiheet 

• Valmistelu: Varasto- ja testauslaitteet.

• Laiteohjelmistoon liittyvät seikat

• Valvonta: Varmista, että valvonta toimii ja että kalustosi on perustasolla.

• Käyttöönotto: Kohdelaitteet päivityksiä varten, alkaen pienistä alijoukoista ja laajentamalla tietoja onnistuneiden testien perusteella.

• Korjaus: Tutki ja ratkaise mahdolliset ongelmat lokien ja toimittajan tuen avulla.

Valmistelu 

Varastolaitteisto ja laiteohjelmisto. Muodosta edustava esimerkki laitteista, jotka perustuvat esimerkiksi järjestelmän valmistajaan, järjestelmämalliin, BIOS-versioon/päivämäärään ja BaseBoard-tuoteversioon, ja testaa näiden laitteiden päivitykset ennen laajaa käyttöönottoa.  Nämä parametrit ovat yleisesti käytettävissä järjestelmätiedoissa (MSINFO32). Voit tarkistaa suojatun käynnistyksen päivityksen tilan ja varastolaitteet koko organisaatiossa käyttämällä mukana toimitettuja PowerShell-mallikomentoja.

Esimerkki suojatun käynnistyksen varastotietojen keräämisen komentosarjasta

Kopioi ja liitä tämä esimerkkikomentosarja ja muokkaa sitä tarpeen mukaan ympäristössäsi: Suojatun käynnistyksen inventaariotietojen keräämisen esimerkkikomentosarja.

Suojatun käynnistyksen luottamustasot

Jos suojattu käynnistys on käytössä, ensimmäinen vaihe on tarkistaa, onko äskettäin päivitettyjä odottavia tapahtumia vai päivitetäänkö suojatun käynnistyksen varmenteita. Erityisen kiinnostavia ovat viimeisimmät tapahtumat vuosina 1801 ja 1808. Nämä tapahtumat on kuvattu yksityiskohtaisesti suojatun käynnistyksen DB- ja DBX-muuttujapäivitystapahtumissa. Tarkista myös Seuranta ja käyttöönotto -osiosta, miten tapahtumat voivat näyttää odottavien päivitysten tilan.  

Seuraava vaihe on organisaation laitteiden inventointi. Kerää seuraavat tiedot PowerShell-komennoilla edustavan otoksen muodostamista varten: 

Laiteohjelmistoon liittyvät seikat

Uusien suojatun käynnistyksen varmenteiden käyttöönotto laitteiden kalustossa edellyttää, että laitteen laiteohjelmistolla on osansa päivityksen viimeistelyssä. Vaikka Microsoft odottaa, että useimmat laitteen laiteohjelmistot toimivat odotetulla tavalla, tarvitaan huolellista testausta ennen uusien varmenteiden käyttöönottoa.

Tutki laitteistoluetteloa ja luo pieni, edustava otos laitteista seuraavien yksilöllisten ehtojen perusteella, kuten: 

• Valmistaja

• Mallinumero

• Laiteohjelmistoversio

• OEM Baseboard -versio jne.

Ennen kuin otat yleisesti käyttöön kalustosi laitteissa, suosittelemme, että testaat varmennepäivitykset edustavissa mallilaitteissa (kuten valmistajan, mallin tai laiteohjelmistoversion mukaan) varmistaaksesi, että päivitykset käsitellään onnistuneesti. Suositeltu ohje kunkin yksilöllisen luokan testattavien mallilaitteiden määrästä on 4 tai enemmän.

Tämä auttaa lisäämään luottamusta käyttöönottoprosessiisi ja välttämään odottamattomia vaikutuksia laajempaan kalustoon. 

Joissakin tapauksissa suojatun käynnistyksen varmenteiden päivittäminen saattaa edellyttää laiteohjelmistopäivitystä. Näissä tapauksissa suosittelemme tarkistamaan laitteen alkuperäisestä laitevalmistajasta, onko päivitettyä laiteohjelmistoa saatavilla.

