הדרכה לחסימת חזרה למצב קודם של עדכוני אבטחה מבוססי-וירטואליזציה (VBS) הקשורים

הערה חשובה לגבי מדיניות SkuSiPolicy.p7b

לקבלת הוראות להחלת המדיניות המעודכנת, עיין בסעיף פריסת מדיניות ביטול חתומה של Microsoft (SkuSiPolicy.p7b ). 

במאמר זה

• סיכום

• טווח ההשפעה

• צמצום סיכונים זמין

• הבנת סיכוני צמצום סיכונים

• קווים מנחים לפריקת צמצום סיכונים

  • פריסת מדיניות ביטול החתימה על-ידי Microsoft (SkuSiPolicy.p7b)

  • מעדכן מדיית אתחול חיצוני

• יומני אירועים של Windows

  • אירועי הפעלת מדיניות

  • ביקורת וחסימה של אירועים

• הליך להסרת מדיניות ושחזור

• שינויים שבוצעו במאמר זה

סיכום

Microsoft המודעות לפגיעות ב- Windows המאפשרת לתוקף בעל הרשאות מנהל מערכת להחליף קבצי מערכת מעודכנים של Windows בעלי גירסאות ישנות יותר, ופותחת את הדלת כדי שתוקף יוכל להציג מחדש פגיעויות לאבטחה מבוססת-וירטואליזציה (VBS).  חזרה למצב קודם של קבצים בינאריים אלה עשויה לאפשר לתוקף לעקוף תכונות אבטחה של VBS ולצלוח נתונים המוגנים על-ידי VBS. בעיה זו מתוארת ב- CVE-2024-21302 | העלאת מצב ליבה מאובטח של Windows של פגיעות הרשאה.

כדי לפתור בעיה זו, נבטל קבצי מערכת VBS פגיעים שאינם מעודכנים. עקב מספר גדול של קבצים הקשורים ל- VBS שיש לחסום, אנו משתמשים בגישה חלופית לחסימת גירסאות קבצים לא מעודכנות.

טווח ההשפעה

כל מכשירי Windows התומכים ב- VBS מושפעים מבעיה זו. הדבר כולל מכשירים פיזיים מקומיים ומחשבים וירטואליים (VM). VBS נתמך בגירסאות Windows 10 ובגרסאות מתקדמות יותר של Windows, Windows Server 2016 ואילך Windows Server אלה.

ניתן לבדוק את מצב VBS באמצעות הכלי Microsoft System Information (Msinfo32.exe). כלי זה אוסף מידע אודות המכשיר שלך. לאחר הפעלת Msinfo32.exe, גלול מטה אל השורה אבטחה מבוססת-וירטואליזציה . אם הערך של שורה זו פועל, VBS זמין פועלים.

ניתן גם לבדוק את מצב VBS עם Windows PowerShell באמצעות Win32_DeviceGuard WMI. כדי לבצע שאילתה על מצב VBS מ- PowerShell, פתח Windows PowerShell עם הרשאות מלאות ולאחר מכן הפעל את הפקודה הבאה:

לאחר הפעלת הפקודה של PowerShell לעיל, מצב מצב VBS צריך להיות אחד מהמצבים הבאים.

צמצום סיכונים זמין

עבור כל הגירסאות הנתמכות של Windows 10, גירסה 1507 וגירסאות מתקדמות יותר של Windows, ו- Windows Server 2016 וגירסאות מאוחרות יותר של Windows Server, מנהלי מערכת יכולים לפרוס מדיניות ביטול חתימה של Microsoft (SkuSiPolicy.p7b). פעולה זו תחסום גירסאות פגיעות של קבצי מערכת VBS שמערכת ההפעלה לא תעדכן.  

כאשר SkuSiPolicy.p7b מוחל על מכשיר Windows, המדיניות תינעל גם במכשיר על-ידי הוספת משתנה הקושחה UEFI. במהלך ההפעלה, המדיניות נטענת ו- Windows חוסמת את הטעינה של קבצים בינאריים המפרים את המדיניות. אם נעילת UEFI מוחלת והמדיניות מוסרת או מוחלת בגירסה קודמת, מנהל האתחול של Windows לא יופעל והמכשיר לא יופעל. כשל אתחול זה לא יציג שגיאה והמערכת תמשיך אל אפשרות האתחול הזמינה הבאה שעלולה לגרום ל לולאת אתחול.

מדיניות CI נוספת החתימה על-ידי Microsoft, אשר מופעלת כברירת מחדל ודורש הוספה שלבי פריסה נוספים שאינם מאוגדים ל- UEFI. מדיניות CI חתומה זו תיטען במהלך אתחול, ואכיפת מדיניות זו תמנע חזרה למצב קודם של קבצי מערכת VBS במהלך הפעלת אתחול זו. בניגוד ל- SkuSiPolicy.p7b, מכשיר יכול להמשיך לבצע אתחול אם העדכון אינו מותקן. מדיניות זו כלולה בכל הגירסאות הנתמכות של Windows 10, גירסה 1507 ואילך. מנהלי מערכת עדיין יכולים להחיל את SkuSkiPolicy.p7b כדי לספק הגנה נוספת לחזרה למצב קודם בין הפעלות אתחול.   

