Indicazioni per bloccare il rollback degli aggiornamenti della sicurezza basata sulla virtualizzazione (VBS)

Nota importante sul criterio SkuSiPolicy.p7b

Per istruzioni su come applicare i criteri aggiornati, vedere la sezione Distribuzione di criteri di revoca firmati Microsoft (SkuSiPolicy.p7b ).

Contenuto dell'articolo

• Riepilogo

• Ambito di impatto

• Prevenzioni disponibili

• Informazioni sui rischi di mitigazione

• Linee guida per la distribuzione della mitigazione

  • Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)
  • Aggiornamento dei supporti di avvio esterni

• Registri eventi di Windows

  • Eventi di attivazione dei criteri
  • Controlla e blocca eventi

• Procedura di rimozione e ripristino dei criteri

• Modifiche apportate a questo articolo

Riepilogo

Microsoft è stata informata di una vulnerabilità in Windows che consente a un utente malintenzionato con privilegi di amministratore di sostituire i file di sistema Windows aggiornati con versioni precedenti, aprendo la porta a un utente malintenzionato per reintrodurre vulnerabilità alla sicurezza basata su virtualizzazione (VBS).  Il ripristino dello stato precedente di questi file binari può consentire a un utente malintenzionato di aggirare le funzionalità di sicurezza di VBS ed esfiltrare i dati protetti da VBS. Questo problema è descritto in CVE-2024-21302 | Vulnerabilità dell'elevazione dei privilegi in modalità kernel protetto di Windows.

Per risolvere questo problema, revocheremo i file di sistema VBS vulnerabili che non sono stati aggiornati. A causa dell'elevato numero di file correlati a VBS che devono essere bloccati, viene utilizzato un approccio alternativo per bloccare le versioni dei file non aggiornate.

Ambito di impatto

Tutti i dispositivi Windows che supportano VBS sono interessati da questo problema. Sono inclusi i dispositivi fisici locali e le macchine virtuali (VM). VBS è supportato in Windows 10 e versioni successive di Windows e in Windows Server 2016 e versioni successive di Windows Server.

Lo stato del VBS può essere controllato tramite Microsoft System Information Tool (Msinfo32.exe). Questo strumento raccoglie informazioni sul tuo dispositivo. Dopo aver avviato Msinfo32.exe, scorrere verso il basso fino alla riga Sicurezza basata sulla virtualizzazione . Se il valore di questa riga è In esecuzione, VBS è abilitato ed è in esecuzione.

Lo stato VBS può essere controllato anche con Windows PowerShell usando la classe WMI Win32_DeviceGuard. Per eseguire una query sullo stato di VBS da PowerShell, aprire una sessione di Windows PowerShell con privilegi elevati e quindi eseguire il comando seguente:

Dopo aver eseguito il comando PowerShell precedente, lo stato VBS dovrebbe essere uno dei seguenti.

Nome campo	Stato
VirtualizationBasedSecurityStatus	Se il campo è uguale a 0, VBS non è abilitato. Se il campo è uguale a 1, VBS è abilitato ma non in esecuzione. Se il campo è uguale a 2, VBS è abilitato ed è in esecuzione.

Prevenzioni disponibili

Per tutte le versioni supportate di Windows 10, versione 1507 e successive di Windows e Windows Server 2016 e versioni successive di Windows Server, gli amministratori possono distribuire un criterio di revoca firmato da Microsoft (SkuSiPolicy.p7b). Ciò impedirà il caricamento da parte del sistema operativo delle versioni vulnerabili dei file di sistema VBS non aggiornate.

Quando SkuSiPolicy.p7b viene applicato a un dispositivo Windows, il criterio verrà bloccato anche sul dispositivo aggiungendo una variabile al firmware UEFI. Durante l'avvio, il criterio viene caricato e Windows blocca il caricamento dei file binari che violano il criterio. Se viene applicato il blocco UEFI e il criterio viene rimosso o sostituito con una versione precedente, Windows Boot Manager non verrà avviato e il dispositivo non si avvierà. Questo errore di avvio non mostrerà un errore e il sistema passerà alla successiva opzione di avvio disponibile che potrebbe causare un ciclo di avvio.

