KB4074629: Understanding SpeculationControl PowerShell script output

1. módszer: PowerShell-ellenőrzés a PowerShell-galéria használatával (Windows Server 2016 vagy WMF 5.0/5.1)

A PowerShell-modul telepítése

PS> Install-Module SpeculationControl

Futtassa a SpeculationControl PowerShell-modult annak ellenőrzéséhez, hogy a védelem engedélyezve van-e

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

2. módszer: PowerShell-ellenőrzés a TechNet letöltésével (korábbi operációsrendszer-verziók/korábbi WMF-verziók)

A PowerShell-modul telepítése a TechNet ScriptCenterból

1. Lépjen a https://aka.ms/SpeculationControlPS.

2. Töltse le SpeculationControl.zip egy helyi mappába.

3. Bontsa ki a tartalmat egy helyi mappába, például C:\ADV180002

A PowerShell-modul futtatásával ellenőrizze, hogy a védelem engedélyezve van-e

Indítsa el a PowerShellt, majd (a fenti példával) másolja és futtassa a következő parancsokat:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Kimeneti

Magyarázat

Spekulációs vezérlési beállítások a CVE-2017-5715 -höz [ágcél injektálása]

Ez a szakasz a 2., CVE-2017-5715.

Hardveres támogatás érhető el az ág célinjektálásának kockázatcsökkentéséhez

A BTIHardwarePresentre van leképezve. Ez a sor azt jelzi, hogy vannak-e hardverfunkciók az ág célinjektálási kockázatcsökkentésének támogatásához. Az eszközgyártó feladata a processzorgyártók által biztosított mikrokódot tartalmazó frissített BIOS/belső vezérlőprogram biztosítása. Ha ez a sor Igaz, a szükséges hardverfunkciók is elérhetők. Ha a sor Hamis, a szükséges hardverfunkciók nem jelennek meg. Ezért az ág célinjektálási kockázatcsökkentése nem engedélyezhető.

Megjegyzés A BTIHardwarePresent igaz lesz a vendég virtuális gépeken, ha az OEM-frissítést alkalmazza a gazdagépre, ésútmutatást követ.

A Windows operációs rendszer támogatja az ági célinjektálási kockázatcsökkentést

Térképek a BTIWindowsSupportPresent fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatja-e az ág célinjektálási kockázatcsökkentését. Ha igaz, az operációs rendszer támogatja az ág célinjektálási kockázatcsökkentésének engedélyezését (ezért telepítette a 2018. januári frissítést). Ha hamis, a 2018. januári frissítés nincs telepítve az eszközön, és az ág célinjektálási kockázatcsökkentése nem engedélyezhető.

Megjegyzés Ha egy vendég virtuális gép nem észleli a gazdagép hardverfrissítését, a BTIWindowsSupportEnabled mindig False (Hamis) lesz.

Engedélyezve van a Windows operációs rendszer támogatása az ágcél-injektálási kockázatcsökkentéshez

Térképek a BTIWindowsSupportEnabled fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatása engedélyezve van-e az ág célinjektálási kockázatcsökkentéséhez. Ha igaz, az ágcél-injektálási kockázatcsökkentés hardvertámogatása és operációsrendszer-támogatása engedélyezve van az eszközön, így védelmet nyújt a CVE-2017-5715-höz. Ha hamis, az alábbi feltételek egyike teljesül:

• A hardvertámogatás nem érhető el.

• Az operációs rendszer támogatása nincs jelen.

• A kockázatcsökkentést a rendszerszabályzat letiltja.

A windowsos operációs rendszer támogatását a rendszerházirend letiltotta a fiókcél-injektálási kockázatcsökkentéshez

Leképezi a BTIDisabledBySystemPolicy objektumot. Ez a sor azt jelzi, hogy az ágcél injektálási kockázatcsökkentését letiltotta-e a rendszerházirend (például egy rendszergazda által definiált szabályzat). A rendszerházirend a KB4072698-ban dokumentált beállításjegyzék-vezérlőkre hivatkozik. Ha igaz, a rendszerházirend felelős a kockázatcsökkentés letiltásáért. Ha hamis, a kockázatcsökkentést egy másik ok tiltja le.

