Richtlijnen voor het blokkeren van het terugdraaien van beveiligingsupdates op basis van virtualisatie (VBS)

Belangrijke opmerking over het beleid SkuSiPolicy.p7b

Zie de sectie Een door Microsoft ondertekend intrekkingsbeleid implementeren (SkuSiPolicy.p7b) voor instructies voor het toepassen van het bijgewerkte beleid. 

In dit artikel

• Samenvatting

• Bereik van impact

• Beschikbare oplossingen

• Inzicht in risicobeperking

• Richtlijnen voor implementatie van risicobeperking

  • Een door Microsoft ondertekend intrekkingsbeleid implementeren (SkuSiPolicy.p7b)

  • Externe opstartmedia bijwerken

• Windows-gebeurtenislogboeken

  • Activeringsevenementen van beleid

  • Gebeurtenissen controleren en blokkeren

• Procedure voor het verwijderen en herstellen van beleid

• Wijzigingen in dit artikel

Samenvatting

Microsoft is op de hoogte gesteld van een beveiligingsprobleem in Windows waardoor een aanvaller met beheerdersbevoegdheden bijgewerkte Windows-systeembestanden met oudere versies kan vervangen, waardoor een aanvaller beveiligingsproblemen opnieuw kan introduceren in vbs (virtualization-based security).  Terugdraaien van deze binaire bestanden kan een aanvaller in staat stellen VBS-beveiligingsfuncties te omzeilen en gegevens te exfiltreren die worden beveiligd door VBS. Dit probleem wordt beschreven in CVE-2024-21302 | Beveiligingsprobleem met verhoogde bevoegdheden in windows-kernelmodus.

Om dit probleem op te lossen, worden kwetsbare VBS-systeembestanden die niet zijn bijgewerkt, ingetrokken. Vanwege het grote aantal VBS-gerelateerde bestanden dat moet worden geblokkeerd, gebruiken we een alternatieve benadering om bestandsversies te blokkeren die niet zijn bijgewerkt.

Bereik van impact

Dit probleem ondervindt op alle Windows-apparaten die VBS ondersteunen. Dit omvat on-premises fysieke apparaten en virtuele machines (VM's). VBS wordt ondersteund in Windows 10 en latere Versies van Windows, en Windows Server 2016 en latere Windows Server versies.

De VBS-status kan worden gecontroleerd via het hulpprogramma Microsoft System Information (Msinfo32.exe). Dit hulpprogramma verzamelt informatie over uw apparaat. Nadat u Msinfo32.exe hebt gestart, schuift u omlaag naar de rij Beveiliging op basis van virtualisatie . Als de waarde van deze rij Actief is, wordt VBS ingeschakeld en uitgevoerd.

De VBS-status kan ook worden gecontroleerd met Windows PowerShell met behulp van de WMI-klasse Win32_DeviceGuard. Als u een query wilt uitvoeren op de VBS-status vanuit PowerShell, opent u een sessie met verhoogde Windows PowerShell en voert u de volgende opdracht uit:

Nadat u de bovenstaande PowerShell-opdracht hebt uitgevoerd, moet de VBS-status een van de volgende zijn.

Beschikbare oplossingen

Voor alle ondersteunde versies van Windows 10, versie 1507 en latere Windows-versies en Windows Server 2016 en latere versies Windows Server kunnen beheerders een door Microsoft ondertekend intrekkingsbeleid (SkuSiPolicy.p7b) implementeren. Hierdoor wordt voorkomen dat kwetsbare versies van VBS-systeembestanden die niet worden bijgewerkt, worden geladen door het besturingssysteem.  

Wanneer de SkuSiPolicy.p7b wordt toegepast op een Windows-apparaat, wordt het beleid ook vergrendeld voor het apparaat door een variabele toe te voegen aan de UEFI-firmware. Tijdens het opstarten wordt het beleid geladen en blokkeert Windows het laden van binaire bestanden die het beleid schenden. Als de UEFI-vergrendeling wordt toegepast en het beleid wordt verwijderd of vervangen door een oudere versie, wordt windows opstartbeheer niet gestart en wordt het apparaat niet gestart. Deze opstartfout geeft geen fout weer en het systeem gaat door naar de volgende beschikbare opstartoptie die kan leiden tot een opstartlus.

