KB4074629: Informazioni sull'output dello script Di PowerShell SpeculationControl

Metodo 1: verifica di PowerShell tramite l'PowerShell Gallery (Windows Server 2016 o WMF 5.0/5.1)

Installare il modulo di PowerShell

PS> Install-Module SpeculationControl

Eseguire il modulo SpeculationControl PowerShell per verificare che le protezioni siano abilitate

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Metodo 2: verifica di PowerShell tramite un download da TechNet (versioni del sistema operativo precedenti/versioni WMF precedenti)

Installare il modulo di PowerShell da TechNet ScriptCenter

1. Vai a https://aka.ms/SpeculationControlPS.

2. Scaricare SpeculationControl.zip in una cartella locale.

3. Estrarre il contenuto in una cartella locale, ad esempio C:\ADV180002

Eseguire il modulo di PowerShell per verificare che le protezioni siano abilitate

Avviare PowerShell e quindi , usando l'esempio precedente, copiare ed eseguire i comandi seguenti:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Output

Spiegazione

Impostazioni di controllo speculazione per CVE-2017-5715 [branch target injection]

Questa sezione fornisce lo stato del sistema per la variante 2, CVE-2017-5715, branch target injection.

È presente il supporto hardware per la prevenzione dell'iniezione di target branch

Esegue il mapping a BTIHardwarePresent. Questa linea indica se sono presenti funzionalità hardware per supportare la prevenzione dell'iniezione di destinazione del ramo. L'OEM del dispositivo è responsabile di fornire il BIOS/firmware aggiornato che contiene il microcodice fornito dai produttori di CPU. Se questa linea è True, sono presenti le funzionalità hardware richieste. Se la linea è Falsa, le funzionalità hardware necessarie non sono presenti. Pertanto, la prevenzione dell'iniezione di destinazione del ramo non può essere abilitata.

Nota BTIHardwarePresent sarà True nelle macchine virtuali guest se l'aggiornamento OEM viene applicato all'host e vengono seguite le indicazioni.

È presente il supporto del sistema operativo Windows per la mitigazione dell'iniezione di branch target

Esegue il mapping a BTIWindowsSupportPresent. Questa riga indica se il supporto del sistema operativo Windows è presente per la prevenzione dell'iniezione di destinazione del ramo. Se è True, il sistema operativo supporta l'abilitazione della prevenzione dell'iniezione di destinazione del ramo (e quindi ha installato l'aggiornamento di gennaio 2018). Se è False, l'aggiornamento di gennaio 2018 non è installato nel dispositivo e la prevenzione dell'iniezione di destinazione del ramo non può essere abilitata.

Nota Se una macchina virtuale guest non rileva l'aggiornamento hardware host, BTIWindowsSupportEnabled sarà sempre False.

Il supporto del sistema operativo Windows per la prevenzione dell'iniezione di branch target è abilitato

Esegue il mapping a BTIWindowsSupportEnabled. Questa riga indica se il supporto del sistema operativo Windows è abilitato per la prevenzione dell'iniezione di destinazione del ramo. Se è True, il supporto hardware e il supporto del sistema operativo per la prevenzione dell'iniezione di destinazione del ramo sono abilitati per il dispositivo, proteggendo così da CVE-2017-5715. Se è False, si verifica una delle condizioni seguenti:

• Il supporto hardware non è presente.

• Il supporto del sistema operativo non è presente.

• La prevenzione è disabilitata dai criteri di sistema.

Il supporto del sistema operativo Windows per la prevenzione dell'iniezione di branch target è disabilitato dai criteri di sistema

Esegue il mapping a BTIDisabledBySystemPolicy. Questa riga indica se la prevenzione dell'iniezione di destinazione del ramo è disabilitata dai criteri di sistema (ad esempio un criterio definito dall'amministratore). Criteri di sistema fa riferimento ai controlli del Registro di sistema documentati in KB4072698. Se è Vero, i criteri di sistema sono responsabili della disabilitazione della prevenzione. Se è False, la prevenzione viene disabilitata da una causa diversa.

Il supporto del sistema operativo Windows per la prevenzione dell'iniezione di branch target è disabilitato dall'assenza di supporto hardware

Esegue il mapping a BTIDisabledByNoHardwareSupport. Questa riga indica se la prevenzione dell'iniezione di destinazione del ramo è disabilitata a causa dell'assenza di supporto hardware. Se è Vero, l'assenza di supporto hardware è responsabile della disabilitazione della prevenzione. Se è False, la prevenzione viene disabilitata da una causa diversa.

NotaSe una macchina virtuale guest non riesce a rilevare l'aggiornamento hardware host, BTIDisabledByNoHardwareSupport sarà sempre True.