Windows virtualisoiduissa ympäristöissä

Virtuaalisessa ympäristössä suoritettavassa Windowsissa on kaksi tapaa lisätä uudet varmenteet suojatun käynnistyksen laiteohjelmistomuuttujiin:  

• Virtuaaliympäristön luoja (AWS, Azure, Hyper-V, VMware jne.) voi tarjota ympäristöpäivityksen ja sisällyttää uudet varmenteet virtualisoituun laiteohjelmistoon. Tämä toimisi uusissa virtualisoituissa laitteissa.

• Jos Windows toimii pitkään virtuaalikoneessa, päivityksiä voidaan käyttää Windowsin kautta muiden laitteiden tavoin, jos virtualisoitu laiteohjelmisto tukee suojatun käynnistyksen päivityksiä.

Seuranta ja käyttöönotto 

Suosittelemme, että aloitat laitteen valvonnan ennen käyttöönottoa varmistaaksesi, että valvonta toimii oikein ja että sinulla on hyvä käsitys laivaston tilasta etukäteen. Seurantavaihtoehdoista keskustellaan alla. 

Microsoft tarjoaa useita tapoja suojatun käynnistyksen varmennepäivitysten käyttöönottoon ja valvontaan.

Automaattinen käyttöönotto auttaa 

Microsoft tarjoaa kaksi käyttöönottoapua. Nämä avustukset voivat osoittautua hyödyllisiksi apuna uusien varmenteiden käyttöönotossa kalustossasi. Vain Hallittu ominaisuuksien käyttöönotto -apu edellyttää diagnostiikkatietoja.

• Vaihtoehto kumulatiivisille päivityksille luottamussäilöillä: Microsoft saattaa sisällyttää automaattisesti korkean luottamuksen laiteryhmiä kuukausittaisiin päivityksiin tähän mennessä jaettujen diagnostiikkatietojen perusteella sellaisten järjestelmien ja organisaatioiden eduksi, jotka eivät voi jakaa diagnostiikkatietoja. Tämä vaihe ei edellytä diagnostiikkatietojen asentamista käyttöön.

  • Organisaatioissa ja järjestelmissä, jotka voivat jakaa diagnostiikkatietoja, Microsoft näkee ja luottaa siihen, että laitteet voivat ottaa varmenteet onnistuneesti käyttöön. Lisätietoja diagnostiikkatietojen käyttöönotosta on artikkelissa Windowsin diagnostiikkatietojen määrittäminen organisaatiossa. Luomme "säilöjä" jokaiselle yksilölliselle laitteelle (sellaisinaan määritteet, joihin kuuluvat valmistaja, emolevyversio, laiteohjelmiston valmistaja, laiteohjelmistoversio ja muut arvopisteet). Seuraamme jokaisen säilön osalta onnistumisnäyttöä useissa laitteissa. Kun olemme nähneet tarpeeksi onnistuneita päivityksiä eikä virheitä, tarkastelemme säilöä "erittäin luottavaisena" ja sisällytämme nämä tiedot kuukausittaisiin kumulatiivisiin päivityksiin. Kun kuukausittaisia päivityksiä otetaan käyttöön laitteessa, joka on luotettavassa säilössä, Windows käyttää varmenteita automaattisesti laiteohjelmiston suojatun käynnistyksen muuttujiin.

  • Luotettavat säilöt sisältävät laitteita, jotka käsittelevät päivityksiä oikein. Luonnollisesti kaikki laitteet eivät tarjoa diagnostiikkatietoja, mikä saattaa rajoittaa Microsoftin luottamusta laitteen kykyyn käsitellä päivitykset oikein.

  • Tämä avustaja on oletusarvoisesti käytössä korkean varmuuden laitteissa, ja se voidaan poistaa käytöstä laitekohtaisen asetuksen avulla. Lisätietoja jaetaan tulevissa Windows-julkaisuissa.

• Hallittu ominaisuuksien käyttöönotto (CFR):  Ota käyttöön laitteet Microsoftin hallinnoimaan käyttöönottoon, jos diagnostiikkatiedot ovat käytössä.

