Saugiosios įkrovos sertifikato naujinimai: rekomendacijos IT specialistams ir organizacijoms

Saugiosios įkrovos būsenos tikrinimas visame parke: Ar saugi įkrova įgalinta? 

Dauguma įrenginių, pagamintų nuo 2012 m., palaiko saugią įkrovą ir yra pristatomi su įjungta saugia įkrova. Norėdami patikrinti, ar įrenginyje įjungta saugioji įkrova, atlikite vieną iš toliau nurodytų veiksmų. 

• GUI metodas: Eikite į Pradžia > Parametrai > Privatumas & sauga > „Windows“ sauga > Įrenginio sauga. Dalies Įrenginio sauga dalyje Saugioji įkrova turėtų būti nurodyta, kad saugioji įkrova įjungta.

• Komandų eilutės metodas: Didesnių teisių "PowerShell" komandinėje eilutėje įveskite Confirm-SecureBootUEFI ir paspauskite Enter. Komanda turėtų grąžinti "True", nurodančią, kad įjungta saugi įkrova.

Jei diegiama dideliu mastu įrenginių parke, IT specialistų naudojama valdymo programinė įranga turės pateikti saugiosios įkrovos įgalinimo patikrą. 

Pavyzdžiui, saugios įkrovos būsenos patikrinimas "Microsoft Intune" valdomuose įrenginiuose yra sukurti ir įdiegti "Intune" pasirinktinį atitikties scenarijų. "Intune" atitikties parametrai aprašyti "Linux" ir "Windows" įrenginių pasirinktinių atitikties parametrų naudojimas su "„Microsoft Intune“".  

Jei Saugioji įkrova neįjungta, galite praleisti toliau nurodytus naujinimo veiksmus, nes jie netaikomi.

Kaip diegiami naujinimai

Yra keli būdai, kaip nukreipti į įrenginius, kad būtų siunčiami saugiosios įkrovos sertifikato naujinimai. Diegimo išsami informacija, įskaitant parametrus ir įvykius, bus aptarta toliau šiame dokumente. Kai įrenginyje pageidaujate naujinimų, įrenginyje nustatomas parametras, nurodantis, kad įrenginys turėtų pradėti naujų sertifikatų taikymo procesą. Suplanuota užduotis įrenginyje vykdoma kas 12 valandų ir aptinka, kad įrenginys buvo skirtas naujinimams. Užduoties veikimo struktūra:

1. DB taikoma "Windows UEFI CA 2023".

2. Jei įrenginio DB yra "Microsoft Corporation" UEFI CA 2011, užduotis DB taiko "Microsoft Option ROM UEFI CA 2023" ir "Microsoft UEFI CA 2023".

3. Tada užduotis prideda "Microsoft Corporation KEK 2K CA 2023".

4. Galiausiai suplanuota užduotis atnaujina "Windows" įkrovos tvarkyklę į tą, kurią pasirašė "Windows UEFI CA 2023". "Windows" aptiks, kad reikia paleisti įrenginį iš naujo, kad būtų galima taikyti įkrovos tvarkytuvą. Įkrovos tvarkytuvo naujinimas bus atidėtas, kol paleidimas iš naujo įvyks natūraliai (pvz., kai taikomi mėnesiniai naujinimai), ir tada "Windows" dar kartą bandys taikyti įkrovos tvarkytuvo naujinimą.

Visi aukščiau nurodyti veiksmai turi būti sėkmingai atlikti, kad suplanuota užduotis pereitų prie kito veiksmo. Šio proceso metu įvykių žurnalai ir kita būsena bus pasiekiama, kad būtų lengviau stebėti diegimą. Daugiau informacijos apie stebėseną ir įvykių žurnalus pateikiama toliau.  

Saugiosios įkrovos sertifikatų atnaujinimas suteikia galimybę ateityje atnaujinti 2023 m. įkrovos tvarkytuvą, kuris yra saugesnis. Konkretūs įkrovos tvarkytuvo naujinimai bus būsimuose leidimuose.

Diegimo veiksmai 

• Paruošimas: Inventorius ir bandymo prietaisai.

