הדרכה לחסימת חזרה למצב קודם של עדכוני אבטחה מבוססי-וירטואליזציה (VBS) הקשורים

הערה חשובה לגבי מדיניות SkuSiPolicy.p7b

מדיניות SkuSiPolicy.p7b עודכנה. עליך להחיל את המדיניות המעודכנת על-ידי התקנת העדכון האחרון של Windows שפורסם בינואר 2025 או לאחר מכן. לקבלת הוראות להחלת המדיניות המעודכנת, עיין בסעיף פריסת מדיניות ביטול חתומה של Microsoft (SkuSiPolicy.p7b ). 

במאמר זה

• סיכום

• טווח ההשפעה

• צמצום סיכונים זמין

• הבנת סיכוני צמצום סיכונים

• קווים מנחים לפריקת צמצום סיכונים

  • פריסת מדיניות מצב ביקורת

  • פריסת מדיניות ביטול החתימה על-ידי Microsoft (SkuSiPolicy.p7b)

  • מעדכן מדיית אתחול חיצוני

• יומני אירועים של Windows

  • אירועי הפעלת מדיניות

  • ביקורת וחסימה של אירועים

• הליך להסרת מדיניות ושחזור

• שינויים שבוצעו במאמר זה

סיכום

Microsoft המודעות לפגיעות ב- Windows המאפשרת לתוקף בעל הרשאות מנהל מערכת להחליף קבצי מערכת מעודכנים של Windows בעלי גירסאות ישנות יותר, ופותחת את הדלת כדי שתוקף יוכל להציג מחדש פגיעויות לאבטחה מבוססת-וירטואליזציה (VBS).  חזרה למצב קודם של קבצים בינאריים אלה עשויה לאפשר לתוקף לעקוף תכונות אבטחה של VBS ולצלוח נתונים המוגנים על-ידי VBS. בעיה זו מתוארת ב- CVE-2024-21302 | העלאת מצב ליבה מאובטח של Windows של פגיעות הרשאה.

כדי לפתור בעיה זו, נבטל קבצי מערכת VBS פגיעים שאינם מעודכנים. עקב מספר גדול של קבצים הקשורים ל- VBS שיש לחסום, אנו משתמשים בגישה חלופית לחסימת גירסאות קבצים לא מעודכנות.

טווח ההשפעה

כל מכשירי Windows התומכים ב- VBS מושפעים מבעיה זו. הדבר כולל מכשירים פיזיים מקומיים ומחשבים וירטואליים (VM). VBS נתמך בגירסאות Windows 10 ובגרסאות מתקדמות יותר של Windows, Windows Server 2016 ואילך Windows Server אלה.

ניתן לבדוק את מצב VBS באמצעות הכלי Microsoft System Information (Msinfo32.exe). כלי זה אוסף מידע אודות המכשיר שלך. לאחר הפעלת Msinfo32.exe, גלול מטה אל השורה אבטחה מבוססת-וירטואליזציה . אם הערך של שורה זו פועל, VBS זמין פועלים.

ניתן גם לבדוק את מצב VBS עם Windows PowerShell באמצעות Win32_DeviceGuard WMI. כדי לבצע שאילתה על מצב VBS מ- PowerShell, פתח Windows PowerShell עם הרשאות מלאות ולאחר מכן הפעל את הפקודה הבאה:

לאחר הפעלת הפקודה של PowerShell לעיל, מצב מצב VBS צריך להיות אחד מהמצבים הבאים.

צמצום סיכונים זמין

עבור כל הגירסאות הנתמכות של Windows 10, גירסה 1507 וגירסאות מתקדמות יותר של Windows, ו- Windows Server 2016 וגירסאות מאוחרות יותר של Windows Server, מנהלי מערכת יכולים לפרוס מדיניות ביטול חתימה של Microsoft (SkuSiPolicy.p7b). פעולה זו תחסום גירסאות פגיעות של קבצי מערכת VBS שמערכת ההפעלה לא תעדכן.