A Windows operációs rendszer támogatása az ágcél-injektálási kockázatcsökkentés hardvertámogatás hiányában le van tiltva

A BTIDisabledByNoHardwareSupport leképezése. Ez a sor azt jelzi, hogy az ág célinjektálási kockázatcsökkentése le van-e tiltva a hardvertámogatás hiánya miatt. Ha igaz, a hardvertámogatás hiánya felelős a kockázatcsökkentés letiltásáért. Ha hamis, a kockázatcsökkentést egy másik ok tiltja le.

MegjegyzésHa egy vendég virtuális gép nem tudja észlelni a gazdagép hardverfrissítését, a BTIDisabledByNoHardwareSupport mindig Igaz értékű lesz.

Spekulációs vezérlési beállítások a CVE-2017-5754 esetében [rosszindulatú adatgyorsítótár-terhelés]

Ez a szakasz a 3. változat, a CVE-2017-5754 és a rosszindulatú adatgyorsítótár-terhelés összefoglaló rendszerállapotát ismerteti. Ennek megoldását kernel virtuális cím (VA) árnyékának vagy a rosszindulatú adatgyorsítótár terheléscsökkentésének nevezik.

A hardver sebezhető a rosszindulatú adatgyorsítótár-terheléssel szemben

Az RdclHardwareProtected leképezése. Ebből a sorból megtudhatja, hogy a hardver sebezhető-e a CVE-2017-5754-es verzióval szemben. Ha igaz, akkor a hardver sebezhetőnek tűnik a CVE-2017-5754-zel szemben. Ha hamis, a hardverről ismert, hogy nem sebezhető a CVE-2017-5754-tal szemben.

A Windows operációs rendszer támogatja a rosszindulatú adatgyorsítótár terheléscsökkentését

Leképezések a KVAShadowWindowsSupportPresent fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatja-e a kernel VA árnyékszolgáltatását.

Engedélyezve van a Windows operációs rendszer támogatása a rosszindulatú adatgyorsítótár terheléscsökkentéséhez

Térkép a KVAShadowWindowsSupportEnabled fájlra. Ez a sor jelzi, hogy a kernel VA árnyék funkciója engedélyezve van-e. Ha igaz, a hardverről úgy vélik, hogy sebezhető a CVE-2017-5754, a Windows operációs rendszer támogatása és a funkció engedélyezve van.

A hardverhez kernel VA árnyékolása szükséges

A KVAShadowRequired térképe. Ez a sor azt jelzi, hogy a rendszernek szüksége van-e kernelszintű biztonságirés-árnyékolásra a biztonsági rések mérsékléséhez.

A Windows operációs rendszer támogatja a kernel VA árnyékát

Leképezések a KVAShadowWindowsSupportPresent fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatja-e a kernel VA árnyékszolgáltatását. Ha igaz, a 2018. januári frissítés telepítve van az eszközön, és a kernel VA árnyéka támogatott. Ha hamis, a 2018. januári frissítés nincs telepítve, és a kernel VA árnyéktámogatása nem létezik.

A Windows operációs rendszer támogatása a kernel VA árnyékához engedélyezve van

Térkép a KVAShadowWindowsSupportEnabled fájlra. Ez a sor jelzi, hogy a kernel VA árnyék funkciója engedélyezve van-e. Ha igaz, a Windows operációs rendszer támogatása jelen van, és a funkció engedélyezve van. A Kernel VA árnyék funkciója jelenleg alapértelmezés szerint engedélyezve van a Windows ügyfélverzióiban, és alapértelmezés szerint le van tiltva a Windows Server verzióiban. Ha hamis, akkor vagy a Windows operációs rendszer támogatása nincs jelen, vagy a funkció nincs engedélyezve.

A Windows operációs rendszer pcID-teljesítményoptimalizálási támogatása engedélyezve van

MegjegyzésA biztonsághoz nincs szükség PCID azonosítóra. Csak azt jelzi, hogy engedélyezve van-e a teljesítmény javítása. A PCID nem támogatott a Windows Server 2008 R2-ben

A KVAShadowPcidEnabled útvonalra van leképezve. Ez a sor azt jelzi, hogy engedélyezve van-e további teljesítményoptimalizálás a kernel VA árnyékához. Ha igaz, a kernel VA árnyéka engedélyezve van, a PCID hardveres támogatása jelen van, és a RENDSZERAZONOSÍTÓ optimalizálása a kernel VA árnyékához engedélyezve van. Ha hamis, előfordulhat, hogy a hardver vagy az operációs rendszer nem támogatja a PCID-t. Nem biztonsági gyengeség, hogy a PCID-optimalizálás nem engedélyezhető.

