Norādījumi par to, kā bloķēt ar Virtualization saistīto drošības atjauninājumu atriti (Virtualization-based Security — VBS)

Svarīga piezīme par SkuSiPolicy.p7b politiku

Norādījumus par atjauninātās politikas lietojiet, skatiet sadaļā Microsoft parakstītas atsaukšanas politikas (SkuSiPolicy.p7b) izvietošana. 

Šajā rakstā

• Kopsavilkums

• Ietekmes tvērums

• Pieejamās risku mazināšanas iespējas

• Risku mazināšanas risku izpratne

• .

  • Microsoft parakstītas atsaukšanas politikas izvietošana (SkuSiPolicy.p7b)

  • Ārējā sāknēšanas datu nesēja atjaunināšana

• Windows notikumu žurnāli

  • Politikas aktivizēšanas notikumi

  • Notikumu auditēšana un bloķēšana

• Politikas noņemšanas un atkopšanas procedūra

• Šajā rakstā veiktās izmaiņas

Kopsavilkums

Korporācija Microsoft ir informēta par ievainojamību operētājsistēmā Windows, kas ļauj uzbrukumu ar administratora privilēģijām aizstāt atjauninātus Windows sistēmas failus, kuriem ir vecākas versijas, atverot ievainojamību lietotājam, lai atkārtoti ieviestu ievainojamību saistībā ar virtualizācijas drošību (Virtualization-based security — VBS).  Atritinot šos nodalījumus, uzbrucējs var apiet VBS drošības līdzekļus un izdaikot datus, kas aizsargāti ar VBS. Šī problēma ir aprakstīta CVE-2024-21302 | Windows secure kernel mode elevation of privilege vulnerability

Lai novērstu šo problēmu, mēs atsauksim neaizsargātus VBS sistēmas failus, kas nav atjaunināti. Tā kā ir jābloķē liels ar VBS saistītu failu skaits, tiek izmantota alternatīva metode, lai bloķētu neatjauninatās failu versijas.

Ietekmes tvērums

Šī problēma ietekmē visas Windows ierīces, kas atbalsta VBS. Tas attiecas uz lokālajām fiziskajām ierīcēm un virtuālajām mašīnām (virtuālās mašīnas). VBS tiek atbalstīts Windows 10 Windows versijās, kā arī jaunākās versijās, Windows Server 2016 un jaunākās Windows Server versijās.

VBS stāvokli var pārbaudīt, izmantojot Microsoft sistēmas informācijas rīku (System Information — Msinfo32.exe). Šis rīks apkopo informāciju par jūsu ierīci. Pēc Msinfo32.exe ritiniet uz leju līdz virtualizācijas drošības rindai . Ja šīs rindas vērtība ir Darbojas, VBS ir iespējota un darbojas.

VBS stāvokli var arī pārbaudīt kopā ar Windows PowerShell, izmantojot Win32_DeviceGuard WMI klasi. Lai izpildītu vaicājumu PowerShell VBS stāvoklī, atveriet priviliģētu Windows PowerShell pēc tam izpildiet šādu komandu:

Pēc iepriekš minētās PowerShell komandas izpildes VBS statusam ir jābūt vienam no šiem.

Pieejamās risku mazināšanas iespējas

Visām atbalstītajām Windows 10 versijām, Windows versijām 1507 un jaunākām versijām un Windows Server 2016 un jaunākām Windows Server versijām administratori var izvietot Microsoft parakstītu atsaukšanas politiku (SkuSiPolicy.p7b). Tādējādi tiks bloķētas neizturīgas VBS sistēmas failu versijas, kuru ielāde operētājsistēmā nav atjaunināta.  

Ja SkuSiPolicy.p7b tiek lietots Windows ierīcē, politika tiks bloķēta arī ierīcē, pievienojot mainīgo UEFI aparātprogrammatūrai. Startēšanas laikā politika tiek ielādēta un Windows bloķē to nodalījumu ielādi, kas pārkāpj politiku. Ja UEFI bloķēšana tiek lietota un politika tiek noņemta vai aizstāta ar vecāku versiju, Windows sāknēšanas pārvaldnieks netiek startēts un ierīce netiks startēta. Šī palaišanas kļūme nerādīs kļūdu, un sistēma pāriet pie nākamās pieejamās palaišanas opcijas, kas var izraisīt palaišanas cilpu.

Papildu Microsoft parakstīta CI politika, kas ir iespējota pēc noklusējuma un nav nepieciešamas papildu izvietošanas darbības, kas nav saistītas ar UEFI. Šī parakstītā CI politika tiks ielādēta palaišanas laikā, un šīs politikas izpilde novērš VBS sistēmas failu atriti šīs palaišanas sesijas laikā. Atšķirībā no SkuSiPolicy.p7b, ierīce var turpināt darboties arī tad, ja atjauninājums nav instalēts. Šī politika ir iekļauta visās atbalstītās Windows 10 versijās 1507 un jaunākās versijās. SkuSkiPolicy.p7b joprojām var lietot administratori, lai nodrošinātu papildu aizsardzību atritei palaišanas sesijās.   