כאשר מדיניות זו מוחלת על מכשיר Windows, המדיניות תינעל גם במכשיר על-ידי הוספת משתנה בקושחת UEFI. במהלך ההפעלה, המדיניות נטענת ו- Windows חוסמת את הטעינה של קבצים בינאריים המפרים את המדיניות. אם נעילת UEFI מוחלת והמדיניות מוסרת או מוחלת בגירסה קודמת, מנהל האתחול של Windows לא יופעל והמכשיר לא יופעל. כשל אתחול זה לא יציג שגיאה והמערכת תמשיך אל אפשרות האתחול הזמינה הבאה שעלולה לגרום ל לולאת אתחול.

כדי שמדיניות צמצום הסיכון יפעלו, יש לעדכן את המדיניות באמצעות עדכון השירות של Windows מאחר שהרכיבים של Windows והמדיניות חייבים להיות מאותה מהדורה. אם צמצום המדיניות מועתק למכשיר, ייתכן שהמכשיר לא יופעל אם הוחלה גירסה שגויה של צמצום הסיכונים, או שההפחתת הסיכון לא תיפתה כצפוי. בנוסף, צמצום סיכונים המתואר KB5025885 יש להחיל על המכשיר שלך.

הבנת סיכוני צמצום סיכונים

עליך להיות מודע לסיכונים פוטנציאליים לפני החלת מדיניות הביטוליות החתימה על-ידי Microsoft. סקור סיכונים אלה ובצע את העדכונים הנחוצים למדיית שחזור לפני החלת צמצום הסיכונים.

• תקינות קוד של מצב משתמש (UMCI). מדיניות הביטול החתימה על-ידי Microsoft מאפשרת תקינות קוד של מצב משתמש כך שכללים במדיניות יחולו על קבצים בינאריים של מצב משתמש. UMCI גם מאפשר אבטחת קוד דינאמי כברירת מחדל. אכיפת תכונות אלה עשויה לגרום לבעיות תאימות עם אפליקציות ו- Scriptים, והיא עשויה למנוע את הפעלתן ולהשפיע על הביצועים על זמן ההתחלה. לפני פריסת צמצום הסיכונים, בצע את ההוראות לפריסת מדיניות מצב ביקורת כדי לבדוק אם קיימים בעיות אפשריות.

• UEFI - נעילה והסרת התקנה של עדכונים. לאחר החלת נעילת UEFI עם מדיניות הביטוליות החתימה על-ידי Microsoft במכשיר, לא ניתן להחזיר את המכשיר (על-ידי הסרת ההתקנה של עדכוני Windows, באמצעות נקודת שחזור או באופן אחר) אם תמשיך להחיל אתחול מאובטח. אפילו לא ניתן יהיה להסיר את נעילת UEFI של צמצום הסיכונים אם היא כבר הוחלה. משמעות הדבר היא שאם אתה מנסה להחזיר את מערכת ההפעלה Windows למצב קודם שלא הוחל עליה צמצום הסיכונים, המכשיר לא יופעל, לא תוצג הודעת שגיאה ו- UEFI ימשיך אל אפשרות האתחול הזמינה הבאה. פעולה זו עלולה לגרום ל לולאת אתחול. עליך להפוך אתחול מאובטח ללא זמין כדי להסיר את נעילת UEFI. שים לב לכל ההשלכות האפשריות ובדוק היטב לפני החלת הביטוליים המתוארים במאמר זה על המכשיר שלך.

• מדיית אתחול חיצוני. לאחר החלת צמצום הסיכונים של נעילת UEFI על מכשיר, יש לעדכן את מדיית האתחול החיצוני עם העדכון האחרון של Windows המותקן במכשיר. אם מדיית אתחול חיצוני אינה מתעדכנת לאותה גירסה של עדכון Windows, ייתכן שההתקן לא מאותה מדיה. עיין בהוראות במקטע עדכון מדיית אתחול חיצוני לפני החלת צמצום הסיכונים.

• סביבת השחזור של Windows. יש לעדכן את סביבת השחזור של Windows (WinRE) במכשיר עם העדכונים האחרונים של Windows המותקנים במכשיר לפני החלת SkuSipolicy.p7b על המכשיר. השמטת שלב זה עשויה למנוע מ- WinRE להפעיל את התכונה איפוס מחשב.  לקבלת מידע נוסף, ראה הוספת חבילת עדכון ל- Windows RE.

