Drošās palaišanas sertifikāta atjauninājumi: norādes IT speciālistiem un organizācijām

Drošas palaišanas statusa pārbaude visā jūsu autoparkā: vai ir iespējota drošā palaišana? 

Lielākajā daļā ierīču, kas ražotas kopš 2012. gada, tiek atbalstīta drošā palaišana, un tās tiek piegādātas ar iespējotu drošo sāknēšanu. Lai pārbaudītu, vai ierīcē ir iespējota drošā palaišana, veiciet kādu no tālāk norādītajām darbībām. 

• GUI metode: Dodieties uz Sākums > Iestatījumi > Konfidencialitāte & drošība > Windows drošība> Ierīces drošība. Sadaļas Ierīces drošība sadaļā Drošā palaišana ir jānorāda, ka Drošā palaišana ir ieslēgta.

• Komandrindas metode: Privileģētajā PowerShell komandu uzvednē ierakstiet Confirm-SecureBootUEFI un pēc tam nospiediet taustiņu Enter. Komandai ir jāatgriež True, norādot, ka drošā sāknēšana ir ieslēgta.

Liela mēroga izvietošanas gadījumos IT speciālistu izmantotajai pārvaldības programmatūrai būs jānodrošina drošas palaišanas iespējošanas pārbaude. 

Piemēram, metode, lai pārbaudītu drošās palaišanas stāvokli Microsoft Intune pārvaldītās ierīcēs, ir izveidot un izvietot Intune pielāgotu atbilstības skriptu. Intune atbilstības iestatījumi ir aprakstīti rakstā Pielāgotu atbilstības iestatījumu izmantošana Linux un Windows ierīcēm ar Microsoft Intune.  

Ja drošā palaišana nav iespējota, varat izlaist tālāk norādītās atjaunināšanas darbības, jo tās nav piemērojamas.

Kā atjauninājumi tiek izvietoti

Ir vairāki veidi, kā atlasīt ierīces drošās palaišanas sertifikāta atjauninājumiem. Detalizēta informācija par izvietošanu, tostarp iestatījumi un notikumi, tiks aplūkota tālāk šajā dokumentā. Kad ierīcē meklējat atjauninājumus, ierīcē tiek veikts iestatījums, kas norāda, ka ierīcei ir jāsāk jauno sertifikātu lietošanas process. Ieplānots uzdevums ierīcē tiek izpildīts ik pēc 12 stundām un nosaka, ka ierīcei ir paredzēti atjauninājumi. Uzdevuma darbību izklāsts ir šāds:

1. Windows UEFI CA 2023 tiek lietots datu bāzē.

2. Ja ierīces datu bāzē ir Microsoft Corporation UEFI CA 2011, uzdevums datu bāzei lieto Microsoft Option ROM UEFI CA 2023 un Microsoft UEFI CA 2023.

3. Pēc tam uzdevums pievieno Microsoft Corporation KEK 2K CA 2023.

4. Visbeidzot, ieplānotais uzdevums atjaunina Windows sāknēšanas pārvaldnieku uz to, ko parakstīja Windows UEFI CA 2023. Operētājsistēma Windows noteiks, ka pirms sāknēšanas pārvaldnieka lietošanas ir nepieciešama restartēšana. Palaišanas pārvaldnieka atjaunināšana tiks aizkavēta līdz restartēšanai notiek dabiski (piemēram, kad tiek lietoti ikmēneša atjauninājumi), un pēc tam Windows atkal mēģinās lietot palaišanas pārvaldnieka atjauninājumu.

Visas iepriekš minētās darbības ir sekmīgi jāpabeidz, pirms ieplānotais uzdevums pāriet uz nākamo darbību. Šī procesa laikā būs pieejami notikumu žurnāli un citi statusi, lai palīdzētu pārraudzīt izvietošanu. Papildinformācija par pārraudzību un notikumu žurnāliem ir sniegta zemāk.  

Drošās palaišanas sertifikātu atjaunināšana nodrošina turpmāku 2023. gada palaišanas pārvaldnieka atjauninājumu, kas ir drošāks. Noteikti palaišanas pārvaldnieka atjauninājumi būs pieejami turpmākajos laidienos.