È stato aggiunto un criterio CI firmato Microsoft aggiuntivo che è abilitato per impostazione predefinita e non richiede altri passaggi di distribuzione, che non è associato a UEFI. Questo criterio CI firmato verrà caricato durante l'avvio e l'applicazione di questo criterio impedirà il rollback dei file di sistema VBS durante la sessione di avvio. A differenza di SkuSiPolicy.p7b, un dispositivo può continuare ad avviarsi se l'aggiornamento viene disinstallato. Questo criterio è incluso in tutte le versioni supportate di Windows 10, versione 1507 e successive. SkuSkiPolicy.p7b può comunque essere applicato dagli amministratori per fornire una protezione aggiuntiva per il rollback tra le sessioni di avvio.

I log di avvio con misurazioni di Windows usati per attestare l'integrità dell'avvio del PC includono informazioni sulla versione dei criteri caricata durante il processo di avvio. Questi log vengono gestiti in modo sicuro dal TPM durante l'avvio e i servizi di attestazione Microsoft li analizzano per verificare che vengano caricate le versioni corrette dei criteri. I servizi di attestazione applicano regole che assicurano il caricamento di una versione specifica dei criteri o di una versione successiva. In caso contrario, il sistema non verrà attestato come integro.

Affinché la mitigazione dei criteri funzioni, è necessario aggiornarli usando l'aggiornamento di manutenzione di Windows perché i componenti di Windows e il criterio devono provenire dalla stessa versione. Se la prevenzione dei criteri viene copiata nel dispositivo, il dispositivo potrebbe non essere avviato se viene applicata la versione errata della prevenzione o se la mitigazione potrebbe non funzionare come previsto. Inoltre, le mitigazioni descritte in KB5025885 devono essere applicate al dispositivo.

In Windows 11, versione 24H2, Windows Server 2022 e Windows Server 23H2, Dynamic Root of Trust for Measurement (DRTM) aggiunge un'ulteriore mitigazione per la vulnerabilità di rollback. Questa mitigazione è abilitata per impostazione predefinita. In questi sistemi, le chiavi di crittografia protette da VBS sono associate al criterio VBS CI della sessione di avvio abilitato per impostazione predefinita e verranno desecretate solo se viene applicata la versione corrispondente del criterio CI. Per abilitare i ripristini dello stato precedente avviati dall'utente, è stato aggiunto un periodo di tolleranza per consentire il ripristino sicuro di 1 versione del pacchetto di aggiornamenti di Windows senza perdere la possibilità di rimuovere il sigillo della chiave master VSM. Tuttavia, il rollback avviato dall'utente è possibile solo se SkuSiPolicy.p7b non viene applicato. Il criterio VBS CI impone che non sia stato eseguito il rollback di tutti i file binari di avvio alle versioni revocate. Ciò significa che se un utente malintenzionato con privilegi di amministratore esegue il rollback di file binari di avvio vulnerabili, il sistema non verrà avviato. Se viene eseguito il rollback del criterio CI e dei file binari a una versione precedente, i dati protetti da VSM non verranno desecretati.

Informazioni sui rischi di mitigazione

È necessario essere consapevoli dei potenziali rischi prima di applicare i criteri di revoca firmati da Microsoft. Esaminare questi rischi e apportare gli aggiornamenti necessari ai supporti di ripristino prima di applicare la mitigazione.

Avvertenza Questi rischi sono applicabili solo ai criteri SkuSiPolicy.p7b e non sono applicabili alle protezioni abilitate per impostazione predefinita.

