Richtlijnen voor het blokkeren van het terugdraaien van beveiligingsupdates op basis van virtualisatie (VBS)

In dit artikel

• Samenvatting

• Bereik van impact

• Beschikbare oplossingen

• Inzicht in risicobeperking

• Richtlijnen voor implementatie van risicobeperking

  • Een controlemodusbeleid implementeren

  • Een door Microsoft ondertekend intrekkingsbeleid implementeren (SKUSIPolicy.p7b)

  • Externe opstartmedia bijwerken

• Windows-gebeurtenislogboeken

  • Activeringsevenementen van beleid

  • Gebeurtenissen controleren en blokkeren

• Procedure voor het verwijderen en herstellen van beleid

Samenvatting

Microsoft is op de hoogte gesteld van een beveiligingsprobleem in Windows waardoor een aanvaller met beheerdersbevoegdheden bijgewerkte Windows-systeembestanden met oudere versies kan vervangen, waardoor een aanvaller beveiligingsproblemen opnieuw kan introduceren in vbs (virtualization-based security).  Terugdraaien van deze binaire bestanden kan een aanvaller in staat stellen VBS-beveiligingsfuncties te omzeilen en gegevens te exfiltreren die worden beveiligd door VBS. Dit probleem wordt beschreven in CVE-2024-21302 | Beveiligingsprobleem met verhoogde bevoegdheden in windows-kernelmodus.

Om dit probleem op te lossen, worden kwetsbare VBS-systeembestanden die niet zijn bijgewerkt, ingetrokken. Vanwege het grote aantal VBS-gerelateerde bestanden dat moet worden geblokkeerd, gebruiken we een alternatieve benadering om bestandsversies te blokkeren die niet zijn bijgewerkt.

Bereik van impact

Dit probleem ondervindt op alle Windows-apparaten die VBS ondersteunen. Dit omvat on-premises fysieke apparaten en virtuele machines (VM's). VBS wordt ondersteund in Windows 10 en latere versies van Windows, en Windows Server 2016 en latere versies van Windows Server.

De VBS-status kan worden gecontroleerd via het hulpprogramma Microsoft System Information (Msinfo32.exe). Dit hulpprogramma verzamelt informatie over uw apparaat. Nadat u Msinfo32.exe hebt gestart, schuift u omlaag naar de rij Beveiliging op basis van virtualisatie . Als de waarde van deze rij Actief is, wordt VBS ingeschakeld en uitgevoerd.

De VBS-status kan ook worden gecontroleerd met Windows PowerShell met behulp van de WMI-klasse Win32_DeviceGuard. Als u een query wilt uitvoeren op de VBS-status vanuit PowerShell, opent u een sessie met verhoogde Windows PowerShell en voert u de volgende opdracht uit:

Nadat u de bovenstaande PowerShell-opdracht hebt uitgevoerd, moet de VBS-status een van de volgende zijn.

Beschikbare oplossingen

Voor alle ondersteunde versies van Windows 10, versie 1507 en latere Windows-versies en Windows Server 2016 en latere versies van Windows Server kunnen beheerders een door Microsoft ondertekend intrekkingsbeleid (SkuSiPolicy.p7b) implementeren. Hierdoor wordt voorkomen dat kwetsbare versies van VBS-systeembestanden die niet worden bijgewerkt, worden geladen door het besturingssysteem.

Wanneer dit beleid wordt toegepast op een Windows-apparaat, wordt het beleid ook vergrendeld op het apparaat door een variabele toe te voegen aan de UEFI-firmware. Tijdens het opstarten wordt het beleid geladen en blokkeert Windows het laden van binaire bestanden die het beleid schenden. Als de UEFI-vergrendeling wordt toegepast en het beleid wordt verwijderd of vervangen door een oudere versie, wordt windows opstartbeheer niet gestart en wordt het apparaat niet gestart. Deze opstartfout geeft geen fout weer en het systeem gaat door naar de volgende beschikbare opstartoptie die kan leiden tot een opstartlus.