Izvietošanas darbības 

• Sagatavošana: Inventarizācijas un testa ierīces.

• Aparātprogrammatūras apsvērumi

• Uzraudzība: pārbaudiet monitoringa darbus un bāzes līmeni savam autoparkam.

• Izvietošana: atlasiet ierīces atjauninājumiem, sākot ar mazām apakškopām un izvēršot, pamatojoties uz sekmīgiem testiem.

• Labošana: izmeklējiet un atrisiniet visas problēmas, izmantojot žurnālus un pārdevēja atbalstu.

Sagatavošana 

Inventāra aparatūra un aparātprogrammatūra. Izveidojiet reprezentatīvu ierīču paraugu, pamatojoties uz sistēmas ražotāju, sistēmas modeli, BIOS versiju/datumu, pamatplates produkta versiju utt., un testējiet šo ierīču atjauninājumus pirms plašas izvietošanas.  Šie parametri parasti ir pieejami sistēmas informācijā (MSINFO32). Izmantojiet iekļautos PowerShell komandu paraugus, lai pārbaudītu drošās palaišanas atjauninājuma statusu un uzglabātu ierīces visā organizācijā.

Drošās palaišanas inventarizācijas datu vākšanas skripta paraugs

Nokopējiet un ielīmējiet šo skripta paraugu un modificējiet pēc vajadzības savai videi: Drošas palaišanas inventarizācijas datu kolekcijas skripta paraugs.

Drošās palaišanas ticamības līmeņi

Pirmā darbība, ja ir iespējota drošā palaišana, ir pārbaudīt, vai ir gaidoši notikumi, kas nesen ir atjaunināti, vai arī pašlaik notiek drošās palaišanas sertifikātu atjaunināšanas process. Īpaši interesanti ir jaunākie notikumi 1801. un 1808. gadā. Šie notikumi ir sīkāk aprakstīti drošās palaišanas datu bāzes un DBX mainīgo atjauninājumu notikumos. Lūdzu, skatiet arī sadaļu Pārraudzība un izvietošana, lai uzzinātu, kā notikumi var parādīt gaidošo atjauninājumu stāvokli.  

Nākamais solis ir inventarizēt ierīces visā jūsu organizācijā. Apkopojiet tālāk norādīto informāciju, izmantojot PowerShell komandas, lai izveidotu reprezentatīvu paraugu. 

Aparātprogrammatūras apsvērumi

Lai izvietotu jaunos drošās palaišanas sertifikātus jūsu ierīču parkā, ierīces aparātprogrammatūrai ir jāpiedalās atjaunināšanas pabeigšanā. Lai gan Microsoft sagaida, ka lielākā daļa ierīces aparātprogrammatūras darbosies, kā paredzēts, pirms jauno sertifikātu izvietošanas ir jāveic rūpīga testēšana.

Pārbaudiet aparatūras krājumus un izveidojiet nelielu, reprezentatīvu ierīču paraugu, pamatojoties uz šādiem unikāliem kritērijiem šādi: 

• Ražotājs

• Modeļa numurs

• Aparātprogrammatūras versija

• OEM grīdlīstes versija utt.

Pirms plašas izvietošanas jūsu autoparka ierīcēs, iesakām pārbaudīt sertifikātu atjauninājumus reprezentatīvo parauga ierīcēs (kā to nosaka tādi faktori kā ražotājs, modelis, aparātprogrammatūras versija), lai pārliecinātos, ka atjauninājumi tiek veiksmīgi apstrādāti. Ieteicamie norādījumi par parauga ierīču skaitu, kas jāpārbauda katrai unikālajai kategorijai, ir 4 vai vairāk.

Tas palīdzēs veidot pārliecību par jūsu izvietošanas procesu un palīdzēs izvairīties no neparedzētas ietekmes uz plašāku autoparku. 

Dažos gadījumos drošās palaišanas sertifikātu sekmīgai atjaunināšanai var būt nepieciešams aparātprogrammatūras atjauninājums. Šādos gadījumos iesakām sazināties ar savas ierīces OEM, lai noskaidrotu, vai ir pieejama atjaunināta aparātprogrammatūra.