Windows sāknēšanas žurnāli, kas tiek izmantoti, lai pārbaudīt datora sāknēšanas darbspēju, ietver informāciju par politikas versiju, kas tiek ielādēta sāknēšanas procesa laikā. Šos žurnālus droša saglabā TPM sāknēšanas laikā, un Microsoft atstaciju pakalpojumi parsē šos žurnālus, lai pārbaudītu, vai ir ielādētas pareizās politikas versijas. Atestācijas pakalpojumi īsteno kārtulas, kas nodrošina to, ka tiek ielādēta noteikta politikas versija vai jaunāka versija; pretējā gadījumā sistēma netiks apstiprināts kā veselīgs.

Lai politikas risku mazināšana darbotos, politika ir jāatjaunina, izmantojot Windows apkalpošanas atjauninājumu, jo Windows komponentiem un politikai ir jābūt no viena laidiena. Ja ierīcē tiek kopēts politikas atvieglojumus, ierīci nevar sākt, ja tiek lietota nepareiza risku mazināšanas versija vai ja risku mazināšana var nedarboties, kā paredzēts. Papildus ierīcei ir jāpiemēro KB5025885 , kas aprakstīti šajā rakstā.

Mērvienību Windows 11 versijā 24H2, Windows Server 2022 un Windows Server 23H2 dinamiskā drošības kontroles sakne pievieno papildu riskus atrites ievainojamībai. Šis risku mazināšanas līdzeklis pēc noklusējuma ir iespējots. Šajās sistēmās ar VBS aizsargātās šifrēšanas atslēgas ir saistītas ar noklusējuma iespējoto sāknēšanas sesiju VBS CI politiku, un tās tiek noņemtas tikai tad, ja tiek ieviesta atbilstošā CI politikas versija. Lai iespējotu lietotāja iniciētus atriti, ir pievienots pagarinājuma periods, lai iespējotu drošo Windows atjaunināšanas pakotnes 1 versijas atriti, nezaudējot iespēju noņemt VSM šablona atslēgu. Taču lietotāja iniciēta atrite ir iespējama tikai tad, ja netiek lietots SkuSiPolicy.p7b. VBS CI politika ieviesīs, ka visas sāknēšanas nodalījumu programmas nav atsauktas. Tas nozīmē— ja uzbrukums ar administratora privilēģijām atritinās neaizsargātās sāknēšanas binaries, sistēma netiks startēta. Ja CI politika un binaji ir pārnesti atpakaļ uz vecāku versiju, ar VSM aizsargātie dati netiks atritināti.

Risku mazināšanas risku izpratne

Pirms Microsoft parakstītas atsaukšanas politikas lietošanas ir jāzina par iespējamiem riskiem. Lūdzu, pārskatiet šos riskus un veiciet nepieciešamos atjauninājumus atkopšanas multivides failiem, pirms piemērot riskus.

Piezīme Šie riski attiecas tikai uz SkuSiPolicy.p7b politiku, bet neattiecas uz noklusējuma aizsardzību.

• UEFI Lock un atjauninājumu atinstalēšana. Pēc UEFI bloķēšanas lietošanas ierīcē ar Microsoft parakstītu atsaukšanas politiku ierīci nevar atjaunot (atinstalējot Windows atjauninājumus, izmantojot atjaunošanas punktu vai ar citiem līdzekļiem), ja turpināt lietot drošo sāknēšanu. Pat pēc diska pārformatēšanas UEFI bloķēšana nenoņems risku mazināšanas slēdzi, ja tas jau ir lietots. Tas nozīmē: ja mēģināsit atjaunot Windows OS agrākā stāvoklī, kurā nav lietota risku mazināšanas iespēja, ierīce netiks startēta, netiks parādīts kļūdas ziņojums un UEFI pāriet pie nākamās pieejamās palaišanas opcijas. Tas var izraisīt palaišanas cilpu. Lai noņemtu UEFI bloķēšanu, ir jāatspējo drošā palaišana. Lūdzu, ņemiet vērā visas iespējamās sekas un rūpīgi pārbaudiet, pirms atsaukumus, kas izklāstīti šajā rakstā, varat izmantot savā ierīcē.