De beleidsbeperking werkt alleen als het beleid wordt bijgewerkt met behulp van de Windows-onderhoudsupdate, omdat de onderdelen van Windows en het beleid afkomstig zijn van dezelfde release. Als de beleidsbeperking naar het apparaat wordt gekopieerd, wordt het apparaat mogelijk niet gestart als de verkeerde versie van de beperking wordt toegepast of werkt de beperking mogelijk niet zoals verwacht. Daarnaast moeten risicobeperkingen die worden beschreven in KB5025885 worden toegepast op uw apparaat.

Inzicht in risicobeperking

U moet op de hoogte zijn van mogelijke risico's voordat u het door Microsoft ondertekende intrekkingsbeleid toepast. Bekijk deze risico's en breng de benodigde updates voor herstelmedia door voordat u de beperking toepast.

• Integriteit van gebruikersmoduscode (UMCI). Het door Microsoft ondertekende intrekkingsbeleid maakt code-integriteit van de gebruikersmodus mogelijk, zodat regels in het beleid worden toegepast op binaire bestanden van de gebruikersmodus. UMCI schakelt ook standaard dynamische codebeveiliging in. Het afdwingen van deze functies kan leiden tot compatibiliteitsproblemen met toepassingen en scripts, waardoor ze mogelijk niet kunnen worden uitgevoerd en de prestaties van invloed kunnen zijn op de opstarttijd. Voordat u de beperking implementeert, volgt u de instructies voor het implementeren van controlemodusbeleid om te testen op mogelijke problemen.

• UEFI-updates vergrendelen en verwijderen. Nadat u de UEFI-vergrendeling hebt toegepast met het door Microsoft ondertekende intrekkingsbeleid op een apparaat, kan het apparaat niet worden teruggedraaid (door Windows-updates te verwijderen, door een herstelpunt te gebruiken of op een andere manier) als u Beveiligd opstarten blijft toepassen. Zelfs als u de schijf opnieuw formatteert, wordt de UEFI-vergrendeling van de beperking niet verwijderd als deze al is toegepast. Dit betekent dat als u probeert het Windows-besturingssysteem terug te zetten naar een eerdere status die niet de toegepaste beperking heeft, het apparaat niet wordt gestart, er geen foutbericht wordt weergegeven en UEFI doorgaat met de volgende beschikbare opstartoptie. Dit kan leiden tot een opstartlus. U moet Beveiligd opstarten uitschakelen om de UEFI-vergrendeling te verwijderen. Houd rekening met alle mogelijke gevolgen en test grondig voordat u de intrekkingen die in dit artikel worden beschreven op uw apparaat toepast.

• Externe opstartmedia. Nadat de UEFI-vergrendelingsbeperkingen zijn toegepast op een apparaat, moeten externe opstartmedia worden bijgewerkt met de meest recente Windows-updates die op het apparaat zijn geïnstalleerd en met het door Microsoft ondertekende intrekkingsbeleid (SkuSiPolicy.p7b). Als externe opstartmedia niet zijn bijgewerkt, wordt het apparaat mogelijk niet opgestart vanaf dat medium. Raadpleeg de instructies in de sectie Externe opstartmedia bijwerken voordat u de oplossingen toepast.
  
  Opstartmedia die zijn bijgewerkt met het door Microsoft ondertekende intrekkingsbeleid, mogen alleen worden gebruikt voor het opstarten van apparaten waarop de beperking al is toegepast.  Als deze wordt gebruikt met apparaten zonder de beperking, wordt de UEFI-vergrendeling toegepast tijdens het opstarten vanaf de opstartmedia. Volgende start vanaf schijf mislukt, tenzij het apparaat wordt bijgewerkt met de beperking of de UEFI-vergrendeling wordt verwijderd.

• Windows-herstelomgeving. De Windows Recovery Environment (WinRE) op het apparaat moet worden bijgewerkt met de meest recente Windows-updates die op het apparaat zijn geïnstalleerd voordat de SkuSipolicy.p7b op het apparaat wordt toegepast. Als u deze stap weglaat, kan WinRE de functie Pc opnieuw instellen mogelijk niet uitvoeren.  Zie Een updatepakket toevoegen aan Windows RE voor meer informatie.