Operētājsistēma Windows virtualizētās vidēs

Operētājsistēmai Windows, kas darbojas virtuālajā vidē, ir divas metodes, kā pievienot jaunos sertifikātus drošās palaišanas aparātprogrammatūras mainīgajiem:  

• Virtuālās vides veidotājs (AWS, Azure, Hyper-V, VMware utt.) var nodrošināt vides atjauninājumu un iekļaut jaunos sertifikātus virtualizētajā programmaparatūrā. Tas darbosies jaunām virtualizētām ierīcēm.

• Operētājsistēmai Windows, kas ilgtermiņā darbojas virtuālajā mašīnā, atjauninājumus var lietot, izmantojot Windows tāpat kā jebkuru citu ierīci, ja virtualizētā aparātprogrammatūra atbalsta drošās palaišanas atjauninājumus.

Pārraudzība un izvietošana 

Mēs iesakām sākt ierīces uzraudzību pirms izvietošanas, lai pārliecinātos, ka monitorings darbojas pareizi un jums ir laba izpratne par autoparka stāvokli iepriekš. Uzraudzības iespējas ir aplūkotas turpmāk. 

Microsoft nodrošina vairākas metodes drošās palaišanas sertifikātu atjauninājumu izvietošanai un pārraudzībai.

Automatizēti izvietošanas palīglīdzekļi 

Microsoft nodrošina divus izvietošanas palīglīdzekļus. Šie palīglīdzekļi var būt noderīgi, lai palīdzētu ieviest jaunos sertifikātus jūsu flotē. Diagnostikas dati ir nepieciešami tikai kontrolētā līdzekļu ieviešanas palīgam.

• Kumulatīvo atjauninājumu ar ticamības kopumiem opcija Microsoft var automātiski iekļaut augstas ticamības ierīču grupas ikmēneša atjauninājumos, pamatojoties uz diagnostikas datiem, kas kopīgoti līdz šim, lai gūtu labumu sistēmām un organizācijām, kuras nevar kopīgot diagnostikas datus. Šai darbībai nav nepieciešama diagnostikas datu iespējošana.

  • Organizācijām un sistēmām, kas var kopīgot diagnostikas datus, tas nodrošina Microsoft redzamību un pārliecību, ka ierīces var sekmīgi izvietot sertifikātus. Papildinformācija par diagnostikas datu iespējošanu ir pieejama rakstā: Windows diagnostikas datu konfigurēšana jūsu organizācijā. Mēs veidojam "intervālus" katrai unikālajai ierīcei (kā to definē atribūti, kas ietver ražotāju, mātesplates versiju, aparātprogrammatūras ražotāju, aparātprogrammatūras versiju un papildu datu punktus). Katram intervālam mēs pārraugām panākumu pierādījumus vairākās ierīcēs. Kad būsim redzējuši pietiekami daudz veiksmīgu atjauninājumu un nekādu kļūmju, intervālu uzskatīsim par "augstas ticamības" līmeni un iekļausim šos datus ikmēneša kumulatīvajos atjauninājumos. Kad ikmēneša atjauninājumi tiek lietoti ierīcei augstas ticamības intervālā, Windows automātiski lieto sertifikātus UEFI drošās palaišanas mainīgajiem aparātprogrammatūrā.

  • Augstas ticamības intervāli ietver ierīces, kas pareizi apstrādā atjauninājumus. Protams, ne visas ierīces nodrošinās diagnostikas datus, un tas var ierobežot Microsoft pārliecību par ierīces spēju pareizi apstrādāt atjauninājumus.

  • Šis palīgs pēc noklusējuma ir iespējots augstas ticamības ierīcēm, un to var atspējot ar konkrētai ierīcei raksturīgu iestatījumu. Papildinformācija tiks kopīgota nākamajos Windows laidienos.

• Controlled Feature Rollout (CFR):  Piesakieties ierīcēm Microsoft pārvaldītai izvietošanai, ja ir iespējoti diagnostikas dati.