Impostazioni di controllo speculazione per CVE-2017-5754 [caricamento della cache dei dati rogue]

Questa sezione fornisce informazioni di riepilogo sullo stato del sistema per la variante 3, CVE-2017-5754, caricamento non autorizzati della cache dei dati. La prevenzione per questo problema è nota come shadow dell'indirizzo virtuale kernel (VA) o la mitigazione del carico della cache dei dati rogue.

L'hardware è vulnerabile al caricamento della cache dei dati non autorizzati

Esegue il mapping a RdclHardwareProtected. Questa riga indica se l'hardware è vulnerabile a CVE-2017-5754. Se è Vero, si ritiene che l'hardware sia vulnerabile al CVE-2017-5754. Se è False, l'hardware non è vulnerabile a CVE-2017-5754.

È presente il supporto del sistema operativo Windows per la prevenzione del carico della cache dei dati non autorizzati

Esegue il mapping a KVAShadowWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per la funzionalità di ombreggiatura va kernel.

Il supporto del sistema operativo Windows per la prevenzione del carico della cache dei dati non autorizzati è abilitato

Esegue il mapping a KVAShadowWindowsSupportEnabled. Questa riga indica se la funzionalità di ombreggiatura va kernel è abilitata. Se è True, si ritiene che l'hardware sia vulnerabile a CVE-2017-5754, è presente il supporto del sistema operativo Windows e la funzionalità è abilitata.

L'hardware richiede l'ombreggiatura va kernel

Esegue il mapping a KVAShadowRequired. Questa linea indica se il sistema richiede l'ombreggiatura kernel VA per attenuare una vulnerabilità.

È presente il supporto del sistema operativo Windows per l'ombreggiatura VA kernel

Esegue il mapping a KVAShadowWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per la funzionalità di ombreggiatura va kernel. Se è True, l'aggiornamento di gennaio 2018 è installato nel dispositivo ed è supportata l'ombreggiatura va kernel. Se è False, l'aggiornamento di gennaio 2018 non è installato e il supporto shadow di KERNEL VA non esiste.

Il supporto del sistema operativo Windows per l'ombreggiatura VA kernel è abilitato

Esegue il mapping a KVAShadowWindowsSupportEnabled. Questa riga indica se la funzionalità di ombreggiatura va kernel è abilitata. Se è True, è presente il supporto del sistema operativo Windows e la funzionalità è abilitata. La funzionalità shadow di Kernel VA è attualmente abilitata per impostazione predefinita nelle versioni client di Windows ed è disabilitata per impostazione predefinita nelle versioni di Windows Server. Se è False, il supporto del sistema operativo Windows non è presente o la funzionalità non è abilitata.

Il supporto del sistema operativo Windows per l'ottimizzazione delle prestazioni di PCID è abilitato

NotaPCID non è necessario per la sicurezza. Indica solo se è abilitato un miglioramento delle prestazioni. PCID non è supportato con Windows Server 2008 R2

Esegue il mapping a KVAShadowPcidEnabled. Questa riga indica se è abilitata un'ottimizzazione delle prestazioni aggiuntiva per l'ombreggiatura VA kernel. Se è True, è abilitata l'ombreggiatura VA kernel, è presente il supporto hardware per PCID e l'ottimizzazione PCID per l'ombreggiatura VA kernel è abilitata. Se è False, l'hardware o il sistema operativo potrebbe non supportare PCID. Non è un punto debole della sicurezza per l'ottimizzazione PCID non essere abilitata.

È presente il supporto del sistema operativo Windows per Speculative Store Bypass Disable

Esegue il mapping a SSBDWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per Speculative Store Bypass Disable. Se è True, l'aggiornamento di gennaio 2018 è installato nel dispositivo ed è supportata l'ombreggiatura va kernel. Se è False, l'aggiornamento di gennaio 2018 non è installato e il supporto shadow di KERNEL VA non esiste.

L'hardware richiede Speculative Store Bypass Disable

Esegue il mapping a SSBDHardwareVulnerablePresent. Questa linea indica se l'hardware è vulnerabile a CVE-2018-3639. Se è Vero, si ritiene che l'hardware sia vulnerabile a CVE-2018-3639. Se è False, l'hardware non è vulnerabile a CVE-2018-3639.

È presente il supporto hardware per Speculative Store Bypass Disable

Esegue il mapping a SSBDHardwarePresent. Questa linea indica se sono presenti funzionalità hardware per supportare Speculative Store Bypass Disable. L'OEM del dispositivo è responsabile di fornire il BIOS/firmware aggiornato che contiene il microcodice fornito da Intel. Se questa linea è True, sono presenti le funzionalità hardware richieste. Se la linea è Falsa, le funzionalità hardware necessarie non sono presenti. Pertanto, Speculative Store Bypass Disable non può essere attivato.