• PxE(Preboot Execution Environment) opstarten. Als de beperking is geïmplementeerd op een apparaat en u PXE-opstartbewerking probeert te gebruiken, wordt het apparaat niet gestart, tenzij de risicobeperkingen ook worden toegepast op de opstartbronnen van het netwerk (hoofdmap waar bootmgfw.efi aanwezig is). Als een apparaat wordt gestart vanuit een netwerkstartbron waarop de beperking is toegepast, is de UEFI-vergrendeling van toepassing op het apparaat en is dit van invloed op de volgende start. We raden u niet aan om oplossingen te implementeren voor netwerkstartbronnen, tenzij op alle apparaten in uw omgeving de risicobeperkingen zijn geïmplementeerd.  

Richtlijnen voor implementatie van risicobeperking

Als u de problemen wilt oplossen die in dit artikel worden beschreven, kunt u een door Microsoft ondertekend intrekkingsbeleid (SkuSiPolicy.p7b) implementeren. Deze beperking wordt alleen ondersteund op Windows 10, versie 1507 en latere Windows-versies en Windows Server 2016. Voordat u het door Microsoft ondertekende intrekkingsbeleid (SkuSiPolicy.p7b) implementeert, moet u testen op compatibiliteitsproblemen met behulp van een controlemodusbeleid.

Opmerking Als u BitLocker gebruikt, controleert u of er een back-up van uw BitLocker-herstelsleutel is gemaakt. U kunt de volgende opdracht uitvoeren vanaf een administrator-opdrachtprompt en het numerieke wachtwoord van 48 cijfers noteren:

Windows-gebeurtenislogboeken

Windows registreert gebeurtenissen wanneer beleidsregels voor code-integriteit, waaronder SkuSiPolicy.p7b, worden geladen en wanneer het laden van een bestand wordt geblokkeerd vanwege het afdwingen van beleid. U kunt deze gebeurtenissen gebruiken om te controleren of de beperking is toegepast.

Logboeken voor code-integriteit zijn beschikbaar in de Windows-Logboeken onder Toepassings- en serviceslogboeken > Microsoft > Windows > CodeIntegrity > Operational > Application and Services-logboeken > Services-logboeken > Microsoft > Windows > AppLocker > MSI en Script.

Zie de operationele handleiding voor Windows Defender Application Control voor meer informatie over code-integriteitsevenementen.

Procedure voor verwijderen en herstellen van beleid

Als er iets misgaat na het toepassen van de beperking, kunt u de volgende stappen gebruiken om de beperking te verwijderen:

1. Onderbreekt BitLocker als dit is ingeschakeld. Voer de volgende opdracht uit vanuit een opdrachtpromptvenster met verhoogde bevoegdheid:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Schakel Beveiligd opstarten uit in het UEFI BIOS-menu.
   
   De procedure voor het uitschakelen van Beveiligd opstarten verschilt per apparaatfabrikant en model. Raadpleeg de documentatie van de fabrikant van uw apparaat voor hulp bij het uitschakelen van de locatie waar u Beveiligd opstarten kunt uitschakelen. Meer informatie vindt u in Beveiligd opstarten uitschakelen.

3. Verwijder het beleid SkuSiPolicy.p7b.

   1. Start Windows normaal en meld u vervolgens aan.
      
      Het beleid SkuSiPolicy.p7b moet worden verwijderd van de volgende locatie:

      • <EFI-systeempartitie>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Voer het volgende script uit vanuit een sessie met verhoogde Windows PowerShell om beleid van deze locaties op te schonen:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem). AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Schakel Beveiligd opstarten vanaf BIOS in.
   
   Raadpleeg de documentatie van de fabrikant van uw apparaat om te zien waar u Beveiligd opstarten kunt inschakelen.
   
   Als u Beveiligd opstarten hebt uitgeschakeld in stap 1 en uw station wordt beveiligd door BitLocker, onderbreekt u de BitLocker-beveiliging en schakelt u Beveiligd opstarten in het UEFI BIOS-menu in.

5. Schakel BitLocker in. Voer de volgende opdracht uit vanuit een opdrachtpromptvenster met verhoogde bevoegdheid:

   Manager-bde -protectors -enable c:

6. Start uw apparaat opnieuw op.