KB4074629: Understanding SpeculationControl PowerShell script output

Menetelmä 1: PowerShellin tarkistaminen PowerShell-valikoiman avulla (Windows Server 2016 tai WMF 5.0/5.1)

PowerShell-moduulin asentaminen

PS> Install-Module SpeculationControl

Varmista SpeculationControl PowerShell -moduulin avulla, että suojaukset ovat käytössä

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Menetelmä 2: PowerShellin tarkistaminen TechNet-latauksella (aiemmat käyttöjärjestelmäversiot/aiemmat WMF-versiot)

PowerShell-moduulin asentaminen TechNet ScriptCenteristä

1. Siirry https://aka.ms/SpeculationControlPS.

2. Lataa SpeculationControl.zip paikalliseen kansioon.

3. Pura sisältö paikalliseen kansioon, esimerkiksi C:\ADV180002

Varmista PowerShell-moduulin avulla, että suojaukset ovat käytössä

Käynnistä PowerShell ja kopioi ja suorita seuraavat komennot (yllä olevan esimerkin avulla):

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Lähtö

Selitys

Spekulaatioiden hallinta-asetukset CVE-2017-5715 :lle [haaran kohteen lisäys]

Tässä osassa on järjestelmän tila variantille 2, CVE-2017-5715, haaran kohdeinjektiolle.

Haaran kohdelisäyksen lieventämisen laitteistotuki on käytössä

Kartat kohteeseen BTIHardwarePresent. Tällä rivillä kerrotaan, onko käytössä laitteisto-ominaisuuksia, jotka tukevat haaran kohdelisäyksen lieventämistä. Laitteen alkuperäinen laitevalmistaja vastaa päivitetyn BIOS/laiteohjelmiston toimittamisesta, joka sisältää suoritinvalmistajien tarjoaman mikrokoodin. Jos tämä rivi on Tosi, tarvittavat laitteisto-ominaisuudet ovat käytettävissä. Jos rivi on Epätosi, tarvittavia laitteisto-ominaisuuksia ei ole. Siksi haaran kohdelisäyksen lieventämistä ei voi ottaa käyttöön.

Huomautus BTIHardwarePresent on Tosi vieras virtuaalikoneissa, jos OEM-päivitystä sovelletaan isäntään ja ohjeitaseurataan.

Windows-käyttöjärjestelmän tuki haaran kohdelisäysvähennyksille on käytössä

Kartat kohteeseen BTIWindowsSupportPresent. Tällä rivillä kerrotaan, onko Windows-käyttöjärjestelmän tukea haaran kohdelisäysvähennystä varten. Jos se on Tosi, käyttöjärjestelmä tukee haaran kohdelisäyksen lieventämisen käyttöönottoa (ja on siksi asentanut tammikuun 2018 päivityksen). Jos se on Epätosi, tammikuun 2018 päivitystä ei asenneta laitteeseen eikä haaran kohteen lisäystä voi lieventää.

Huomautus Jos vieraskäyttäjä ei tunnista isäntälaitteistopäivitystä, BTIWindowsSupportEnabled on aina Epätosi.

Windows-käyttöjärjestelmän tuki haaran kohdelisäyksen lieventämiseen on otettu käyttöön

Kartat kohteeseen BTIWindowsSupportEnabled. Tällä rivillä kerrotaan, onko Windows-käyttöjärjestelmän tuki otettu käyttöön haaran kohdelisäysvähennystä varten. Jos se on Tosi, laitteistotuki ja käyttöjärjestelmän tuki haaran kohdelisäysvähennystä varten ovat käytössä laitteessa, mikä suojaa CVE-2017-5715:ltä. Jos se on Epätosi, jokin seuraavista ehdoista on tosi:

• Laitteistotukea ei ole.

• Käyttöjärjestelmän tukea ei ole.

• Järjestelmän käytäntö poistaa lievennyksen käytöstä.

Windows-käyttöjärjestelmän tuki haaran kohdelisäyksen lieventämiseen on poistettu käytöstä järjestelmäkäytännön mukaan

Yhdistää BTIDisabledBySystemPolicyyn. Tällä rivillä kerrotaan, onko haaran kohdelisäyksen lieventäminen poistettu käytöstä järjestelmäkäytännöllä (kuten järjestelmänvalvojan määrittämällä käytännöllä). Järjestelmäkäytäntö viittaa rekisterin ohjausobjekteihin, jotka on dokumentoitu versiossa KB4072698. Jos se on Tosi, järjestelmäkäytäntö on vastuussa lievennyksen poistamisesta käytöstä. Jos se on Epätosi, eri syy poistaa lievennyksen käytöstä.