  • Hallittua ominaisuuksien käyttöönottoa (CFR) voidaan käyttää asiakaslaitteiden kanssa organisaation kalustossa. Tämä edellyttää, että laitteet lähettävät pakollisia diagnostiikkatietoja Microsoftille ja ovat ilmoittaneet, että laite ottaa CFR:n käyttöön laitteessa. Lisätietoja siitä, miten voit osallistua, on kuvattu alla.

  • Microsoft hallitsee näiden uusien varmenteiden päivitysprosessia Windows-laitteissa, joissa diagnostiikkatietoja on saatavilla ja laitteet osallistuvat CFR (Controlled Feature Rollout) -käyttöönottoon. Vaikka CFR voi auttaa uusien varmenteiden käyttöönotossa, organisaatiot eivät voi käyttää CFR:ää kalustonsa korjaamiseen. Se edellyttää, että noudatat tässä asiakirjassa kuvattuja ohjeita käyttöönottomenetelmiä koskevassa osiossa, jota automaattiset avustukset eivät kata.

  • Rajoitukset: On muutamia syitä, miksi CFR ei ehkä toimi ympäristössäsi. Esimerkki:

    • Diagnostiikkatietoja ei ole saatavilla tai diagnostiikkatietoja ei voi käyttää cfr-käyttöönoton yhteydessä.

    • Laitteet eivät ole Windows 11 tuetuissa asiakasversioissa ja Windows 10 laajennetuilla suojauspäivityksillä (ESU).

Käyttöönottotavat, joita automaattiset avustukset eivät kata

Valitse ympäristöön sopiva menetelmä. Vältä sekoittamista samassa laitteessa: 

• Rekisteriavaimet: Hallitse käyttöönottoa ja valvo tuloksia.
  Käytettävissä on useita rekisteriavaimia varmenteiden käyttöönoton toiminnan hallintaan ja tulosten seurantaan. Lisäksi on olemassa kaksi avainta, joiden avulla voit ottaa käyttöön ja poistaa edellä kuvatut käyttöönottoapuvälineet. Lisätietoja rekisteriavaimista on artikkelissa Rekisteriavaimen Päivitykset suojatulle käynnistystoiminnolle – Windows-laitteille, joissa on IT-hallittuja päivityksiä.

• ryhmäkäytäntö Objektit (ryhmäkäytäntöobjektit): Asetusten hallinta; valvonta rekisteri- ja tapahtumalokien kautta.
  Microsoft tarjoaa tukea suojatun käynnistyksen päivitysten hallintaan ryhmäkäytäntö avulla tulevassa päivityksessä. Huomaa, että koska ryhmäkäytäntö koskee asetuksia, laitteen tilan valvonta on tehtävä vaihtoehtoisilla menetelmillä, kuten rekisteriavainten ja tapahtumalokimerkintöjen valvonnalla.

• WinCS (Windows Configuration System) CLI: Käytä komentorivityökaluja toimialueeseen liitettyihin asiakasohjelmiin.
  Toimialueen järjestelmänvalvojat voivat vaihtoehtoisesti käyttää Windows-käyttöjärjestelmän päivityksiin sisältyvää Windowsin määritysjärjestelmää (WinCS) suojatun käynnistyksen päivitysten käyttöönottoon toimialueeseen yhdistetyissä Windows-asiakasohjelmissa ja -palvelimissa. Se koostuu komentoriviapuohjelmista (sekä perinteisestä suoritettavasta että PowerShell-moduulista), joiden avulla voit tehdä kyselyjä ja käyttää suojatun käynnistyksen määrityksiä paikallisesti koneessa. Lisätietoja on seuraavissa artikkeleissa:

  • Windows configuration System (WinCS) -ohjelmointirajapinnat suojattua käynnistystä varten

  • Esimerkki suojatun käynnistyksen E2E-automaatio-oppaasta

• Microsoft Intune/Configuration Manager: Ota PowerShell-komentosarjat käyttöön. Tulevassa päivityksessä tarjotaan määrityspalveluntarjoaja, joka mahdollistaa käyttöönoton Intune.