• Programinės-aparatinės įrangos aspektai

• Stebėjimas: patikrinkite stebėjimo darbus ir suplanuokite savo transporto priemonių parką.

• Diegimas: Taikykite įrenginius, kuriuose reikia naujinimų, pradedant nuo mažų poaibių ir plečiant pagal sėkmingus testus.

• Ištaisymas: ištirkite ir išspręskite visas problemas naudodami žurnalus ir tiekėjo palaikymą.

Paruošimas 

Inventoriaus aparatūra ir programinė įranga. Sukurkite reprezentatyvų įrenginių pavyzdį pagal sistemos gamintoją, sistemos modelį, BIOS versiją / datą, bazinės plokštės produkto versiją ir kt. ir išbandykite naujinimus tuose įrenginiuose prieš platų diegimą.  Šie parametrai paprastai pateikiami sistemos informacijoje (MSINFO32). Naudokite įtrauktus "PowerShell" komandų pavyzdžius, kad patikrintumėte saugiosios įkrovos naujinimo būseną ir inventorizuotumėte organizacijos įrenginius.

Saugiosios įkrovos atsargų duomenų rinkimo scenarijaus pavyzdys

Nukopijuokite ir įklijuokite šį scenarijaus pavyzdį ir, jei reikia, modifikuokite pagal savo aplinką: Saugiosios įkrovos atsargų duomenų rinkimo scenarijaus pavyzdys.

Saugiosios įkrovos patikimumo lygiai

Pirmas žingsnis, jei įjungta saugi įkrova, yra patikrinti, ar nėra laukiančių įvykių, kurie neseniai buvo atnaujinti, arba atnaujinami saugiosios įkrovos sertifikatai. Ypač įdomūs naujausi įvykiai 1801 ir 1808 m. Šie įvykiai išsamiai aprašyti saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiuose. Taip pat skyriuje Stebėjimas ir diegimas sužinokite, kaip įvykiai gali parodyti laukiančių naujinimų būseną.  

Kitas žingsnis – inventorizuoti įrenginius visoje organizacijoje. Naudodami "PowerShell" komandas surinkite šią informaciją, kad sukurtumėte tipinį pavyzdį: 

Programinės-aparatinės įrangos aspektai

Norint diegti naujus saugiosios įkrovos sertifikatus savo įrenginių parke, reikia, kad įrenginio programinė-aparatinė įranga vaidintų svarbų vaidmenį užbaigiant naujinimą. Nors "Microsoft" tikisi, kad dauguma įrenginių programinės-aparatinės įrangos veiks taip, kaip tikėtasi, prieš diegiant naujus sertifikatus reikia kruopščiai išbandyti.

Išnagrinėkite savo aparatūros aprašą ir sukurkite nedidelį reprezentatyvų įrenginių pavyzdį pagal šiuos unikalius kriterijus, pvz.: 

• Gamintojas

• Modelio numeris

• Programinės-aparatinės įrangos versija

• OEM grindjuostės versija ir kt.

Prieš plačiai diegiant savo transporto priemonių parko įrenginiuose, rekomenduojame išbandyti sertifikatų naujinimus tipiniuose pavyzdiniuose įrenginiuose (kaip apibrėžiami pagal tokius veiksnius kaip gamintojas, modelis, programinės-aparatinės įrangos versija), kad įsitikintumėte, jog naujinimai apdorojami sėkmingai. Rekomenduojamas kiekvienos unikalios kategorijos prietaisų pavyzdžių skaičius yra 4 ar daugiau.

Tai padės sukurti pasitikėjimą diegimo procesu ir išvengti nenumatyto poveikio platesniam jūsų transporto priemonių parkui. 

Kai kuriais atvejais norint sėkmingai atnaujinti saugiosios įkrovos sertifikatus, gali prireikti programinės-aparatinės įrangos naujinimo. Tokiais atvejais rekomenduojame susisiekti su įrenginio OĮG ir sužinoti, ar yra atnaujintos programinės-aparatinės įrangos.

