Smjernice za blokiranje vraćanja sigurnosnih ažuriranja koja se temelje na virtualizaciji (VBS)

Važna napomena o pravilniku SkuSiPolicy.p7b

Upute za primjenu ažuriranog pravilnika potražite u odjeljku Implementacija Microsoftova potpisanog pravilnika o opozivu (SkuSiPolicy.p7b ). 

U ovom članku

• Sažetak

• Opseg utjecaja

• Dostupna ublažavanja

• Objašnjenje rizika ublažavanja

• Smjernice za implementaciju ublažavanja

  • Implementacija Microsoftova potpisanog pravilnika o opozivu (SkuSiPolicy.p7b)

  • Ažuriranje vanjskog medija za pokretanje

• Zapisnici događaja u sustavu Windows

  • Događaji aktivacije pravilnika

  • Nadzor i blokiranje događaja

• Postupak uklanjanja i oporavka pravilnika

• Promjene u ovom članku

Sažetak

Microsoft je upoznat s ranjivošću u sustavu Windows koja napadaču s administratorskim ovlastima omogućuje zamjenu ažuriranih sistemskih datoteka sustava Windows koje imaju starije verzije, otvaranjem vrata napadaču radi ponovnog pokretanja slabih točaka za sigurnost utemeljenu na virtualizaciji (VBS).  Vraćanje tih binarnih datoteka može napadaču omogućiti zaobilaženje sigurnosnih značajki VBS-a i izvlačenje podataka zaštićenih VBS-om. Taj je problem opisan u članku CVE-2024-21302 | Povećanje ranjivosti privilegija sigurnog načina jezgre sustava Windows.

Da bismo riješili taj problem, opozvati ćemo ranjive VBS sistemske datoteke koje se ne ažuriraju. Zbog velikog broja datoteka povezanih s VBS-om koje je potrebno blokirati, koristimo alternativni pristup za blokiranje verzija datoteka koje se ne ažuriraju.

Opseg utjecaja

Taj problem utječe na sve uređaje sa sustavom Windows koji podržavaju VBS. To obuhvaća lokalne fizičke uređaje i virtualna računala (VM-ove). VBS je podržan u Windows 10 i novijim verzijama sustava Windows te u Windows Server 2016 i novijim Windows Server verzijama.

Stanje VBS-a može se provjeriti pomoću alata Microsoft System Information tool (Msinfo32.exe). Ovaj alat prikuplja informacije o vašem uređaju. Kada započnete Msinfo32.exe, pomaknite se prema dolje do sigurnosnog retka utemeljenog na virtualizaciji . Ako je vrijednost ovog retka Pokrenuta, VBS je omogućen i pokrenut.

VBS stanje možete provjeriti i pomoću Windows PowerShell Win32_DeviceGuard WMI klase. Da biste iz komponente PowerShell otvorite stanje VBS-a, otvorite Windows PowerShell sesiju pa pokrenite sljedeću naredbu:

Nakon pokretanja gornje naredbe PowerShell status VBS stanja trebao bi biti jedan od sljedećih.

Dostupna ublažavanja

Za sve podržane verzije sustava Windows 10, verziju 1507 i novije verzije sustava Windows te Windows Server 2016 i novije verzije sustava Windows Server administratori mogu implementirati Microsoftov pravilnik o opozivu (SkuSiPolicy.p7b). Time ćete blokirati ranjive verzije VBS sistemskih datoteka koje operacijski sustav ne učitava.  

Kada se SkuSiPolicy.p7b primijeni na uređaj sa sustavom Windows, pravilnik će se zaključati i na uređaj dodavanjem varijable u UEFI opremu. Tijekom pokretanja pravilnik se učitava i Windows blokira učitavanje binarnih datoteka koje krše pravilnik. Ako se primijeni zaključavanje UEFI-ja i pravilnik se ukloni ili zamijeni starijom verzijom, upravitelj pokretanja sustava Windows neće se pokrenuti i uređaj se neće pokrenuti. Ovaj neuspjeh pokretanja neće prikazati pogrešku i sustav će nastaviti na sljedeću dostupnu mogućnost pokretanja koja može rezultirati petljom pokretanja.