Tapahtumalokien valvonta

Suojatun käynnistyksen varmennepäivitysten käyttöönotossa on kaksi uutta tapahtumaa. Nämä tapahtumat on kuvattu yksityiskohtaisesti suojatun käynnistyksen DB- ja DBX-muuttujapäivitystapahtumissa: 

• Tapahtumatunnus: 1801
  Tämä tapahtuma on virhetapahtuma, joka ilmaisee, että päivitettyjä varmenteita ei ole käytetty laitteessa. Tämä tapahtuma antaa joitakin laitetta koskevia tietoja, mukaan lukien laitteen määritteet, jotka auttavat korreloimaan, mitkä laitteet on vielä päivitettävä.

• Tapahtumatunnus: 1808
  Tämä tapahtuma on informaatiotapahtuma, joka ilmaisee, että laitteessa on laitteen laiteohjelmistoon sovellettavat pakolliset uudet suojatun käynnistyksen varmenteet.

Käyttöönottostrategiat 

Riskien minimoimiseksi ota suojatun käynnistyksen päivitykset käyttöön vaiheittain eikä kaikki kerralla. Aloita pienellä laitejoukolla, vahvista tulokset ja laajenna sitten muihin ryhmiin. Suosittelemme, että aloitat laitteiden alijoukoista ja lisäät laitteiden alijoukkoja, kun luotat näihin käyttöönottoihin. Useita tekijöitä voidaan käyttää määrittämään, mitä alijoukkoon kuuluu, mukaan lukien testitulokset mallilaitteissa ja organisaation rakenteessa jne. 

Päätös siitä, mitkä laitteet otat käyttöön, on sinun tehtäväsi. Tässä on lueteltu joitakin mahdollisia strategioita. 

• Suuri laitekalusto: aloita luottamalla yllä kuvattuihin apuvälineisiin yleisimmissä laitteissa, joita hallitset. Keskity samaan aikaan organisaation hallitsemiin vähemmän yleisiin laitteisiin. Testaa pieniä näytelaitteita ja ota testauksen onnistuessa käyttöön muissa samantyyppisissä laitteissa. Jos testauksessa ilmenee ongelmia, tutki ongelman syy ja määritä korjausvaiheet. Voit myös harkita laiteluokkia, joilla on suurempi arvo kalustossasi, ja aloittaa testauksen ja käyttöönoton varmistaaksesi, että nämä laitteet ovat päivittäneet suojauksen ajoissa.

• Pieni laivasto, suuri valikoima: Jos hallinnoimasi kalusto sisältää monenlaisia koneita, joissa yksittäisten laitteiden testaaminen olisi kiellettyä, harkitse vahvasti edellä kuvattujen kahden avustimen tukemista erityisesti laitteissa, jotka ovat todennäköisesti yleisiä laitteita markkinoilla. Keskity aluksi laitteisiin, jotka ovat kriittisiä päivittäiselle toiminnalle, testaa ja ota sitten käyttöön. Jatka suuren prioriteetin laitteiden luettelon siirtämistä, testaamista ja käyttöönottoa samalla kun valvot kalustoa varmistaaksesi, että avustukset auttavat jäljellä olevien laitteiden kanssa.

Huomautukset 

• Kiinnitä huomiota vanhempiin laitteisiin, erityisesti laitteisiin, joita valmistaja ei enää tue. Vaikka laiteohjelmiston pitäisi suorittaa päivitystoiminnot oikein, jotkin eivät ehkä toimi. Jos laiteohjelmisto ei toimi oikein eikä laite enää tue sitä, harkitse laitteen vaihtamista suojatun käynnistyksen suojauksen varmistamiseksi koko kalustossa.

• Uusissa laitteissa, jotka on valmistettu viimeisten 1–2 vuoden aikana, on ehkä jo asennettu päivitetyt varmenteet, mutta windows UEFI CA 2023:n allekirjoitettua käynnistyshallintaa ei ehkä ole otettu käyttöön järjestelmässä. Tämän käynnistyksen hallinnan käyttäminen on tärkeä viimeinen vaihe kunkin laitteen käyttöönotossa.

• Kun laite on valittu päivityksiä varten, päivitysten valmistuminen voi kestää jonkin aikaa. Arvioi, että varmenteet ovat voimassa 48 tuntia ja yksi tai useampi uudelleenkäynnistys.