"Windows" virtualizuotoje aplinkoje

Jei "Windows" veikia virtualioje aplinkoje, yra du būdai, kaip įtraukti naujus sertifikatus į saugiosios įkrovos programinės-aparatinės įrangos kintamuosius:  

• Virtualios aplinkos kūrėjas (AWS, Azure, Hyper-V, VMware ir kt.) gali pateikti aplinkos atnaujinimą ir įtraukti naujus sertifikatus į virtualizuotą programinę-aparatinę įrangą. Tai veiktų naujiems virtualizuotiems įrenginiams.

• Jei "Windows" veikia ilgą laiką VM, naujinimus galima taikyti per "Windows" kaip ir bet kuriuose kituose įrenginiuose, jei virtuali programinė-aparatinė įranga palaiko saugiosios įkrovos naujinimus.

Stebėjimas ir diegimas 

Rekomenduojame pradėti įrenginio stebėjimą prieš diegiant, kad įsitikintumėte, jog stebėjimas veikia tinkamai ir iš anksto žinote transporto priemonių parko būklę. Stebėjimo galimybės aptariamos toliau. 

"Microsoft" teikia kelis saugiojo paleidimo sertifikato naujinimų diegimo ir stebėjimo būdus.

Automatizuotos diegimo pagalbinės priemonės 

"Microsoft" teikia dvi diegimo pagalbines priemones. Šie pagalbininkai gali būti naudingi diegiant naujus sertifikatus jūsų laivyne. Diagnostikos duomenys reikalingi tik valdomų funkcijų diegimo pagalbinei priemonei.

• Kaupiamųjų naujinimų su patikimumo talpyklomis parinktis: "Microsoft" gali automatiškai įtraukti didelio patikimumo įrenginių grupes į mėnesinius naujinimus, atsižvelgdama į diagnostikos duomenis, bendrintus iki šiol, kad būtų naudinga sistemoms ir organizacijoms, kurios negali bendrinti diagnostikos duomenų. Šiam veiksmui nereikia įgalinti diagnostikos duomenų.

  • Organizacijoms ir sistemoms, kurios gali bendrinti diagnostikos duomenis, ji suteikia "Microsoft" matomumą ir patikimumą, kad įrenginiai gali sėkmingai įdiegti sertifikatus. Daugiau informacijos apie diagnostikos duomenų įgalinimą rasite: "Windows" diagnostikos duomenų konfigūravimas organizacijoje. Mes kuriame "talpyklas" kiekvienam unikaliam įrenginiui (kaip apibrėžiama pagal atributus, kurie apima gamintoją, pagrindinės plokštės versiją, programinės-aparatinės įrangos gamintoją, programinės-aparatinės įrangos versiją ir papildomus duomenų elementus). Stebime kiekvienos talpyklos sėkmės įrodymus keliuose įrenginiuose. Kai pamatysime pakankamai sėkmingų naujinimų ir jokių nesėkmių, laikysime grupę "didelio patikimumo" ir įtrauksime šiuos duomenis į mėnesio kaupiamuosius naujinimus. Kai mėnesiniai naujinimai taikomi įrenginiui, esančiam didelio patikimumo talpykloje, "Windows" automatiškai pritaikys sertifikatus UEFI saugiosios įkrovos kintamiesiems programinėje-aparatinėje įrangoje.

  • Didelio patikimumo talpyklos apima įrenginius, kurie tinkamai apdoroja naujinimus. Žinoma, ne visi įrenginiai pateiks diagnostikos duomenis, o tai gali apriboti "Microsoft" pasitikėjimą įrenginio galimybe tinkamai apdoroti naujinimus.

  • Ši pagalbinė priemonė didelio patikimumo įrenginiuose yra įjungta pagal numatytuosius parametrus ir gali būti išjungta naudojant konkretaus įrenginio parametrą. Daugiau informacijos bus bendrinama būsimuose "Windows" leidimuose.

• Controlled Feature Rollout (CFR):  Sutikite "Microsoft" valdomo diegimo įrenginius, jei diagnostikos duomenys įgalinti.