• Blocco UEFI e disinstallazione degli aggiornamenti. Dopo aver applicato il blocco UEFI con i criteri di revoca firmati da Microsoft in un dispositivo, il dispositivo non può essere ripristinato (disinstallando gli aggiornamenti di Windows, usando un punto di ripristino o con altri mezzi) se si continua ad applicare l'avvio protetto. Anche la riformattazione del disco non rimuoverà il blocco UEFI della mitigazione se è già stato applicato. Ciò significa che se si tenta di ripristinare il sistema operativo Windows a uno stato precedente in cui non è stata applicata la mitigazione, il dispositivo non verrà avviato, non verrà visualizzato alcun messaggio di errore e UEFI passerà alla successiva opzione di avvio disponibile. Ciò potrebbe causare un ciclo di avvio. Per rimuovere il blocco UEFI, è necessario disabilitare l'avvio protetto. Tieni presente tutte le possibili implicazioni ed esegui un test accurato prima di applicare al dispositivo le revoche descritte in questo articolo.
• Supporto di avvio esterno. Dopo aver applicato le mitigazioni dei blocchi UEFI a un dispositivo, il supporto di avvio esterno deve essere aggiornato con l'aggiornamento più recente di Windows installato nel dispositivo. Se il supporto di avvio esterno non viene aggiornato alla stessa versione di Windows Update, il dispositivo potrebbe non avviarsi da tale supporto. Vedere le istruzioni nella sezione Aggiornamento dei supporti di avvio esterni prima di applicare le mitigazioni.
• Ambiente ripristino Windows.  L'ambiente di ripristino di Windows (WinRE) nel dispositivo deve essere aggiornato con l'ultimo aggiornamento dinamico del sistema operativo sicuro di Windows rilasciato l'8 luglio 2025 nel dispositivo prima che SkuSipolicy.p7b possa essere applicato al dispositivo. L'omissione di questo passaggio potrebbe impedire a WinRE di eseguire la funzionalità Reimposta PC.  Per altre informazioni, vedi Aggiungere un pacchetto di aggiornamento all'ambiente di ripristino Windows.
• Avvio PXE (Pre-boot Execution Environment). Se la mitigazione viene distribuita in un dispositivo e si tenta di usare l'avvio PXE, il dispositivo non verrà avviato a meno che l'aggiornamento Windows più recente non venga applicato anche all'immagine di avvio del server PXE. Non è consigliabile distribuire mitigazioni alle origini di avvio di rete a meno che il server di avvio PXE non sia stato aggiornato all'aggiornamento di Windows più recente rilasciato a partire da gennaio 2025, incluso il boot manager PXE.

Linee guida per la distribuzione della mitigazione

Per risolvere i problemi descritti in questo articolo, è possibile distribuire un criterio di revoca firmato da Microsoft (SkuSiPolicy.p7b). Questa mitigazione è supportata solo in Windows 10, versione 1507 e successive di Windows e Windows Server 2016.

Avvertenza Se usi BitLocker, verifica che sia stato eseguito il backup della chiave di ripristino di BitLocker. È possibile eseguire il comando seguente da un prompt dei comandi dell'amministratore e prendere nota della password numerica di 48 cifre:

Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)

I criteri di revoca firmati da Microsoft sono inclusi nell'ultimo aggiornamento di Windows. Questo criterio deve essere applicato ai dispositivi installando l'aggiornamento Windows più recente disponibile e quindi seguendo questa procedura:

Avvertenza Se mancano gli aggiornamenti, il dispositivo potrebbe non avviarsi con la mitigazione applicata o la mitigazione potrebbe non funzionare come previsto. Assicurarsi di aggiornare il supporto Windows di avvio con l'aggiornamento Windows più recente disponibile prima di distribuire il criterio. Per informazioni dettagliate su come aggiornare i supporti di avvio, vedere la sezione Aggiornamento dei supporti di avvio esterni .

1. Assicurati che sia installato l'aggiornamento di Windows più recente rilasciato a partire da gennaio 2025.

   • Per Windows 11, versione 22H2 e 23H2, installa l'aggiornamento del 22 luglio 2025 (KB5062663) o un aggiornamento successivo prima di seguire questi passaggi.
   • Per Windows 10, versione 21H2, installa l'aggiornamento di Windows rilasciato ad agosto 2025 o un aggiornamento successivo prima di seguire questi passaggi.

2. Eseguire i comandi seguenti in un prompt di Windows PowerShell con privilegi elevati:

   Nota

   $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
   $MountPoint = 's:'
   $EFIDestinationFolder = "$MountPoint\EFI\Microsoft\Boot"
   mountvol $MountPoint /S
   if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
   Copy-Item -percorso $PolicyBinary -destinazione $EFIDestinationFolder -forza
   mountvol $MountPoint /d

3. Riavviare il dispositivo.

4. Verificare che il criterio sia caricato nel Visualizzatore eventi usando le informazioni nella sezione Registri eventi di Windows.

Note

• Non rimuovere il file di revoca (criterio) SkuSiPolicy.p7b dopo la distribuzione. Il dispositivo potrebbe non essere più in grado di avviarsi se il file viene rimosso.
• Se il dispositivo non si avvia, vedi la sezione Procedura di ripristino .