A Spekulatív áruház megkerülését letiltó Windows operációs rendszer támogatása jelen van

Leképezések az SSBDWindowsSupportPresent fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatja-e a spekulatív áruház megkerülési letiltását. Ha igaz, a 2018. januári frissítés telepítve van az eszközön, és a kernel VA árnyéka támogatott. Ha hamis, a 2018. januári frissítés nincs telepítve, és a kernel VA árnyéktámogatása nem létezik.

A hardverhez spekulatív tároló megkerülése le kell tiltani

Leképezi az SSBDHardwareVulnerablePresentet. Ebből a sorból megtudhatja, hogy a hardver sebezhető-e a CVE-2018-3639-nel szemben. Ha igaz, akkor a hardver sebezhetőnek tűnik a CVE-2018-3639-zel szemben. Ha hamis, a hardverről ismert, hogy nem sebezhető a CVE-2018-3639-tal szemben.

A spekulatív tároló megkerülése letiltásának hardveres támogatása jelen van

Leképezi az SSBDHardwarePresentet. Ebből a sorból megtudhatja, hogy vannak-e hardverfunkciók a spekulatív áruház megkerülő letiltásának támogatásához. Az eszköz OEM-jének feladata az Intel által biztosított mikrokódot tartalmazó frissített BIOS/belső vezérlőprogram biztosítása. Ha ez a sor Igaz, a szükséges hardverfunkciók is elérhetők. Ha a sor Hamis, a szükséges hardverfunkciók nem jelennek meg. Ezért a spekulatív tároló megkerülése letiltása nem kapcsolható be.

Megjegyzés Az SSBDHardwarePresent értéke Igaz lesz a vendég virtuális gépeken, ha az OEM-frissítést alkalmazza a gazdagépre.

A Spekulatív áruház megkerülése letiltás windowsos operációs rendszer általi támogatása be van kapcsolva

Leképezi az SSBDWindowsSupportEnabledSystemWide objektumot. Ez a sor azt jelzi, hogy a Spekulatív tár megkerülése letiltás be van-e kapcsolva a Windows operációs rendszerben. Ha igaz, a spekulatív áruház megkerülésének letiltása hardvertámogatása és operációsrendszer-támogatása be van kapcsolva az eszközön, ami megakadályozza a spekulatív tároló megkerülését, így teljes mértékben kiküszöböli a biztonsági kockázatot. Ha hamis, az alábbi feltételek egyike teljesül:

• A hardvertámogatás nem érhető el.

• Az operációs rendszer támogatása nincs jelen.

• A spekulatív tároló megkerülését letiltó beállításkulcsok nem engedélyezettek. Az engedélyezésükhöz az alábbi cikkekben talál útmutatást:

  • KB4073119: Windows-ügyfél útmutató informatikai szakembereknek a szilíciumalapú mikroarchitekturális és spekulatív végrehajtási oldalcsatorna biztonsági rései elleni védelemhez

  • KB4072698: Útmutató a Windows Serverhez és az Azure Stack HCI-hez a szilícium-alapú mikroarchitekturális és spekulatív végrehajtási oldalcsatorna biztonsági rései elleni védelemhez

A CVE-2018-3620 spekulációs vezérlési beállításai [L1 terminálhiba]

Ez a szakasz a CVE-2018-3620 által hivatkozott L1TF (operációs rendszer) összefoglaló rendszerállapotát ismerteti. Ez a kockázatcsökkentés biztosítja, hogy a rendszer biztonságos oldalkeretbiteket használ a nem jelen lévő vagy érvénytelen oldaltábla-bejegyzésekhez.

Megjegyzés Ez a szakasz nem tartalmazza a CVE-2018-3646 által hivatkozott L1TF (VMM) kockázatcsökkentési állapotát.

A hardver sebezhető az L1 terminálhibával szemben: Igaz

Leképezhető az L1TFHardwareVulnerable fájlra. Ez a sor jelzi, hogy a hardver sebezhető-e az L1 terminálhibával (L1TF, CVE-2018-3620). Ha igaz, a hardverről úgy vélik, hogy sebezhető a CVE-2018-3620-tal szemben. Ha hamis, a hardverről ismert, hogy nem sebezhető a CVE-2018-3620-tal szemben.