  • Controlled Feature Rollout (CFR) galima naudoti su kliento įrenginiais organizacijos parkuose. Tam reikia, kad įrenginiai siųstų privalomuosius diagnostikos duomenis "Microsoft" ir signalizuotų, kad įrenginys sutinka leisti CFR įrenginyje. Išsami informacija apie tai, kaip pasirinkti, aprašyta toliau.

  • "Microsoft" valdys šių naujų sertifikatų naujinimo procesą "Windows" įrenginiuose, kuriuose prieinami diagnostikos duomenys ir įrenginiai dalyvauja kontroliuojamų funkcijų diegimo (CFR) pakete. Nors CFR gali padėti diegti naujus sertifikatus, organizacijos negalės pasikliauti CFR savo laivynams atkurti – reikės atlikti veiksmus, aprašytus šiame dokumente skyriuje apie diegimo metodus, kurių neapima automatinės pagalbos.

  • Apribojimai: Yra kelios priežastys, dėl kurių CFR gali neveikti jūsų aplinkoje. Toliau pateikiami keli pavyzdžiai.

    • Diagnostikos duomenys nepasiekiami arba diagnostikos duomenų negalima naudoti kaip CFR diegimo dalies.

    • Įrenginiai nėra palaikomose "Windows 11" ir "Windows 10" kliento versijose su išplėstiniais saugos naujinimais (ESU).

Diegimo metodai, kuriems taikomos automatinės pagalbinės priemonės

Pasirinkite metodą, kuris tinka jūsų aplinkai. Venkite maišymo būdų tame pačiame įrenginyje: 

• Registro raktai: valdykite diegimą ir stebėkite rezultatus.
  Yra keli registro raktai, skirti valdyti sertifikatų diegimo elgseną ir stebėti rezultatus. Be to, yra du pagrindiniai klavišai, kaip pasirinkti ir atsisakyti anksčiau aprašytų diegimo priemonių. Daugiau informacijos apie registro raktus rasite Registro raktų Naujinimai, skirti saugiai įkrovai – "Windows" įrenginiai su IT valdomais naujinimais.

• Grupės strategija Objektai (GPO): valdykite parametrus; stebėkite naudodami registrą ir įvykių žurnalus.
  Būsimame naujinime "Microsoft" teiks saugiosios įkrovos naujinimų valdymo palaikymą naudojant Grupės strategiją. Atkreipkite dėmesį, kad kadangi Grupės strategija skirta parametrams, įrenginio būseną reikės stebėti alternatyviais metodais, įskaitant registro raktų ir įvykių žurnalo įrašų stebėjimą.

• WinCS ("Windows" konfigūracijos sistema) CLI: prie domeno prijungtiems klientams naudokite komandų eilutės įrankius.
  Taip pat domeno administratoriai gali naudoti į "Windows" OS naujinimus įtrauktą "Windows" konfigūracijos sistemą ("WinCS") ir diegti saugiosios įkrovos naujinimus prie domeno prijungtuose "Windows" klientuose ir serveriuose. Jį sudaro komandų eilutės paslaugų serija (tiek tradicinis vykdomasis failas, tiek "PowerShell" modulis), kad būtų galima pateikti užklausas ir pritaikyti saugiosios įkrovos konfigūracijas vietoje įrenginyje. Daugiau informacijos žiūrėkite šiuose straipsniuose:

  • "Windows" konfigūracijos sistemos ("WinCS") API, skirtos saugiai įkrovai

  • Saugiojo paleidimo E2E automatizavimo vadovo pavyzdys

• "Microsoft Intune" / konfigūracijos tvarkyklė: Diekite "PowerShell" scenarijus. Konfigūravimo paslaugų teikėjas (CSP) bus pateiktas būsimame naujinime, kad būtų galima diegti naudojant "Intune".