Windows-käyttöjärjestelmän tuki haaran kohdelisäysten lieventämiseen on poistettu käytöstä, koska laitteistotukea ei ole

Kartat kohteeseen BTIDisabledByNoHardwareSupport. Tällä rivillä kerrotaan, onko haaran kohdelisäys poistettu käytöstä laitteistotuen puuttumisen vuoksi. Jos se on Tosi, laitteistotuen puuttuminen on vastuussa lievennyksen poistamisesta käytöstä. Jos se on Epätosi, eri syy poistaa lievennyksen käytöstä.

HuomautusJos vieraskäyttäjä ei tunnista isäntälaitteistopäivitystä, BTIDisabledByNoHardwareSupport on aina Tosi.

Spekulaatioiden hallinta-asetukset: CVE-2017-5754 [tietovälimuistin kuormitus]

Tässä osassa on yhteenvetojärjestelmän tila muuttujalle 3, CVE-2017-5754, tietovälimuistin lataus. Tämän lievennystä kutsutaan ytimen virtuaaliosoitteen varjostukseksi tai tietojen välimuistin kuormituksen lieventämiseksi.

Laitteisto on altis tietovälimuistin kuormitukselle

Kartat kohteeseen RdclHardwareProtected. Tämä rivi kertoo, onko laitteisto alttiina CVE-2017-5754:lle. Jos se on Tosi, laitteiston uskotaan olevan altis CVE-2017-5754:lle. Jos se on Epätosi, laitteiston ei tiedetä olevan alttiina CVE-2017-5754:lle.

Windows-käyttöjärjestelmän tuki tietovälimuistin kuormituksen lieventämiseen on käytössä

Kartat kohteeseen KVAShadowWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän tuki ytimen VA-varjostustoiminnolle käytössä.

Windows-käyttöjärjestelmän tuki tietovälimuistin kuormituksen lieventämiseen on otettu käyttöön

Kartat kohteeseen KVAShadowWindowsSupportEnabled. Tämä rivi kertoo, onko ytimen VA-varjostusominaisuus käytössä. Jos se on Tosi, laitteiston uskotaan olevan alttiina CVE-2017-5754:lle, Windows-käyttöjärjestelmän tuki on käytössä ja ominaisuus on käytössä.

Laitteisto edellyttää ytimen VA-varjostusta

Kartat kohteeseen KVAShadowRequired. Tämä rivi kertoo, vaatiiko järjestelmä ydinvajausta haavoittuvuuden lieventämiseksi.

Ytimen VA-varjostuksen Windows-käyttöjärjestelmän tuki on läsnä

Kartat kohteeseen KVAShadowWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän tuki ytimen VA-varjostustoiminnolle käytössä. Jos se on Tosi, tammikuun 2018 päivitys asennetaan laitteeseen ja ytimen VA-varjostus on tuettu. Jos se on Epätosi, tammikuun 2018 päivitystä ei asenneta eikä ytimen VA-varjostustukea ole.

Ytimen VA-varjostuksen Windows-käyttöjärjestelmän tuki on käytössä

Kartat kohteeseen KVAShadowWindowsSupportEnabled. Tämä rivi kertoo, onko ytimen VA-varjostusominaisuus käytössä. Jos se on Tosi, Windows-käyttöjärjestelmän tuki on käytössä ja ominaisuus on käytössä. Ytimen VA-varjostusominaisuus on tällä hetkellä oletusarvoisesti käytössä Windowsin asiakasversioissa, ja se on oletusarvoisesti poissa käytöstä Windows Serverin versioissa. Jos se on Epätosi, windows-käyttöjärjestelmän tukea ei ole tai ominaisuus ei ole käytössä.

Windows-käyttöjärjestelmän tuki PCID:n suorituskyvyn optimoinnille on käytössä

HuomautusPCID-tunnusta ei tarvita suojaukseen. Se ilmaisee vain, onko suorituskyvyn parantaminen käytössä. PCID-tunnusta ei tueta Windows Server 2008 R2:ssa

Kartat kohteeseen KVAShadowPcidEnabled. Tämä rivi kertoo, onko ytimen VA-varjostukseen otettu käyttöön suorituskyvyn lisäoptimointi. Jos se on Tosi, ytimen VA-varjostus on käytössä, PCID:n laitteistotuki on käytössä ja PCID-optimointi ytimen VA-varjostusta varten on käytössä. Jos se on Epätosi, laitteisto tai käyttöjärjestelmä ei ehkä tue PCID-tunnusta. Se ei ole tietoturvaheikkous, jos PCID-optimointia ei oteta käyttöön.