A Windows operációs rendszer támogatja az L1 terminálhibák elhárítását: Igaz

Térképek az L1TFWindowsSupportPresent fájlra. Ez a sor jelzi, hogy a Windows operációs rendszer támogatja-e az L1 terminálhiba (L1TF) operációs rendszer kockázatcsökkentését. Ha igaz, a 2018. augusztusi frissítés telepítve van az eszközön, és a CVE-2018-3620 kockázatcsökkentése is jelen van. Ha hamis, a 2018. augusztusi frissítés nincs telepítve, és a CVE-2018-3620 kockázatcsökkentése nincs jelen.

A Windows operációs rendszer támogatása az L1 terminálhibák elhárításához engedélyezve van: Igaz

Megfelel az L1TFWindowsSupportEnabled fájlnak. Ez a sor jelzi, hogy engedélyezve van-e az L1 terminálhiba (L1TF, CVE-2018-3620) Windows operációsrendszer-kockázatcsökkentése. Ha igaz, a hardver sebezhetőnek tűnik a CVE-2018-3620 rendszerrel szemben, a Windows operációs rendszer támogatja a kockázatcsökkentést, és a kockázatcsökkentés engedélyezve van. Ha hamis, a hardver nem sebezhető, a Windows operációs rendszer támogatása nincs jelen, vagy a kockázatcsökkentés nincs engedélyezve.

Spekulációs vezérlési beállítások az MDS-hez [Mikroarchitekturális adatok mintavételezése]

Ez a szakasz a biztonsági rések MDS-készletének rendszerállapotát tartalmazza: CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 és ADV220002.

A Windows operációs rendszer MDS-kockázatcsökkentési támogatása jelen van

Leképezések az MDSWindowsSupportPresent fájlra. Ez a sor azt jelzi, hogy a Windows operációs rendszer támogatja-e a mikroarchitekturális adatmintavétel (MDS) operációs rendszer kockázatcsökkentését. Ha igaz, a 2019. májusi frissítés telepítve van az eszközön, és az MDS-sel kapcsolatos kockázatcsökkentés is jelen van. Ha hamis, a 2019. májusi frissítés nincs telepítve, és az MDS-sel kapcsolatos kockázatcsökkentés nincs jelen.

A hardver sebezhető az MDS-hez

Az MDSHardwareVulnerable leképezése. Ebből a sorból megtudhatja, hogy a hardver sebezhető-e a mikroarchitekturális adatmintavétel (MDS) biztonsági réseinek (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139) miatt. Ha igaz, úgy vélik, hogy a hardverre hatással vannak ezek a biztonsági rések. Ha hamis, a hardver nem sebezhető.

A Windows operációs rendszer támogatása az MDS-kockázatcsökkentéshez engedélyezve van

Leképezések az MDSWindowsSupportEnabled fájlra. Ez a sor jelzi, hogy engedélyezve van-e a Windows operációs rendszer kockázatcsökkentése a mikroarchitekturális adatmintavételhez (MDS). Ha igaz, úgy vélik, hogy a hardverre hatással vannak az MDS biztonsági rései, a Windows operációs rendszer támogatja a kockázatcsökkentést, és a kockázatcsökkentés engedélyezve van. Ha hamis, a hardver nem sebezhető, a Windows operációs rendszer támogatása nincs jelen, vagy a kockázatcsökkentés nincs engedélyezve.

A Windows operációs rendszer támogatja az SBDR-kockázatcsökkentést

Leképezések az FBClearWindowsSupportPresent fájlra. Ez a sor jelzi, hogy a Windows operációs rendszer támogatja-e az SBDR operációs rendszer kockázatcsökkentését. Ha igaz, a 2022. júniusi frissítés telepítve van az eszközön, és az SBDR-hez tartozó kockázatcsökkentés is jelen van. Ha hamis, a 2022. júniusi frissítés nincs telepítve, és az SBDR-hez tartozó kockázatcsökkentés nincs jelen.

A hardver sebezhető az SBDR-vel szemben

Leképezi az SBDRSSDPHardwareVulnerable függvényt. Ez a sor azt jelzi, hogy a hardver sebezhető-e az SBDR [megosztott pufferek adatainak olvasása] biztonsági rések készletével (CVE-2022-21123). Ha igaz, úgy vélik, hogy a hardverre hatással vannak ezek a biztonsági rések. Ha hamis, a hardver nem sebezhető.