Aggiornamento dei supporti di avvio esterni

Per usare il supporto di avvio esterno con un dispositivo a cui sono applicati criteri di revoca firmati da Microsoft, è necessario aggiornare il supporto di avvio esterno con l'aggiornamento più recente di Windows, incluso Boot Manager. Se il supporto non include l'ultimo aggiornamento di Windows, il supporto non si avvierà.

Consigli È consigliabile creare un'unità di ripristino prima di procedere. Questo supporto può essere usato per reinstallare un dispositivo in caso di problemi importanti.

Usare la procedura seguente per aggiornare il supporto di avvio esterno:

1. Passare al dispositivo in cui sono stati installati gli aggiornamenti più recenti per Windows.
2. Montare il supporto di avvio esterno come lettera di unità. Ad esempio, montare una chiavetta USB come D:.
3. Fare clic su Start, digitare Crea un'unità di ripristino nella casella di ricerca , quindi fare clic su Crea un pannello di controllo dell'unità di ripristino. Segui le istruzioni per creare un'unità di ripristino usando la chiavetta USB montata.
4. Rimuovere in modo sicuro la chiavetta USB montata.

Se gestisci i supporti installabili nel tuo ambiente utilizzando le indicazioni Aggiorna i supporti di installazione di Windows con Dynamic Update , segui questa procedura:

1. Passare al dispositivo in cui sono stati installati gli aggiornamenti più recenti per Windows.
2. Seguire i passaggi descritti in Aggiornare il supporto di installazione di Windows con aggiornamento dinamico per creare un supporto con gli ultimi aggiornamenti di Windows installati.

Registri eventi di Windows

Windows registra gli eventi quando i criteri di integrità del codice, incluso SkuSiPolicy.p7b, vengono caricati e quando un file viene bloccato dal caricamento a causa dell'applicazione dei criteri. È possibile usare questi eventi per verificare che la mitigazione sia stata applicata.

I log di integrità del codice sono disponibili nel Visualizzatore eventi diWindows neilog >applicazioni e servizi, log di applicazionie servizi> operativi >di Microsoft>Windows>CodeIntegrity>,log dei servizi,Microsoft>> Windows >AppLocker>,MSI e script.

Per altre informazioni sugli eventi di integrità del codice, vedi la Guida operativa di Controllo applicazioni di Windows Defender.

Eventi di attivazione dei criteri

Gli eventi di attivazione dei criteri sono disponibili nel Visualizzatoreeventi di Windows nei registri> applicazioni e serviziMicrosoft> Windows >CodeIntegrity>Operational.

• PolicyNameBuffer – Criterio SI SKU di Microsoft Windows
• PolicyGUID – {976d12c8-cb9f-4730-be52-54600843238e}
• PolicyHash - 107E8FDD187C34CF8B8EA46A4EE99F0DB60F491650DC989DB71B4825DC73169D

Se il criterio di controllo o la mitigazione è stato applicato al dispositivo e l'evento CodeIntegrity 3099 per il criterio applicato non è presente, il criterio non viene applicato. Consultare le istruzioni di distribuzione per verificare che il criterio sia stato installato correttamente.

Controlla e blocca eventi

Il controllo dell'integrità del codice e gli eventi di blocco sono disponibili nel Visualizzatore eventidi Windows neilog> Applicazioni e servizi, registri applicazionie servizi>operativi> diMicrosoft> Windows >CodeIntegrity>, Microsoft > Windows >AppLocker>,MSI e script.

Il percorso di registrazione precedente include eventi sul controllo di eseguibili, DLL e driver. Quest'ultimo percorso di registrazione include eventi relativi al controllo dei programmi di installazione, degli script e degli oggetti COM MSI.

CodeIntegrity L'evento 3077 nel log "CodeIntegrity - Operational" indica che il caricamento di un eseguibile, di un .dll o di un driver è stato bloccato. Questo evento include informazioni sul file bloccato e sui criteri applicati. Per i file bloccati dalla mitigazione, le informazioni sui criteri in CodeIntegrity Event 3077 corrisponderanno alle informazioni sui criteri di SkuSiPolicy.p7b dall'evento CodeIntegrity 3099. CodeIntegrity L'evento 3077 non sarà presente se non sono presenti eseguibili, .dll o driver che violano i criteri di integrità del codice nel dispositivo.