Windows-käyttöjärjestelmän tuki spekulatiiviselle säilön ohitustoimintoon on läsnä

Kartat kohteeseen SSBDWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän tuki spekulatiiviselle Kaupan ohitus -toiminnolle käytössä. Jos se on Tosi, tammikuun 2018 päivitys asennetaan laitteeseen ja ytimen VA-varjostus on tuettu. Jos se on Epätosi, tammikuun 2018 päivitystä ei asenneta eikä ytimen VA-varjostustukea ole.

Laitteisto edellyttää spekulatiivisen säilön ohittamista, joka on poistettava käytöstä

Kartat kohteeseen SSBDHardwareVulnerablePresent. Tämä rivi kertoo, onko laitteisto alttiina CVE-2018-3639:lle. Jos se on Tosi, laitteiston uskotaan olevan altis CVE-2018-3639:lle. Jos se on Epätosi, laitteisto ei ole alttiina CVE-2018-3639:lle.

Säilön spekulatiivisen ohituksen poistaminen käytöstä -laitteistotuki on käytössä

Kartat kohteeseen SSBDHardwarePresent. Tämä rivi kertoo, onko käytettävissä laitteisto-ominaisuuksia, jotka tukevat spekulatiivista Storen ohitustoimintoa. Laitteen alkuperäinen laitevalmistaja vastaa intelin tarjoaman mikrokoodin sisältävän päivitetyn BIOS/laiteohjelmiston toimittamisesta. Jos tämä rivi on Tosi, tarvittavat laitteisto-ominaisuudet ovat käytettävissä. Jos rivi on Epätosi, tarvittavia laitteisto-ominaisuuksia ei ole. Siksi spekulatiivista Säilön ohitus käytöstä -toimintoa ei voi ottaa käyttöön.

Huomautus SSBDHardwarePresent on Tosi vieras virtuaalikoneissa, jos OEM-päivitystä käytetään isännöintipalvelussa.

Windows-käyttöjärjestelmän tuki spekulatiiviselle säilön ohitustoimintoa varten on käytössä

Kartat kohteeseen SSBDWindowsSupportEnabledSystemWide. Tämä rivi kertoo, onko Spekulatiivisen Storen ohituksen poistaminen käytöstä käytössä Windows-käyttöjärjestelmässä. Jos se on Tosi, laitteistotuki ja käyttöjärjestelmän tuki spekulatiiviselle Storen ohitustoiminnolle on käytössä laitteessa, joka estää spekulatiivisen Storen ohituksen, mikä poistaa tietoturvariskin kokonaan. Jos se on Epätosi, jokin seuraavista ehdoista on tosi:

• Laitteistotukea ei ole.

• Käyttöjärjestelmän tukea ei ole.

• Spekulatiivisen Säilön ohitus ei ole käytössä rekisteriavaimien kautta. Seuraavissa artikkeleissa on ohjeet niiden käyttöönottoon:

  • KB4073119: Windows-asiakasohjeet IT-ammattilaisille, jotka suojaavat piipohjaisilta mikroarchitectural- ja spekulatiivisilta suorituspuolen kanavan haavoittuvuuksilta

  • KB4072698: Windows Serverin ja Azure Stackin HCI-ohjeet, jotka suojaavat piipohjaisilta mikroarchitectural- ja spekulatiivisilta suorituspuolen kanavan haavoittuvuuksilta

Spekulaatioiden hallinta-asetukset CVE-2018-3620 :lle [L1-päätevirhe]

Tässä osassa esitetään CVE-2018-3620-kohdassa viitatun L1TF(käyttöjärjestelmän) yhteenvetojärjestelmän tila. Tämä lievennys varmistaa, että turvallisia sivukehysbittiä käytetään sivutaulukon merkintöjen epäkelpoon esittämiseen tai virheelliseen käyttöön.

Huomautus Tässä osassa ei ole yhteenvetoa CVE-2018-3646:ssa viitatusta L1TF (VMM) -lievennyksen tilasta.