Nota SSBDHardwarePresent sarà True nelle macchine virtuali guest se l'aggiornamento OEM viene applicato all'host.

Il supporto del sistema operativo Windows per Speculative Store Bypass Disable è attivato

Esegue il mapping a SSBDWindowsSupportEnabledSystemWide. Questa riga indica se Speculative Store Bypass Disable è attivato nel sistema operativo Windows. Se è True, il supporto hardware e del sistema operativo per Speculative Store Bypass Disable è attivato per il dispositivo che impedisce l'esecuzione di un bypass speculativo dello Store, eliminando così completamente il rischio di sicurezza. Se è False, si verifica una delle condizioni seguenti:

• Il supporto hardware non è presente.

• Il supporto del sistema operativo non è presente.

• Speculative Store Bypass Disable non è abilitato tramite le chiavi del Registro di sistema. Per istruzioni su come abilitarli, vedere gli articoli seguenti:

  • KB4073119: Linee guida del client Windows per i professionisti IT per la protezione dalle vulnerabilità di esecuzione speculativa e microarchitettura basata su silicio

  • KB4072698: Linee guida HCI di Windows Server e Azure Stack per la protezione dalle vulnerabilità di esecuzione speculativa e microarchitettura basata sui processori

Impostazioni di controllo speculazione per CVE-2018-3620 [errore terminale L1]

Questa sezione fornisce un riepilogo dello stato del sistema per L1TF (sistema operativo) a cui fa riferimento CVE-2018-3620. Questa prevenzione garantisce che i bit dei frame di pagina sicuri vengano usati per le voci della tabella pagina non presenti o non valide.

Nota Questa sezione non fornisce un riepilogo dello stato di prevenzione per L1TF (VMM) a cui fa riferimento CVE-2018-3646.

L'hardware è vulnerabile all'errore del terminale L1: True

Esegue il mapping a L1TFHardwareVulnerable. Questa riga indica se l'hardware è vulnerabile all'errore terminale L1 (L1TF, CVE-2018-3620). Se è Vero, si ritiene che l'hardware sia vulnerabile al CVE-2018-3620. Se è False, l'hardware non è vulnerabile a CVE-2018-3620.

È presente il supporto del sistema operativo Windows per la mitigazione degli errori dei terminali L1: True

Esegue il mapping a L1TFWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per l'errore terminale L1 (L1TF). Se è True, l'aggiornamento di agosto 2018 è installato nel dispositivo ed è presente la prevenzione per CVE-2018-3620 . Se è False, l'aggiornamento di agosto 2018 non è installato e la prevenzione per CVE-2018-3620 non è presente.

Il supporto del sistema operativo Windows per la prevenzione degli errori dei terminali L1 è abilitato: True

Esegue il mapping a L1TFWindowsSupportEnabled. Questa riga indica se la prevenzione del sistema operativo Windows per L1 Terminal Fault (L1TF, CVE-2018-3620) è abilitata. Se è Vero, si ritiene che l'hardware sia vulnerabile a CVE-2018-3620, è presente il supporto del sistema operativo Windows per la prevenzione e la prevenzione è abilitata. Se è False, l'hardware non è vulnerabile, il supporto del sistema operativo Windows non è presente o la prevenzione non è abilitata.

Impostazioni di controllo della speculazione per MDS [Microarchitectural Data Sampling]

Questa sezione fornisce lo stato del sistema per il set di vulnerabilità MDS, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 e ADV220002.

È presente il supporto del sistema operativo Windows per la mitigazione mds

Esegue il mapping a MDSWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per il sistema operativo Microarchitectural Data Sampling (MDS). Se è True, l'aggiornamento di maggio 2019 è installato nel dispositivo ed è presente la prevenzione per MDS. Se è False, l'aggiornamento di maggio 2019 non è installato e la prevenzione per MDS non è presente.

L'hardware è vulnerabile a MDS

Esegue il mapping a MDSHardwareVulnerable. Questa riga indica se l'hardware è vulnerabile al set di vulnerabilità MDS (Microarchitectural Data Sampling) (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Se è Vero, si ritiene che l'hardware sia interessato da queste vulnerabilità. Se è False, l'hardware è noto per non essere vulnerabile.

Il supporto del sistema operativo Windows per la prevenzione mds è abilitato

Esegue il mapping a MDSWindowsSupportEnabled. Questa riga indica se la prevenzione del sistema operativo Windows per Il campionamento di dati microarchiteturali (MDS) è abilitata. Se è True, si ritiene che l'hardware sia interessato dalle vulnerabilità di MDS, il supporto del sistema operativo Windows per la prevenzione è presente e la prevenzione è abilitata. Se è False, l'hardware non è vulnerabile, il supporto del sistema operativo Windows non è presente o la prevenzione non è abilitata.