Dodan je dodatni Microsoftov potpisani CI pravilnik koji je omogućen prema zadanim postavkama i nije potrebno dodavati dodatne korake implementacije koji nisu povezani s UEFI-jem. Ovaj potpisani CI pravilnik bit će učitan tijekom pokretanja i provođenje ovog pravilnika spriječit će vraćanje VBS sistemskih datoteka tijekom te sesije pokretanja. Za razliku od SkuSiPolicy.p7b, uređaj može nastaviti s pokretanjem ako ažuriranje nije instalirano. Taj je pravilnik obuhvaćen svim podržanim verzijama sustava Windows 10, verziji 1507 i novijima. Administratori i dalje mogu primijeniti SkuSkiPolicy.p7b da bi omogućili dodatnu zaštitu za vraćanje u svim sesijama pokretanja.   

Zapisnici o mjerenom pokretanju sustava Windows koji se koriste za provjeru stanja pokretanja PC-ja obuhvaćaju informacije o verziji pravilnika koja se učitava tijekom postupka pokretanja. TPM tijekom pokretanja sigurno održava te zapisnike, a Microsoftovi servisi za potvrdu raščlanjuju te zapisnike da bi provjerili jesu li učitane ispravne verzije pravilnika. Usluge potvrde nameću pravila kojima se jamči učitavanje određene verzije pravilnika ili novije verzije; u suprotnom sustav neće biti postovan kao zdrav.

Da bi ublažavanje pravila funkcioniralo, pravilnik se mora ažurirati pomoću servisnog ažuriranja sustava Windows jer komponente sustava Windows i pravilnik moraju biti iz istog izdanja. Ako se ublažavanje pravila kopira na uređaj, uređaj se možda neće pokrenuti ako se primijeni pogrešna verzija ublažavanja ili ublažavanje možda neće funkcionirati prema očekivanjima. Osim toga, ublažavanja opisana u KB5025885 trebala bi se primijeniti na vaš uređaj.

U Windows 11 verzija 24H2, Windows Server 2022 i Windows Server 23H2, Dynamic Root of Trust for Measurement (DRTM) dodaje dodatno ublažavanje ranjivosti vraćanja. To je ublažavanje omogućeno prema zadanim postavkama. U tim sustavima ključevi šifriranja zaštićenih VBS-om vezani su uz pravilnik VBS CI sesije pokretanja s omogućenim zadanim omogućenim pristupom te će biti nepoudarni samo ako se primjenjuje odgovarajuća verzija CI pravilnika. Da biste omogućili vraćanje koje je pokrenuo korisnik, dodano je razdoblje mirovanja radi omogućivanja sigurnog vraćanja 1 verzije paketa windows update bez gubitka mogućnosti poništavanja glavnog ključa VSM-a. No vraćanje koje je pokrenuo korisnik moguće je samo ako se ne primjenjuje SkuSiPolicy.p7b. VBS CI pravilnik nameće da sve binarne datoteke pokretanja nisu vraćene na opozvane verzije. To znači da ako napadač s administratorskim ovlastima vrati ranjive binarne datoteke pokretanja, sustav se neće pokrenuti. Ako su ci pravila i binarne datoteke vraćene na stariju verziju, podaci zaštićeni VSM-om neće se poništiti.

Objašnjenje rizika ublažavanja

Prije primjene Microsoftova pravilnika o opozivu morate biti svjesni potencijalnih rizika. Pregledajte te rizike i napravite sva potrebna ažuriranja za medije za oporavak prije primjene ublažavanja.

Napomena Ti se rizici primjenjuju samo na pravilnik SkuSiPolicy.p7b i ne primjenjuju se na zadane omogućene zaštite.

• UEFI Lock i Deinstalacija ažuriranja. Nakon primjene zaključavanja UEFI-ja pomoću Microsoftova pravila opoziva na uređaju, uređaj se ne može vratiti (deinstalacijom ažuriranja sustava Windows, pomoću točke vraćanja ili na neki drugi način) ako nastavite primjenjivati sigurno pokretanje. Čak i ponovno formatiranje diska neće ukloniti UEFI zaključavanje ublažavanja ako je već primijenjen. To znači da ako pokušate vratiti operacijski sustav Windows u prethodno stanje koje nema primijenjeno ublažavanje, uređaj se neće pokrenuti, neće se prikazati poruka o pogrešci, a UEFI će nastaviti na sljedeću dostupnu mogućnost pokretanja. To može rezultirati petljom pokretanja. Da biste uklonili UEFI zaključavanje, morate onemogućiti sigurno pokretanje. Imajte na umu sve moguće implikacije i temeljito testirati prije nego što primijenite opomene navedene u ovom članku na svoj uređaj.