יומני רישום של אתחול נמדד של Windows המשמשים כדי לאבחן את תקינות האתחול של המחשב כוללים מידע אודות גירסת המדיניות הנטען במהלך תהליך האתחול. יומני רישום אלה נשמרים באופן מאובטח על-ידי ה- TPM במהלך האתחול, והשירותים לאימות Microsoft מנתחים יומני רישום אלה כדי לוודא שגרסאות המדיניות הנכונות נטענות. שירותי ההודאה אוכפים כללים המבטיחים הטעון של גירסת מדיניות ספציפית או גירסה מתקדמת יותר; אחרת, המערכת לא תיעיד כבריאה.

כדי שמדיניות צמצום הסיכון יפעלו, יש לעדכן את המדיניות באמצעות עדכון השירות של Windows מאחר שהרכיבים של Windows והמדיניות חייבים להיות מאותה מהדורה. אם צמצום המדיניות מועתק למכשיר, ייתכן שהמכשיר לא יופעל אם הוחלה גירסה שגויה של צמצום הסיכונים, או שההפחתת הסיכון לא תיפתה כצפוי. בנוסף, צמצום סיכונים המתואר KB5025885 יש להחיל על המכשיר שלך.

ב- Windows 11, גירסה 24H2, Windows Server 2022 ו- Windows Server 23H2, בסיס יחסי האמון הדינאמי למדידה (DRTM) מוסיף צמצום סיכונים נוסף עבור פגיעות החזרה למצב קודם. צמצום סיכונים זה זמין כברירת מחדל. במערכות אלה, מפתחות ההצפנה המוגנים באמצעות VBS מאוגדים למדיניות VBS CI של הפעלת האתחול הזמינה כברירת מחדל, ויבטלו את האתחול רק אם מתבצעת אכיפה של גירסת מדיניות CI התואמת. כדי להפוך חזרה למצב קודם ביוזמת המשתמש לזמינה, נוספה תקופת חסד כדי לאפשר חזרה למצב קודם בטוח של גירסה אחת של חבילת עדכון Windows מבלי לאבד את היכולת לבטל את ההתקנה של מפתח האב של VSM. עם זאת, ניתן לחזור למצב קודם ביוזמת המשתמש רק אם SkuSiPolicy.p7b אינו מוחל. מדיניות ה- CI של VBS אוכפת שכל הקבצים הבינאריים של האתחול לא הו חזרו לגירסאות שבוטלה. משמעות הדבר היא שאם תוקף בעל הרשאות מנהל מערכת מחזר חזרה קבצים בינאריים של אתחול פגיע, המערכת לא תתחיל לפעול. אם המדיניות והנתונים הבינאריים של CI מו לחזור לגירסה קודמת, לא תיפתח הגנה על הנתונים המוגנים על-ידי VSM.

הבנת סיכוני צמצום סיכונים

עליך להיות מודע לסיכונים פוטנציאליים לפני החלת מדיניות הביטוליות החתימה על-ידי Microsoft. סקור סיכונים אלה ובצע את העדכונים הנחוצים למדיית שחזור לפני החלת צמצום הסיכונים.

הערה סיכונים אלה חלים רק על מדיניות SkuSiPolicy.p7b ולא חלים על הגנות המותאמות כברירת מחדל.

• UEFI - נעילה והסרת התקנה של עדכונים. לאחר החלת נעילת UEFI עם מדיניות הביטוליות החתימה על-ידי Microsoft במכשיר, לא ניתן להחזיר את המכשיר (על-ידי הסרת ההתקנה של עדכוני Windows, באמצעות נקודת שחזור או באופן אחר) אם תמשיך להחיל אתחול מאובטח. אפילו לא ניתן יהיה להסיר את נעילת UEFI של צמצום הסיכונים אם היא כבר הוחלה. משמעות הדבר היא שאם אתה מנסה להחזיר את מערכת ההפעלה Windows למצב קודם שלא הוחל עליה צמצום הסיכונים, המכשיר לא יופעל, לא תוצג הודעת שגיאה ו- UEFI ימשיך אל אפשרות האתחול הזמינה הבאה. פעולה זו עלולה לגרום ל לולאת אתחול. עליך להפוך אתחול מאובטח ללא זמין כדי להסיר את נעילת UEFI. שים לב לכל ההשלכות האפשריות ובדוק היטב לפני החלת הביטוליים המתוארים במאמר זה על המכשיר שלך.