È presente il supporto del sistema operativo Windows per la mitigazione SBDR

Esegue il mapping a FBClearWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per la prevenzione del sistema operativo SBDR. Se è True, l'aggiornamento di giugno 2022 è installato nel dispositivo ed è presente la prevenzione per SBDR. Se è False, l'aggiornamento di giugno 2022 non è installato e la prevenzione per SBDR non è presente.

L'hardware è vulnerabile a SBDR

Esegue il mapping a SBDRSSDPHardwareVulnerable. Questa riga indica se l'hardware è vulnerabile a SBDR [lettura dei dati dei buffer condivisi] set di vulnerabilità (CVE-2022-21123). Se è Vero, si ritiene che l'hardware sia interessato da queste vulnerabilità. Se è False, l'hardware è noto per non essere vulnerabile.

Il supporto del sistema operativo Windows per la prevenzione SBDR è abilitato

Esegue il mapping a FBClearWindowsSupportEnabled. Questa riga indica se la prevenzione del sistema operativo Windows per SBDR [lettura dei dati dei buffer condivisi] è abilitata. Se è True, si ritiene che l'hardware sia interessato dalle vulnerabilità SBDR, che sia presente il supporto operativo windows per la prevenzione e che la prevenzione sia abilitata. Se è False, l'hardware non è vulnerabile, il supporto del sistema operativo Windows non è presente o la prevenzione non è abilitata.

È presente il supporto del sistema operativo Windows per la prevenzione FBSDP

Esegue il mapping a FBClearWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per la prevenzione del sistema operativo FBSDP. Se è True, l'aggiornamento di giugno 2022 è installato nel dispositivo ed è presente la prevenzione per FBSDP. Se è False, l'aggiornamento di giugno 2022 non è installato e la prevenzione per FBSDP non è presente.

L'hardware è vulnerabile a FBSDP

Esegue il mapping a FBSDPHardwareVulnerable. Questa riga indica se l'hardware è vulnerabile a FBSDP [propagatore di dati obsoleti del buffer di riempimento] set di vulnerabilità (CVE-2022-21125, CVE-2022-21127 e CVE-2022-21166). Se è Vero, si ritiene che l'hardware sia interessato da queste vulnerabilità. Se è False, l'hardware è noto per non essere vulnerabile.

Il supporto del sistema operativo Windows per la prevenzione FBSDP è abilitato

Esegue il mapping a FBClearWindowsSupportEnabled. Questa riga indica se la prevenzione del sistema operativo Windows per FBSDP [propagatore di dati del buffer di riempimento] è abilitata. Se è True, si ritiene che l'hardware sia interessato dalle vulnerabilità FBSDP, il supporto operativo Windows per la prevenzione è presente e la prevenzione è abilitata. Se è False, l'hardware non è vulnerabile, il supporto del sistema operativo Windows non è presente o la prevenzione non è abilitata.

È presente il supporto del sistema operativo Windows per la prevenzione PSDP

Esegue il mapping a FBClearWindowsSupportPresent. Questa riga indica se è presente il supporto del sistema operativo Windows per la prevenzione del sistema operativo PSDP. Se è True, l'aggiornamento di giugno 2022 è installato nel dispositivo ed è presente la prevenzione per PSDP. Se è False, l'aggiornamento di giugno 2022 non è installato e la prevenzione per PSDP non è presente.

L'hardware è vulnerabile a PSDP

Esegue il mapping a PSDPHardwareVulnerable. Questa riga indica se l'hardware è vulnerabile al set di vulnerabilità PSDP [primary stale data propagator]. Se è Vero, si ritiene che l'hardware sia interessato da queste vulnerabilità. Se è False, l'hardware è noto per non essere vulnerabile.

Il supporto del sistema operativo Windows per la prevenzione PSDP è abilitato

Esegue il mapping a FBClearWindowsSupportEnabled. Questa riga indica se la prevenzione del sistema operativo Windows per PSDP [primary stale data propagator] è abilitata. Se è True, si ritiene che l'hardware sia interessato dalle vulnerabilità psdp, il supporto operativo Windows per la prevenzione è presente e la mitigazione è abilitata. Se è False, l'hardware non è vulnerabile, il supporto del sistema operativo Windows non è presente o la prevenzione non è abilitata.

Chiave del Registro di sistema

Mapping

FeatureSettingsOverride - Bit 0

Mappe a - Branch target injection - BTIWindowsSupportEnabled

FeatureSettingsOverride - Bit 1

Esegue il mapping a - Caricamento della cache dei dati non autorizzati - VAShadowWindowsSupportEnabled