• Vanjski medij za pokretanje. Nakon primjene ublažavanja UEFI zaključavanja na uređaj, vanjski medij za pokretanje mora se ažurirati najnovijim ažuriranjem sustava Windows instaliranim na uređaju. Ako vanjski medij za pokretanje nije ažuriran na istu verziju ažuriranja sustava Windows, uređaj se možda neće pokrenuti s tog medija. Pogledajte upute u odjeljku Ažuriranje vanjskog medija za pokretanje prije primjene ublažavanja.

• Windows Recovery Environment. Windows Recovery Environment (WinRE) na uređaju mora se ažurirati najnovijim dinamičkim ažuriranjem operacijskog sustava Windows Safe izdanim 8. srpnja 2025. na uređaju prije nego što se SkuSipolicy.p7b primijeni na uređaj. Ako izostavite taj korak, WinRE možda neće moći pokrenuti značajku Ponovno postavljanje PC-ja.  Dodatne informacije potražite u članku Dodavanje paketa ažuriranja u Windows RE.

• Pokretanje okruženja prije pokretanja (PXE). Ako se ublažavanje implementira na uređaj i pokušate koristiti PXE pokretanje, uređaj se neće pokrenuti osim ako se na sliku pokretanja PXE poslužitelja primjenjuje i najnovije ažuriranje sustava Windows. Ne preporučujemo implementaciju ublažavanja na izvore pokretanja mreže, osim ako je poslužitelj za pokretanje PXE-a ažuriran na najnovije ažuriranje sustava Windows izdano 2025. ili kasnije, uključujući upravitelj pokretanja PXE-a.  

Smjernice za implementaciju ublažavanja

Da biste riješili probleme opisane u ovom članku, možete implementirati Microsoftov potpisani pravilnik o opozivu (SkuSiPolicy.p7b). Ovo ublažavanje podržano je samo Windows 10, verziji 1507 i novijim verzijama sustava Windows i Windows Server 2016.

Napomena Ako koristite BitLocker, provjerite je li vaš BitLocker ključ oporavka sigurnosno kopiran. Iz naredbenog retka administratora možete pokrenuti sljedeću naredbu i zabilježiti 48-znamenkaste numeričke lozinke:

Zapisnici događaja u sustavu Windows

Windows evidentira događaje kada se učitavaju pravilnici o integritetu koda, uključujući SkuSiPolicy.p7b, i kada se datoteka blokira učitavanje zbog provođenja pravilnika. Te događaje možete koristiti da biste provjerili je li ublažavanje primijenjeno.

Zapisnici integriteta koda dostupni su u sustavu Windows Preglednik događaja u odjeljku Zapisnici aplikacija i servisa >Microsoft > Windows > CodeIntegrity > Operativni > Aplikacije i servisi zapisuje zapisnike > Services > Microsoft > Windows > AppLocker > MSI i Script.

Dodatne informacije o događajima integriteta koda potražite u operativnom vodiču za upravljanje aplikacijama programa Windows Defender.

Postupak uklanjanja i oporavka pravilnika

Ako nešto pođe po zlu nakon primjene ublažavanja, možete upotrijebiti sljedeće korake za uklanjanje ublažavanja:

1. Obustavite BitLocker ako je omogućen. Pokrenite sljedeću naredbu iz povišenog prozora naredbenog retka:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Isključite sigurno pokretanje s izbornika BIOS-a UEFI- ja.
   
   Postupak isključivanja sigurnog pokretanja razlikuje se između proizvođača uređaja i modela. Pomoć za pronalaženje mjesta za isključivanje sigurnog pokretanja potražite u dokumentaciji proizvođača uređaja. Dodatne pojedinosti potražite u članku Onemogućivanje sigurnog pokretanja.

3. Uklonite pravilnik SkuSiPolicy.p7b.

   1. Normalno pokrenite Windows, a zatim se prijavite.
      
      Pravilnik SkuSiPolicy.p7b mora se ukloniti sa sljedećeg mjesta:

      • <EFI sistemske particije>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Pokrenite sljedeće naredbe iz povišene sesije Windows PowerShell da biste očistili pravilnik s tih mjesta:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Uključite sigurno pokretanje iz BIOS-a.
   
   Informacije o tome gdje uključiti sigurno pokretanje potražite u dokumentaciji proizvođača uređaja.
   
   Ako ste u 1. koraku isključili sigurno pokretanje, a vaš je pogon zaštićen značajkom BitLocker, obustavite BitLocker zaštitu, a zatim uključite sigurno pokretanje s izbornika UEFI BIOS-a .

5. Uključite BitLocker. Pokrenite sljedeću naredbu iz povišenog prozora naredbenog retka:

   Manager-bde -protectors -enable c:

6. Ponovno pokrenite uređaj.