Įvykių žurnalų stebėjimas

Pateikiami du nauji įvykiai, padėsiantys diegti saugiosios įkrovos sertifikato naujinimus. Šie įvykiai išsamiai aprašyti saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiuose: 

• Įvykio ID: 1801
  Tai yra klaidos įvykis, nurodantis, kad atnaujinti sertifikatai nebuvo pritaikyti įrenginiui. Šis įvykis pateikia tam tikros išsamios informacijos apie įrenginį, įskaitant įrenginio atributus, kurie padės susieti, kuriuos įrenginius dar reikia atnaujinti.

• Įvykio ID: 1808
  Tai yra informacinis įvykis, nurodantis, kad įrenginys turi įrenginio programinei-aparatinei įrangai reikalingus naujus saugiosios įkrovos sertifikatus.

Diegimo strategijos 

Norėdami sumažinti riziką, saugiosios įkrovos naujinimus diekite etapais, o ne visus iš karto. Pradėkite nuo nedidelio įrenginių rinkinio, patikrinkite rezultatus, tada išplėskite į papildomas grupes. Siūlome pradėti nuo įrenginių poaibių ir, kai įgysite pasitikėjimo šiomis įdiegtimis, įtraukti papildomų įrenginių poaibių. Norint nustatyti, kas patenka į pogrupį, gali būti naudojami keli veiksniai, įskaitant pavyzdinių įrenginių bandymų rezultatus, organizacijos struktūrą ir kt. 

Sprendimą, kuriuos įrenginius diegti, priimsite patys. Čia išvardytos kai kurios galimos strategijos. 

• Didelių įrenginių parkas: pirmiausia pasikliaukite anksčiau aprašytomis pagalbinėmis priemonėmis dažniausiai valdomuose įrenginiuose. Tuo pat metu sutelkite dėmesį į rečiau naudojamus organizacijos valdomus įrenginius. Išbandykite įrenginius su mažais pavyzdžiais ir, jei testavimas sėkmingas, įdiekite su likusiais to paties tipo įrenginiais. Jei tikrinant kyla problemų, išanalizuokite problemos priežastį ir nustatykite šalinimo veiksmus. Taip pat galite apsvarstyti klases, kurios turi didesnę vertę jūsų transporto priemonių parke, ir pradėti testuoti bei diegti, kad iš anksto užtikrintumėte tų įrenginių atnaujintą apsaugą.

• Mažas laivynas, didelė įvairovė: Jei jūsų valdomame parke yra daug įvairių mašinų, kuriose atskirų įrenginių testavimas būtų pernelyg sudėtingas, apsvarstykite galimybę labai pasikliauti dviem aukščiau aprašytomis pagalbinėmis priemonėmis, ypač įrenginiams, kurie greičiausiai bus įprasti įrenginiai rinkoje. Iš pradžių sutelkite dėmesį į įrenginius, kurie yra kritiškai svarbūs kasdieniam darbui, išbandykite ir tada įdiegkite. Toliau judėkite žemyn aukšto prioriteto įrenginių sąrašu, testuodami ir diegdami, stebėdami parką, kad įsitikintumėte, jog pagalbinės priemonės padeda likusiems įrenginiams.

Pastabos 

• Atkreipkite dėmesį į senesnius įrenginius, ypač įrenginius, kurių gamintojas nebepalaiko. Nors programinė-aparatinė įranga turėtų tinkamai atlikti naujinimo operacijas, kai kurios gali ne. Tais atvejais, kai programinė įranga neveikia tinkamai ir įrenginys nebepalaikomas, apsvarstykite galimybę pakeisti įrenginį, kad užtikrintumėte saugios įkrovos apsaugą visame parke.

• Nauji įrenginiai, pagaminti per pastaruosius 1–2 metus, jau gali turėti atnaujintus sertifikatus, tačiau sistemoje gali nebūti pritaikyta "Windows UEFI CA 2023" pasirašyta įkrovos tvarkyklė. Šio įkrovos tvarkytuvo taikymas yra svarbus paskutinis kiekvieno įrenginio diegimo žingsnis.

• Pasirinkus naujinti įrenginį, gali užtrukti, kol naujinimai bus baigti. Numatoma, kad sertifikatai bus pritaikyti per 48 valandas ir vieną ar daugiau paleidimų iš naujo.