• מדיית אתחול חיצוני. לאחר החלת צמצום הסיכונים של נעילת UEFI על מכשיר, יש לעדכן את מדיית האתחול החיצוני עם העדכון האחרון של Windows המותקן במכשיר. אם מדיית אתחול חיצוני אינה מתעדכנת לאותה גירסה של עדכון Windows, ייתכן שההתקן לא מאותה מדיה. עיין בהוראות במקטע עדכון מדיית אתחול חיצוני לפני החלת צמצום הסיכונים.

• סביבת השחזור של Windows. יש לעדכן את סביבת השחזור של Windows (WinRE) במכשיר עם העדכון הדינאמי האחרון של מערכת ההפעלה הבטוחה של Windows שפורסם ב- 8 ביולי, 2025, במכשיר לפני שה- SkuSipolicy.p7b יוחל על המכשיר. השמטת שלב זה עשויה למנוע מ- WinRE להפעיל את התכונה איפוס מחשב.  לקבלת מידע נוסף, ראה הוספת חבילת עדכון ל- Windows RE.

• אתחול סביבת ביצוע של קדם-אתחול (PXE). אם צמצום הסיכונים נפרס במכשיר ואתה מנסה להשתמש באתחול PXE, המכשיר לא יופעל אלא אם העדכון האחרון של Windows יוחל גם על תמונת האתחול של שרת PXE. איננו ממליצים לפרוס צמצום סיכונים במקורות אתחול רשת, אלא אם שרת האתחול של PXE עודכן לעדכון האחרון של Windows שפורסם בינואר 2025 או לאחר מכן, כולל מנהל האתחול של PXE.  

קווים מנחים לפריקת צמצום סיכונים

כדי לטפל בבעיות המתוארות במאמר זה, באפשרותך לפרוס מדיניות ביטול חתימה של Microsoft (SkuSiPolicy.p7b). צמצום סיכונים זה נתמך רק Windows 10, גירסה 1507 וגירסאות מתקדמות יותר של Windows, Windows Server 2016.

הערה אם אתה משתמש ב- BitLocker, ודא שמפתח השחזור של BitLocker עבר גיבוי. באפשרותך להפעיל את הפקודה הבאה משורת פקודה של מנהל מערכת ולרשום לעצמך את הסיסמה המספרית בת 48 הספרות:

יומני אירועים של Windows

Windows רושם אירועים כאשר פריטי מדיניות של תקינות קוד, כולל SkuSiPolicy.p7b, נטענים ומתי טעינת קובץ נחסמת עקב אכיפת מדיניות. באפשרותך להשתמש באירועים אלה כדי לוודא שהוחלה צמצום הסיכונים.

יומני תקינות קוד זמינים ב- Windows מציג האירועים תחת יומני רישום של יישומים ושירותים > Microsoft > > CodeIntegrity > Operational > יומני רישום של שירותי >>Microsoft > Windows > AppLocker > MSI ו- Script.

לקבלת מידע נוסף על אירועי תקינות קוד, עיין במדריך התפעול של בקרת האפליקציות של Windows Defender.

הליך הסרת מדיניות ושחזור

אם משהו משתבש לאחר החלת צמצום הסיכונים, באפשרותך להשתמש בשלבים הבאים כדי להסיר את צמצום הסיכונים:

1. השעה את BitLocker אם הוא זמין. הפעל את הפקודה הבאה מחלון שורת פקודה עם הרשאות מלאות:

   Manager-bde -protectors -disable c: -rebootcount 3

2. כבה אתחול מאובטח מתפריט ה- BIOS של UEFI.
   
   ההליך לביטול אתחול מאובטח משתנה בין יצרני המכשירים והמודלים. לקבלת עזרה באיתור המיקום שבו יש לכבות אתחול מאובטח, עיין בתיעוד של יצרן המכשיר שלך. ניתן למצוא פרטים נוספים במאמר הפיכת אתחול מאובטח ללא זמין.

3. הסר את מדיניות SkuSiPolicy.p7b.

   1. הפעל את Windows כרגיל ולאחר מכן היכנס.
      
      יש להסיר את מדיניות SkuSiPolicy.p7b מהמיקום הבא:

      • <EFI System Partition>\Microsoft\Boot\SkuSiPolicy.p7b

   2. הפעל את הפקודות הבאות מהפעלה Windows PowerShell כדי לנקות את המדיניות ממיקומים אלה:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. הפעל אתחול מאובטח מ- BIOS.
   
   עיין בתיעוד של יצרן המכשיר שלך כדי לאתר היכן להפעיל אתחול מאובטח.
   
   אם ביטלת את האתחול המאובטח בשלב 1 והכונן שלך מוגן על-ידי BitLocker, השהה את ההגנה של BitLocker ולאחר מכן הפעל אתחול מאובטח מתפריט ה- BIOS של UEFI .

5. הפעל את BitLocker. הפעל את הפקודה הבאה מחלון שורת פקודה עם הרשאות מלאות:

   Manager-bde -protectors -enable c:

6. הפעל מחדש את המכשיר.