Per altri eventi di controllo e blocco dell'integrità del codice, vedere Informazioni sugli eventi di controllo delle applicazioni.

Procedura di rimozione e ripristino dei criteri

Se qualcosa va storto dopo aver applicato la mitigazione, puoi usare la procedura seguente per rimuovere la mitigazione:

1. Sospendere BitLocker, se abilitato. Eseguire il comando seguente da una finestra del prompt dei comandi con privilegi elevati:

   Nota

   Manager-bde -protectors -disable c: -rebootcount 3

2. Disattivare l'avvio protetto dal menu del BIOS UEFI.

   La procedura per disattivare l'avvio protetto varia a seconda dei produttori e dei modelli di dispositivo. Per informazioni su come individuare dove disattivare l'avvio protetto, consulta la documentazione del produttore del dispositivo. Per altri dettagli, vedere Disabilitazione dell'avvio protetto.

3. Rimuovere il criterio SkuSiPolicy.p7b .

   1. Avvia Windows normalmente e quindi accedi.

      Il criterio SkuSiPolicy.p7b deve essere rimosso dal percorso seguente:

      • <EFI System Partition>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Eseguire i comandi seguenti da una sessione di Windows PowerShell con privilegi elevati per pulire i criteri da tali posizioni:

      Nota

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b" $MountPoint = 's:' $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b" $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot" mountvol $MountPoint /S if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force } if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force } ​​​​​​​mountvol $MountPoint /D

4. Abilitare l'avvio protetto dal BIOS.

   Consulta la documentazione del produttore del dispositivo per individuare dove attivare l'avvio protetto.

   Se l'avvio protetto è stato disattivato nel passaggio 1 e l'unità è protetta da BitLocker, sospendere la protezione BitLocker e quindi attivare l'avvio protetto dal menu del BIOS UEFI .

5. Attivare BitLocker. Eseguire il comando seguente da una finestra del prompt dei comandi con privilegi elevati:

   Nota

   Manager-bde -protectors -enable c:

6. Riavviare il dispositivo.

Modifiche apportate a questo articolo

Modifica data	Descrizione
Dicembre 17, 2025	Sono stati aggiornati i comandi nel passaggio 2 della sezione "Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)" in quanto i comandi non funzionano correttamente. Da: reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x20 /f Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" A: $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b" $MountPoint = 's:' $EFIDestinationFolder = "$MountPoint\EFI\Microsoft\Boot" mountvol $MountPoint /S if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force } Copy-Item -percorso $PolicyBinary -destinazione $EFIDestinationFolder -forza mountvol $MountPoint /d
22 luglio 2025	Sono stati aggiornati i passaggi di istruzione nella sezione "Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)".
10 luglio 2025	È stata rimossa la sezione "Distribuzione di un criterio in modalità di controllo" in quanto la funzionalità è stata interrotta dopo l'installazione degli aggiornamenti di Windows rilasciati a partire dall'8 luglio 2025. È stata rimossa la sezione "CodeIntegrity Event 3099" in quanto non più applicabile. Nella sezione "Informazioni sui rischi di mitigazione" è stato aggiornato l'argomento "Ambiente ripristino Windows" Da: Ambiente ripristino Windows. L'ambiente ripristino Windows (WinRE) nel dispositivo deve essere aggiornato con gli aggiornamenti Windows più recenti installati nel dispositivo prima che SkuSipolicy.p7b venga applicato al dispositivo. L'omissione di questo passaggio potrebbe impedire a WinRE di eseguire la funzionalità Reimposta PC. Per altre informazioni, vedi Aggiungere un pacchetto di aggiornamento all'ambiente di ripristino Windows. A: Ambiente ripristino Windows. Ambiente ripristino Windows (WinRE) nel dispositivo deve essere aggiornato con la versione più recente del sistema operativo Windows Safe Dynamic rilasciata a partire da luglio 2025 nel dispositivo prima che SkuSipolicy.p7b venga applicato al dispositivo. L'omissione di questo passaggio potrebbe impedire a WinRE di eseguire la funzionalità Reimposta PC. Per altre informazioni, vedi Aggiungere un pacchetto di aggiornamento all'ambiente di ripristino Windows. Se gli aggiornamenti Safe OS DU non sono disponibili, distribuire l'aggiornamento cumulativo più recente. Nella sezione "Prevenzioni disponibili" è stato sostituito il paragrafo seguente: È stato aggiunto un criterio CI firmato Microsoft aggiuntivo che è abilitato per impostazione predefinita e non richiede altri passaggi di distribuzione, che non è associato a UEFI. Questo criterio CI firmato verrà caricato durante l'avvio e l'applicazione di questo criterio impedirà il rollback dei file di sistema VBS durante la sessione di avvio. A differenza di SkuSiPolicy.p7b, un dispositivo può continuare ad avviarsi se il criterio abilitato predefinito è stato manomesso o rimosso. Questa mitigazione è disponibile nei dispositivi con Windows 10 22H2 e versioni successive. SkuSkiPolicy.p7b può comunque essere applicato dagli amministratori per fornire una protezione aggiuntiva per il rollback tra le sessioni di avvio. Con il seguente paragrafo: È stato aggiunto un criterio CI firmato Microsoft aggiuntivo che è abilitato per impostazione predefinita e non richiede altri passaggi di distribuzione, che non è associato a UEFI. Questo criterio CI firmato verrà caricato durante l'avvio e l'applicazione di questo criterio impedirà il rollback dei file di sistema VBS durante la sessione di avvio. A differenza di SkuSiPolicy.p7b, un dispositivo può continuare ad avviarsi se l'aggiornamento viene disinstallato. Questo criterio è incluso in tutte le versioni supportate di Windows 10, versione 1507 e successive. SkuSkiPolicy.p7b può comunque essere applicato dagli amministratori per fornire una protezione aggiuntiva per il rollback tra le sessioni di avvio. Nella sezione "Prevenzioni disponibili" aggiungere le versioni di Windows seguenti alla prima frase dell'ultimo paragrafo: Windows 11, versione 24H2, Windows Server 2022 e Windows Server 23H2 Rimossa l'immagine dell'elenco "SiPolicy.p7b - Audit Policy" nella sezione "Eventi di attivazione dei criteri".
8 aprile 2025	È stata rimossa la prima frase della sezione "Nota importante sul criterio SkuSiPolicy.p7b" in quanto l'aggiornamento più recente non è attualmente disponibile per tutte le versioni di Windows. È stata aggiornata la sezione "Prevenzioni disponibili" aggiungendo informazioni più dettagliate. Aggiunta di mitigazioni predefinite per la sessione di avvio per impedire il rollback dei file binari per Windows 10, versione 22H2 e successive e protezione dei dati VBS per Secure Launch o dispositivi basati su DRTM in Windows 11, versione 24H2.
24 febbraio 2025	Aggiornata la nota nella sezione "Eventi di attivazione dei criteri" e aggiunto un secondo screenshot dell'elenco delle directory che mostra il file "SiPolicy.p7b - Audit Policy".