A Windows operációs rendszer támogatása az SBDR-kockázatcsökkentéshez engedélyezve van

Megfelel az FBClearWindowsSupportEnabled fájlnak. Ez a sor azt jelzi, hogy engedélyezve van-e a Windows operációs rendszer kockázatcsökkentése az SBDR [megosztott pufferek adatainak olvasása] esetében. Ha igaz, úgy vélik, hogy a hardverre hatással vannak az SBDR biztonsági rései, a Windows operációs rendszer támogatja a kockázatcsökkentést, és a kockázatcsökkentés engedélyezve van. Ha hamis, a hardver nem sebezhető, a Windows operációs rendszer támogatása nincs jelen, vagy a kockázatcsökkentés nincs engedélyezve.

A Windows operációs rendszer támogatása az FBSDP-kockázatcsökkentéshez jelen van

Leképezések az FBClearWindowsSupportPresent fájlra. Ez a sor jelzi, hogy a Windows operációs rendszer támogatja-e az FBSDP operációs rendszer kockázatcsökkentését. Ha igaz, a 2022. júniusi frissítés telepítve van az eszközön, és az FBSDP-vel kapcsolatos kockázatcsökkentés is jelen van. Ha hamis, a 2022. júniusi frissítés nincs telepítve, és az FBSDP-vel kapcsolatos kockázatcsökkentés nincs jelen.

A hardver sebezhető az FBSDP-vel szemben

Az FBSDPHardwareVulnerable leképezése. Ez a sor azt jelzi, hogy a hardver sebezhető-e az FBSDP [kitöltőpuffer elavult adatpropagálója] biztonsági rések készletével (CVE-2022-21125, CVE-2022-21127 és CVE-2022-21166). Ha igaz, úgy vélik, hogy a hardverre hatással vannak ezek a biztonsági rések. Ha hamis, a hardver nem sebezhető.

A Windows operációs rendszer támogatása az FBSDP-kockázatcsökkentéshez engedélyezve van

Megfelel az FBClearWindowsSupportEnabled fájlnak. Ez a sor azt jelzi, hogy engedélyezve van-e a Windows operációs rendszer kockázatcsökkentése az FBSDP [kitöltőpuffer elavult adatpropagátora] esetében. Ha igaz, úgy vélik, hogy a hardverre hatással vannak az FBSDP biztonsági rései, a Windows operációs rendszer támogatja a kockázatcsökkentést, és a kockázatcsökkentés engedélyezve van. Ha hamis, a hardver nem sebezhető, a Windows operációs rendszer támogatása nincs jelen, vagy a kockázatcsökkentés nincs engedélyezve.

A Windows operációs rendszer támogatja a PSDP-kockázatcsökkentést

Leképezések az FBClearWindowsSupportPresent fájlra. Ez a sor jelzi, hogy a Windows operációs rendszer támogatja-e a PSDP operációs rendszer kockázatcsökkentését. Ha igaz, a 2022. júniusi frissítés telepítve van az eszközön, és a PSDP-vel kapcsolatos kockázatcsökkentés is jelen van. Ha hamis, a 2022. júniusi frissítés nincs telepítve, és a PSDP-vel kapcsolatos kockázatcsökkentés nincs jelen.

A hardver sebezhető a PSDP-vel szemben

A PSDPHardwareVulnerable leképezése. Ez a sor azt jelzi, hogy a hardver sebezhető-e a biztonsági rések PSDP-készletével (elsődleges elavult adatpropagátor). Ha igaz, úgy vélik, hogy a hardverre hatással vannak ezek a biztonsági rések. Ha hamis, a hardver nem sebezhető.

A Windows operációs rendszer PSDP-kockázatcsökkentéshez való támogatása engedélyezve van

Megfelel az FBClearWindowsSupportEnabled fájlnak. Ez a sor azt jelzi, hogy engedélyezve van-e a Windows operációs rendszer kockázatcsökkentése az [elsődleges elavult adatok propagálója] PSDP-hez. Ha igaz, úgy vélik, hogy a hardvert érintik a PSDP biztonsági rései, a Windows operációs rendszer támogatja a kockázatcsökkentést, és a kockázatcsökkentés engedélyezve van. Ha hamis, a hardver nem sebezhető, a Windows operációs rendszer támogatása nincs jelen, vagy a kockázatcsökkentés nincs engedélyezve.

Beállításkulcs

Hozzárendelés

FeatureSettingsOverride – 0. bit

Leképezések – Ág célinjektálás – BTIWindowsSupportEnabled

FeatureSettingsOverride – 1. bit

Térképek – Rogue adatgyorsítótár betöltése – VAShadowWindowsSupportEnabled