  • Controlled Feature Rollout (CFR) var izmantot ar klientu ierīcēm organizāciju parkos. Tam ir nepieciešams, lai ierīces sūtītu obligātos diagnostikas datus korporācijai Microsoft un tām būtu signalizējis, ka ierīce izvēlas atļaut CFR ierīcē. Detalizēta informācija par to, kā pieteikties, ir aprakstīta tālāk.

  • Microsoft pārvaldīs šo jauno sertifikātu atjaunināšanas procesu Windows ierīcēs, kurās ir pieejami diagnostikas dati un ierīces piedalās kontrolētu līdzekļu izvēršanā (Controlled Feature Rollout — CFR). Lai gan CFR var palīdzēt izvietot jaunos sertifikātus, organizācijas nevarēs paļauties uz CFR, lai koriģētu savas flotes - būs jāveic šajā dokumentā norādītās darbības sadaļā par izvietošanas metodēm, uz kurām neattiecas automatizētie palīglīdzekļi.

  • Ierobežojumi: Ir vairāki iemesli, kāpēc CFR var nedarboties jūsu vidē. Piemēram:

    • Diagnostikas dati nav pieejami vai diagnostikas dati nav izmantojami kā daļa no CFR izvietošanas.

    • Ierīces nedarbojas atbalstītajās Windows 11 un Windows 10 klienta versijās ar paplašinātajiem drošības atjauninājumiem (ESU).

Izvietošanas metodes, uz kurām neattiecas automatizētā palīdzība

Izvēlieties metodi, kas atbilst jūsu videi. Izvairieties no tādu metožu sajaukšanas vienā ierīcē: 

• Reģistra atslēgas: Kontrolējiet izvietošanu un pārraugiet rezultātus.
  Ir pieejamas vairākas reģistra atslēgas, lai kontrolētu sertifikātu izvietošanas darbību un pārraudzītu rezultātus. Turklāt ir divi taustiņi, lai pieteiktos un atteiktos no iepriekš aprakstītajiem izvietošanas palīglīdzekļiem. Papildinformāciju par reģistra atslēgām skatiet rakstā Reģistra atslēgu Atjauninājumi drošai palaišanai — Windows ierīces ar IT pārvaldītiem atjauninājumiem.

• grupas politikas objekti (GPO): pārvaldīt iestatījumus; pārraudzīt, izmantojot reģistru un notikumu žurnālus.
  Microsoft sniegs atbalstu drošās palaišanas atjauninājumu pārvaldībai, izmantojot grupas politika, nākamajā atjauninājumā. Ņemiet vērā, ka, tā kā grupas politika ir paredzēta iestatījumiem, ierīces statusa uzraudzība būs jāveic, izmantojot alternatīvas metodes, tostarp reģistra atslēgu un notikumu žurnāla ierakstu uzraudzību.

• WinCS (Windows konfigurācijas sistēmas) CLI: izmantojiet komandrindas rīkus domēnam pievienotiem klientiem.
  Domēna administratori var arī izmantot Windows konfigurācijas sistēmu (WinCS), kas iekļauta Windows OS atjauninājumos, lai izvietotu drošās palaišanas atjauninājumus domēnam pievienotos Windows klientos un serveros. Tas sastāv no vairākām komandrindas utilītām (gan tradicionālais izpildāmais fails, gan PowerShell modulis), lai veiktu vaicājumus un lietotu drošās palaišanas konfigurācijas lokāli datorā. Papildinformāciju skatiet šādos rakstos:

  • Windows konfigurācijas sistēmas (WinCS) API drošai palaišanai

  • Drošās palaišanas E2E automatizācijas ceļveža paraugs

• Microsoft Intune/Configuration Manager: Izvietojiet PowerShell skriptus. Konfigurācijas pakalpojumu sniedzējs (CSP) tiks nodrošināts nākotnes atjauninājumā, lai nodrošinātu izvietošanu, izmantojot Intune.