• אתחול סביבת ביצוע של קדם-אתחול (PXE). אם צמצום הסיכונים נפרס במכשיר ואתה מנסה להשתמש באתחול PXE, המכשיר לא יופעל אלא אם העדכון האחרון של Windows יוחל גם על תמונת האתחול של שרת PXE. איננו ממליצים לפרוס צמצום סיכונים במקורות אתחול רשת, אלא אם שרת האתחול של PXE עודכן לעדכון האחרון של Windows שפורסם בינואר 2025 או לאחר מכן, כולל מנהל האתחול של PXE.  

קווים מנחים לפריקת צמצום סיכונים

כדי לטפל בבעיות המתוארות במאמר זה, באפשרותך לפרוס מדיניות ביטול חתימה של Microsoft (SkuSiPolicy.p7b). צמצום סיכונים זה נתמך רק Windows 10, גירסה 1507 וגירסאות מתקדמות יותר של Windows, Windows Server 2016. לפני שתפרוס את מדיניות הביטוליות החתימה על-ידי Microsoft (SkuSiPolicy.p7b), עליך לבדוק אם יש בעיות תאימות באמצעות מדיניות מצב ביקורת.

הערה אם אתה משתמש ב- BitLocker, ודא שמפתח השחזור של BitLocker עבר גיבוי. באפשרותך להפעיל את הפקודה הבאה משורת פקודה של מנהל מערכת ולרשום לעצמך את הסיסמה המספרית בת 48 הספרות:

יומני אירועים של Windows

Windows רושם אירועים כאשר פריטי מדיניות של תקינות קוד, כולל SkuSiPolicy.p7b, נטענים ומתי טעינת קובץ נחסמת עקב אכיפת מדיניות. באפשרותך להשתמש באירועים אלה כדי לוודא שהוחלה צמצום הסיכונים.

יומני תקינות קוד זמינים ב- Windows מציג האירועים תחת יומני רישום של יישומים ושירותים > Microsoft > > CodeIntegrity > Operational > יומני רישום של שירותי >>Microsoft > Windows > AppLocker > MSI ו- Script.

לקבלת מידע נוסף על אירועי תקינות קוד, עיין במדריך התפעול של בקרת האפליקציות של Windows Defender.

הליך הסרת מדיניות ושחזור

אם משהו משתבש לאחר החלת צמצום הסיכונים, באפשרותך להשתמש בשלבים הבאים כדי להסיר את צמצום הסיכונים:

1. השעה את BitLocker אם הוא זמין. הפעל את הפקודה הבאה מחלון שורת פקודה עם הרשאות מלאות:

   Manager-bde -protectors -disable c: -rebootcount 3

2. כבה אתחול מאובטח מתפריט ה- BIOS של UEFI.
   
   ההליך לביטול אתחול מאובטח משתנה בין יצרני המכשירים והמודלים. לקבלת עזרה באיתור המיקום שבו יש לכבות אתחול מאובטח, עיין בתיעוד של יצרן המכשיר שלך. ניתן למצוא פרטים נוספים במאמר הפיכת אתחול מאובטח ללא זמין.

3. הסר את מדיניות SkuSiPolicy.p7b.

   1. הפעל את Windows כרגיל ולאחר מכן היכנס.
      
      יש להסיר את מדיניות SkuSiPolicy.p7b מהמיקום הבא:

      • <EFI System Partition>\Microsoft\Boot\SkuSiPolicy.p7b

   2. הפעל את הפקודות הבאות מהפעלה Windows PowerShell כדי לנקות את המדיניות ממיקומים אלה:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. הפעל אתחול מאובטח מ- BIOS.
   
   עיין בתיעוד של יצרן המכשיר שלך כדי לאתר היכן להפעיל אתחול מאובטח.
   
   אם ביטלת את האתחול המאובטח בשלב 1 והכונן שלך מוגן על-ידי BitLocker, השהה את ההגנה של BitLocker ולאחר מכן הפעל אתחול מאובטח מתפריט ה- BIOS של UEFI .

5. הפעל את BitLocker. הפעל את הפקודה הבאה מחלון שורת פקודה עם הרשאות מלאות:

   Manager-bde -protectors -enable c:

6. הפעל מחדש את המכשיר.