• Ārējā sāknēšanas datu nesējs; Pēc UEFI bloķēšanas samazināšanas lietošanas ierīcē ārējā sāknēšanas datu nesējs ir jāatjaunina ar ierīcē instalēto jaunāko Windows atjauninājumu. Ja ārējais sāknēšanas datu nesējs netiek atjaunināts uz to pašu Windows atjaunināšanas versiju, ierīce, iespējams, netiks palaista no šī datu nesēja. Skatiet norādījumus sadaļā Ārējā sāknēšanas multivides atjaunināšana , pirms sākat lietot riskus.

• Windows atkopšanas vide. Ierīcē instalētā Windows atkopšanas vide (WinRE) ir jāatjaunina ar jaunāko Windows drošo OS dinamisko atjauninājumu, kas izlaists 2025. gada 8. jūlijā, ierīcē pirms ierīcē tiek lietota programma SkuSipolicy.p7b. Izlaižot šo darbību, WinRE var neļaut palaist datora atiestatīšanas līdzekli.  Papildinformāciju skatiet rakstā Atjaunināšanas pakotnes pievienošana sistēmai Windows RE.

• Pirmssāknēšanas izpildes vide (PXE) palaišana. Ja ierīcē tiek izvietots risku mazināšanas pakalpojums un mēģināt izmantot PXE sāknēšanu, ierīce netiek startēta, ja vien PXE servera sāknēšanas attēlam netiek lietots arī jaunākais Windows atjauninājums. Nav ieteicams izvietot tīkla sāknēšanas avotu riskus, ja vien PXE sāknēšanas serveris nav atjaunināts uz jaunāko Windows atjauninājumu, kas izlaists 2025. gada janvārī vai pēc tā, tostarp uz PXE sāknēšanas pārvaldnieku.  

.

Lai novērstu šajā rakstā minētās problēmas, varat izvietot Microsoft parakstītu atsaukšanas politiku (SkuSiPolicy.p7b). Šo risku mazināšanas pasākumu Windows 10, 1507 un jaunāku Windows versiju un Windows Server 2016.

Piezīme Ja izmantojat BitLocker, pārliecinieties, vai jūsu BitLocker atkopšanas atslēga ir dublēta. Administratora komandu uzvednē varat izpildīt šādu komandu un atzīmēt 48 ciparu skaitlisko paroli:

Windows notikumu žurnāli

Windows reģistrē notikumus, kad tiek ielādētas koda integritātes politikas, tostarp SkuSiPolicy.p7b, un kad fails tiek bloķēts no ielādes politikas ieviešanas dēļ. Šos notikumus var izmantot, lai pārliecinātos, vai ir pielietota risku mazināšana.

Kodu integritātes žurnāli ir pieejami operētājsistēmas Windows Notikumu skatītājs sadaļā Lietojumprogrammu un pakalpojumu žurnāli >Microsoft > Windows > CodeIntegrity > Darbības > lietojumprogrammu un pakalpojumu žurnāli >pakalpojumi reģistrē > Microsoft > Windows > AppLocker > MSI un Skripts.

Papildinformāciju par koda integritātes notikumiem skatiet Windows Defender lietojumprogrammu vadības darbības rokasgrāmatā.

Politikas noņemšanas un atkopšanas procedūra

Ja pēc risku mazināšanas lietošanas rodas problēmas, varat veikt tālāk norādītās darbības, lai noņemtu risku.

1. Apturēt BitLocker, ja tas ir iespējots. Priviliģētā komandu uzvednes logā palaidiet šādu komandu:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Izslēdziet drošo sāknēšanu no UEFI BIOS izvēlnes.
   
   Drošās sāknēšanas izslēgšanas procedūra atšķiras ierīču ražotājiem un modeļiem. Lai palīdzētu noteikt, kur izslēgt drošo sāknēšanas ierīci, skatiet ierīces ražotāja dokumentāciju. Papildinformāciju skatiet sadaļā Drošās sāknēšanas atspējošana.

3. Noņemiet politiku SkuSiPolicy.p7b.

   1. Startējiet Windows kā parasti un pēc tam pierakstieties.
      
      Politika SkuSiPolicy.p7b ir jānoņem no šīs atrašanās vietas:

      • <EFI System Partition>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Lai iztīrītu politiku no šīm atrašanās vietām, Windows PowerShell priviliģētā sesijā izpildiet šādas komandas:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Ieslēgt drošo sāknēšanu no BIOS.
   
   Sazinieties ar ierīces ražotāja dokumentāciju, lai atrastu, kur ieslēgt drošo sāknēšanas ierīci.
   
   Ja esat izslēdzis drošo sāknēšanu 1. darbībā, un jūsu disku aizsargā BitLocker, aizapturiet BitLocker aizsardzību un pēc tam ieslēdziet drošo sāknēšanu no UEFI BIOS izvēlnes.

5. Ieslēdziet BitLocker. Priviliģētā komandu uzvednes logā palaidiet šādu komandu:

   Manager-bde -protectors -enable c:

6. Restartējiet jūsu ierīci.