Notikumu žurnālu pārraudzība

Tiek nodrošināti divi jauni notikumi, lai palīdzētu izvietot drošās palaišanas sertifikāta atjauninājumus. Šie notikumi ir sīkāk aprakstīti drošās palaišanas datu bāzes un DBX mainīgo atjauninājumu notikumos: 

• Notikuma ID: 1801
  Šis notikums ir kļūdas notikums, kas norāda, ka ierīcē nav lietoti atjauninātie sertifikāti. Šis notikums sniedz ierīcei specifisku informāciju, tostarp ierīces atribūtus, kas palīdzēs korelēt, kuras ierīces vēl ir jāatjaunina.

• Notikuma ID: 1808
  Šis notikums ir informatīvs notikums, kas norāda, ka ierīcei ir nepieciešamie jaunie drošās palaišanas sertifikāti, kas lietoti ierīces aparātprogrammatūrā.

Izvietošanas stratēģijas 

Lai samazinātu risku, izvietojiet drošās palaišanas atjauninājumus pakāpeniski, nevis visus uzreiz. Sāciet ar nelielu ierīču apakškopu, validējiet rezultātus un pēc tam izvērsiet to papildu grupās. Iesakām sākt ar ierīču apakškopām un, iegūstot pārliecību par šiem izvietojumiem, pievienot papildu ierīču apakškopas. Lai noteiktu, kas ietilpst apakškopā, var izmantot vairākus faktorus, tostarp parauga ierīču un organizācijas struktūras testu rezultātus utt. 

Lēmums par to, kuras ierīces izvietot, ir jūsu ziņā. Šeit ir uzskaitītas dažas iespējamās stratēģijas. 

• Liels ierīču parks: sāciet, paļaujoties uz iepriekš aprakstītajiem palīglīdzekļiem visbiežāk pārvaldītajām ierīcēm. Vienlaikus koncentrējieties uz retāk lietotām ierīcēm, ko pārvalda jūsu organizācija. Testējiet nelielas parauga ierīces un, ja testēšana ir sekmīga, izvietojiet pārējās tā paša tipa ierīcēs. Ja pārbaudes rezultātā rodas problēmas, izpētiet problēmas cēloni un nosakiet novēršanas darbības. Varat arī apsvērt ierīču klases, kurām ir lielāka vērtība jūsu autoparkā, un sākt testēšanu un izvietošanu, lai nodrošinātu, ka šīm ierīcēm ir atjaunināta aizsardzība.

• Maza flote, liela daudzveidība: Ja jūsu pārvaldītajā autoparkā ir daudz mašīnu, kur atsevišķu ierīču testēšana būtu pārmērīga, apsveriet iespēju lielā mērā paļauties uz diviem iepriekš aprakstītajiem palīglīdzekļiem, īpaši ierīcēm, kas, visticamāk, būs izplatītas ierīces tirgū. Sākumā koncentrējieties uz ierīcēm, kas ir kritiski svarīgas ikdienas darbībai, testējiet un pēc tam izvietojiet. Turpiniet virzīties uz leju augstas prioritātes ierīču sarakstā, testējot un izvietojot, vienlaikus uzraugot autoparku, lai pārliecinātos, ka palīglīdzekļi palīdz ar pārējām ierīcēm.

Piezīmes 

• Pievērsiet uzmanību vecākām ierīcēm, īpaši ierīcēm, kuras ražotājs vairs neatbalsta. Lai gan aparātprogrammatūrai būtu jāveic pareizas atjaunināšanas darbības, dažām, iespējams, ne. Gadījumos, kad programmaparatūra nedarbojas pareizi un ierīce vairs netiek atbalstīta, apsveriet iespēju nomainīt ierīci, lai nodrošinātu drošu sāknēšanas aizsardzību visā autoparkā.

• Pēdējo 1–2 gadu laikā ražotajās ierīcēs, iespējams, jau ir ieviesti atjauninātie sertifikāti, bet, iespējams, sistēmai nav lietots Windows UEFI CA 2023 parakstītais palaišanas pārvaldnieks. Šī palaišanas pārvaldnieka lietošana ir kritiski svarīga izvietošanas pēdējā darbība katrai ierīcei.

• Pēc tam, kad ierīce ir atlasīta atjauninājumiem, var paiet zināms laiks, pirms atjauninājumi ir pabeigti. Aprēķiniet, ka sertifikāti tiks piemēroti 48 stundas un viena vai vairākas restartēšanas reizes.