Laitteisto on altis L1-päätevirheille: Tosi

Kartat kohteeseen L1TFHardwareVulnerable. Tämä rivi kertoo, onko laitteisto alttiina L1-päätevialle (L1TF, CVE-2018-3620). Jos se on Tosi, laitteiston uskotaan olevan alttiina CVE-2018-3620:lle. Jos se on Epätosi, laitteiston ei tiedetä olevan alttiina CVE-2018-3620:lle.

Windows-käyttöjärjestelmän tuki L1-päätevirheiden lieventämiseen on käytössä: Tosi

Kartat kohteeseen L1TFWindowsSupportPresent. Tämä linja kertoo, onko Windows-käyttöjärjestelmän tuki L1 Terminal Fault (L1TF) -käyttöjärjestelmän lievennykseen. Jos päivitys on Tosi, elokuun 2018 päivitys asennetaan laitteeseen ja CVE-2018-3620-päivitykseen on olemassa lievennys. Jos päivitys on Epätosi, elokuun 2018 päivitystä ei asenneta eikä CVE-2018-3620-päivitystä ole.

Windows-käyttöjärjestelmän tuki L1-päätevirheiden lieventämiseen on käytössä: Tosi

Kartat kohteeseen L1TFWindowsSupportEnabled. Tämä linja kertoo, onko Windows-käyttöjärjestelmän L1-päätevirheen (L1TF, CVE-2018-3620) lievennys käytössä. Jos se on Tosi, laitteiston uskotaan olevan alttiina CVE-2018-3620:lle, Windows-käyttöjärjestelmän tuki lievennystä varten on käytössä ja lievennys on käytössä. Jos se on Epätosi, laitteisto ei ole haavoittuvainen, Windows-käyttöjärjestelmän tukea ei ole tai lievennys ei ole käytössä.

MdS:n spekulaatioiden hallinta-asetukset [Mikroarkkitektural Data Sampling]

Tässä osassa on järjestelmän tila MDS-haavoittuvuuksille, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 ja ADV220002.

Windows-käyttöjärjestelmän tuki MDS:n lieventämiseen on käytössä

Kartat kohteeseen MDSWindowsSupportPresent. Tämä linja kertoo, onko Windows-käyttöjärjestelmän tuki microarchitectural Data Sampling (MDS) -käyttöjärjestelmän lievennykseen. Jos se on Tosi, toukokuun 2019 päivitys asennetaan laitteeseen ja MDS:n lievennys on käytössä. Jos päivitys on Epätosi, toukokuun 2019 päivitystä ei asenneta eikä MDS:n lievennystä ole.

Laitteisto on altis MDS:lle

Kartat KOHTEESEEN MDSHardwareVulnerable. Tämä linja kertoo, onko laitteisto altis mikroarkkitektural data sampling (MDS) -haavoittuvuuksille (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Jos se on Tosi, näiden haavoittuvuuksien uskotaan vaikuttavan laitteistoon. Jos se on Epätosi, laitteiston tiedetään olevan haavoittuva.

Windows-käyttöjärjestelmän tuki MDS:n lieventämiseen on otettu käyttöön

Kartat kohteeseen MDSWindowsSupportEnabled. Tämä linja kertoo, onko Windows-käyttöjärjestelmän lievennys käytössä mikroarkkitektural data sampling (MDS) -otosta varten. Jos se on Tosi, MDS-haavoittuvuuksien uskotaan vaikuttavan laitteistoon, Windows-käyttöjärjestelmän tuki lievennystä varten on käytössä ja lievennys on käytössä. Jos se on Epätosi, laitteisto ei ole haavoittuvainen, Windows-käyttöjärjestelmän tukea ei ole tai lievennys ei ole käytössä.

Windows-käyttöjärjestelmän tuki SBDR-lievennyksille on käytössä

Kartat kohteeseen FBClearWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän tuki SBDR-käyttöjärjestelmän lievennystä varten käytössä. Jos se on Tosi, kesäkuun 2022 päivitys asennetaan laitteeseen ja SBDR:n lievennys on käytössä. Jos se on Epätosi, kesäkuun 2022 päivitystä ei asenneta eikä SBDR:n lievennystä ole.

Laitteisto on altis SBDR:lle

Kartat kohteeseen SBDRSSDPHardwareVulnerable. Tämä rivi kertoo, onko laitteisto alttiina SBDR:lle [jaetut puskurit tietojen lukeminen] -haavoittuvuusjoukolle (CVE-2022-21123). Jos se on Tosi, näiden haavoittuvuuksien uskotaan vaikuttavan laitteistoon. Jos se on Epätosi, laitteiston tiedetään olevan haavoittuva.