11 febbraio 2025	Aggiornamento dello script descritto nel passaggio 1 nella sezione "Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)". Aggiunta una nota alla fine della sezione "Eventi di attivazione dei criteri" e aggiunta una screenshot dell'elenco delle directory che mostra il file "SkuSiPolicy.p7b - Revocation Policy". Aggiornato lo script nel passaggio 3b nella sezione "Procedura di rimozione e ripristino dei criteri".
14 gennaio 2025	All'inizio di questo articolo è stata aggiunta la nota importante sul criterio SkuSiPolicy.p7b.* È stata rimossa la seguente nota (aggiunta il 12 novembre 2024) dalla sezione "Prevenzioni disponibili" in quanto non più necessaria: "Nota Il supporto per i criteri SKUSIPolicy.p7b e VbsSI_Audit.p7b per Windows 10, versione 1507, Windows 10 Enterprise 2016 e Windows Server 2016 è stato aggiunto come parte degli ultimi aggiornamenti di Windows rilasciati a partire dall'8 ottobre 2024. Le versioni più recenti di Windows e Windows Server hanno introdotto questi criteri negli aggiornamenti del 13 agosto 2024". Sono state aggiunte altre informazioni alla nota nella sezione "Distribuzione di criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b)". Il testo originale era: "Nota : se mancano gli aggiornamenti, il dispositivo potrebbe non avviarsi con la mitigazione applicata o la mitigazione potrebbe non funzionare come previsto".* È stato rimosso il secondo paragrafo della sezione "Aggiornamento dei supporti di avvio esterni". Il testo originale rimosso era "I supporti di avvio aggiornati con i criteri di revoca firmati da Microsoft devono essere usati solo per avviare i dispositivi a cui è già stata applicata la mitigazione. Se viene usato con dispositivi senza la prevenzione, il blocco UEFI verrà applicato durante l'avvio dal supporto di avvio. I successivi avvii dal disco avranno esito negativo, a meno che il dispositivo non venga aggiornato con la mitigazione o il blocco UEFI non venga rimosso".* È stato rimosso il passaggio "Con i supporti appena creati montati, copiare il file SkuSiPolicy.p7b in <MediaRoot>\EFI\Microsoft\Boot (ad esempio, D:\EFI\Microsoft\Boot)" nella procedura "passaggi per aggiornare i supporti di avvio esterni" nella sezione "Aggiornamento dei supporti di avvio esterno" in quanto questo passaggio non è più necessario.* Sono stati rimossi i passaggi da 3 a 5 nella procedura "Aggiornare i supporti di installazione di Windows con le indicazioni per l'aggiornamento dinamico degli aggiornamenti " nella sezione "Aggiornamento dei supporti di avvio esterni", in quanto i passaggi non sono più necessari.* 3. Posizionare il contenuto del supporto su una chiavetta USB e montare la chiavetta come una lettera di unità. Ad esempio, montare la chiavetta USB come D:. 4. Copiare SkuSiPolicy.p7b in <MediaRoot>\EFI\Microsoft\Boot (ad esempio, D:\EFI\Microsoft\Boot). 5. Rimuovere in modo sicuro la chiavetta USB montata. È stato aggiornato il primo paragrafo dell'argomento "Supporti di avvio esterni" nella sezione "Informazioni sui rischi di mitigazione". Il testo originale era "Dopo che le mitigazioni del blocco UEFI sono state applicate a un dispositivo, il supporto di avvio esterno deve essere aggiornato con gli aggiornamenti Windows più recenti installati sul dispositivo e con i criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b). Se il supporto di avvio esterno non viene aggiornato, il dispositivo potrebbe non avviarsi da tale supporto. Vedere le istruzioni nella sezione Aggiornamento dei supporti di avvio esterni prima di applicare le mitigazioni.* È stato rimosso il secondo paragrafo dell'argomento "Supporti di avvio esterni" nella sezione "Informazioni sui rischi di mitigazione". Il testo originale era "I supporti di avvio aggiornati con i criteri di revoca firmati da Microsoft devono essere usati solo per avviare i dispositivi a cui è già stata applicata la mitigazione. Se viene usato con dispositivi senza la prevenzione, il blocco UEFI verrà applicato durante l'avvio dal supporto di avvio. I successivi avvii dal disco avranno esito negativo, a meno che il dispositivo non venga aggiornato con la mitigazione o il blocco UEFI non venga rimosso".* Aggiornamento dell'argomento "Avvio PXE (Pre-boot Execution Environment)" nella sezione "Informazioni sui rischi di mitigazione". Il testo originale era "Se la mitigazione viene distribuita in un dispositivo e si tenta di usare l'avvio PXE, il dispositivo non verrà avviato a meno che le mitigazioni non vengano applicate anche alle origini di avvio di rete (radice in cui è presente bootmgfw.efi). Se un dispositivo viene avviato da un'origine di avvio di rete a cui è stata applicata la mitigazione, il blocco UEFI verrà applicato al dispositivo e influirà sugli avvii successivi. Non è consigliabile distribuire mitigazioni alle origini di avvio di rete a meno che non siano distribuite le mitigazioni in tutti i dispositivi nell'ambiente. "*
12 novembre 2024	Nella sezione "Prevenzioni disponibili", il supporto per i criteri SkuSiPolicy.p7b e VbsSI_Audit.p7b per Windows 10, versione 1507, Windows 10 Enterprise 2016 e Windows Server 2016 è stato aggiunto come parte degli aggiornamenti di Windows rilasciati a partire dall'8 ottobre 2024. Aggiornate le date di rilascio di Windows dal 13 agosto 2024 al 12 novembre 2024.