SBDR-lievennyksen Windows-käyttöjärjestelmän tuki on käytössä

Kartat kohteeseen FBClearWindowsSupportEnabled. Tällä rivillä kerrotaan, onko Windows-käyttöjärjestelmän SBDR-lievennys [jaettujen puskurien tietojen luku] käytössä. Jos se on Tosi, SBDR-haavoittuvuudet vaikuttavat laitteistoon, lievennyksen windows-käyttötuki on käytössä ja lievennys on käytössä. Jos se on Epätosi, laitteisto ei ole haavoittuvainen, Windows-käyttöjärjestelmän tukea ei ole tai lievennys ei ole käytössä.

Windows-käyttöjärjestelmän FBSDP-lievennystuki on käytössä

Kartat kohteeseen FBClearWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän tuki FBSDP-käyttöjärjestelmän lievennystä varten olemassa. Jos se on Tosi, kesäkuun 2022 päivitys asennetaan laitteeseen ja FBSDP:n lievennys on käytössä. Jos se on Epätosi, kesäkuun 2022 päivitystä ei asenneta eikä FBSDP:n lievennystä ole.

Laitteisto on altis FBSDP:lle

Kartat kohteeseen FBSDPHardwareVulnerable. Tämä rivi kertoo, onko laitteisto alttiina FBSDP:lle [täyttöpuskurin tietojen levittäjä] haavoittuvuusjoukolle (CVE-2022-21125, CVE-2022-21127 ja CVE-2022-21166). Jos se on Tosi, näiden haavoittuvuuksien uskotaan vaikuttavan laitteistoon. Jos se on Epätosi, laitteiston tiedetään olevan haavoittuva.

Windows-käyttöjärjestelmän FBSDP-lievennystuki on käytössä

Kartat kohteeseen FBClearWindowsSupportEnabled. Tämä rivi kertoo, onko Windows-käyttöjärjestelmän FBSDP-lievennys [täyttöpuskurin tietojen levittäjä] käytössä. Jos se on Tosi, FBSDP-haavoittuvuuksien uskotaan vaikuttavan laitteistoon, Windowsin käyttötuki lievennystä varten on käytössä ja lievennys on käytössä. Jos se on Epätosi, laitteisto ei ole haavoittuvainen, Windows-käyttöjärjestelmän tukea ei ole tai lievennys ei ole käytössä.

Windows-käyttöjärjestelmän tuki PSDP:n lieventämiseen on käytössä

Kartat kohteeseen FBClearWindowsSupportPresent. Tämä rivi kertoo, onko Windows-käyttöjärjestelmätuki PSDP-käyttöjärjestelmän lievennystä varten käytössä. Jos se on Tosi, kesäkuun 2022 päivitys asennetaan laitteeseen ja PSDP:n lievennys on käytössä. Jos se on Epätosi, kesäkuun 2022 päivitystä ei asenneta eikä PSDP:n lievennystä ole.

Laitteisto on altis PSDP:lle

Kartat PSDPHardwareVulnerableen. Tämä rivi kertoo, onko laitteisto alttiina PSDP-joukolle [ensisijainen tietojen levittäjä] haavoittuvuuksille. Jos se on Tosi, näiden haavoittuvuuksien uskotaan vaikuttavan laitteistoon. Jos se on Epätosi, laitteiston tiedetään olevan haavoittuva.

Windows-käyttöjärjestelmän tuki PSDP-lievennykseen on käytössä

Kartat kohteeseen FBClearWindowsSupportEnabled. Tämä rivi kertoo, onko WINDOWS-käyttöjärjestelmän lievennys PSDP:lle [ensisijainen stale data propagator] käytössä. Jos se on Tosi, PSDP-haavoittuvuuksien uskotaan vaikuttavan laitteistoon, ikkunoiden käyttötuki lievennystä varten on käytössä ja lievennys on käytössä. Jos se on Epätosi, laitteisto ei ole haavoittuvainen, Windows-käyttöjärjestelmän tukea ei ole tai lievennys ei ole käytössä.

Rekisteriavaimen

Kartoitus

FeatureSettingsOverride – Bitti 0

Kartat kohteeseen - Haaran kohdelisäys - BTIWindowsSupportEnabled

FeatureSettingsOverride – Bitti 1

Kartat kohteeseen - Rogue data cache load - VAShadowWindowsSupportEnabled