Er is een extra door Microsoft ondertekend CI-beleid toegevoegd dat standaard is ingeschakeld en geen extra implementatiestappen vereist, dat niet is gebonden aan UEFI. Dit ondertekende CI-beleid wordt tijdens het opstarten geladen en het afdwingen van dit beleid voorkomt het terugdraaien van VBS-systeembestanden tijdens die opstartsessie. In tegenstelling tot SkuSiPolicy.p7b kan een apparaat blijven opstarten als de update niet is geïnstalleerd. Dit beleid is opgenomen in alle ondersteunde versies van Windows 10, versie 1507 en hoger. De SkuSkiPolicy.p7b kan nog steeds worden toegepast door beheerders om extra beveiliging te bieden voor terugdraaien tijdens opstartsessies.   

Windows Measured Boot-logboeken die worden gebruikt om de opstartstatus van de pc te bevestigen, bevatten informatie over de beleidsversie die tijdens het opstartproces wordt geladen. Deze logboeken worden tijdens het opstarten veilig onderhouden door de TPM en de Microsoft Attestation-services parseren deze logboeken om te controleren of de juiste beleidsversies worden geladen. De attestation-services dwingen regels af die ervoor zorgen dat een specifieke beleidsversie of hoger wordt geladen; Anders wordt het systeem niet als gezond getest.

De beleidsbeperking werkt alleen als het beleid wordt bijgewerkt met behulp van de Windows-onderhoudsupdate, omdat de onderdelen van Windows en het beleid afkomstig zijn van dezelfde release. Als de beleidsbeperking naar het apparaat wordt gekopieerd, wordt het apparaat mogelijk niet gestart als de verkeerde versie van de beperking wordt toegepast of werkt de beperking mogelijk niet zoals verwacht. Daarnaast moeten risicobeperkingen die worden beschreven in KB5025885 worden toegepast op uw apparaat.

Op Windows 11 versie 24H2, Windows Server 2022 en Windows Server 23H2 voegt Dynamic Root of Trust for Measurement (DRTM) een extra beperking toe voor het terugdraaien van beveiligingsproblemen. Deze beperking is standaard ingeschakeld. Op deze systemen zijn de met VBS beveiligde versleutelingssleutels gebonden aan het standaard ingeschakelde VBS-CI-beleid voor opstartsessies en worden ze alleen uitgeschakeld als de overeenkomende VERSIE van het CI-beleid wordt afgedwongen. Om door de gebruiker geïnitieerde terugdraaiacties in te schakelen, is een respijtperiode toegevoegd om veilig terugdraaien van 1 versie van het Windows-updatepakket in te schakelen zonder de mogelijkheid te verliezen om de VSM-hoofdsleutel ongedaan te maken. De door de gebruiker geïnitieerde terugdraaiactie is echter alleen mogelijk als de SkuSiPolicy.p7b niet wordt toegepast. Het VBS CI-beleid dwingt af dat niet alle binaire opstartbestanden zijn teruggedraaid naar ingetrokken versies. Dit betekent dat als een aanvaller met beheerdersbevoegdheden kwetsbare binaire opstartbestanden terugdraait, het systeem niet wordt gestart. Als het CI-beleid en binaire bestanden beide worden teruggedraaid naar een eerdere versie, worden de met VSM beveiligde gegevens niet ongedaan gemaakt.

Inzicht in risicobeperking

U moet op de hoogte zijn van mogelijke risico's voordat u het door Microsoft ondertekende intrekkingsbeleid toepast. Bekijk deze risico's en breng de benodigde updates voor herstelmedia door voordat u de beperking toepast.

Opmerking Deze risico's zijn alleen van toepassing op het beleid SkuSiPolicy.p7b en niet op standaard ingeschakelde beveiligingen.

• UEFI-updates vergrendelen en verwijderen. Nadat u de UEFI-vergrendeling hebt toegepast met het door Microsoft ondertekende intrekkingsbeleid op een apparaat, kan het apparaat niet worden teruggedraaid (door Windows-updates te verwijderen, door een herstelpunt te gebruiken of op een andere manier) als u Beveiligd opstarten blijft toepassen. Zelfs als u de schijf opnieuw formatteert, wordt de UEFI-vergrendeling van de beperking niet verwijderd als deze al is toegepast. Dit betekent dat als u probeert het Windows-besturingssysteem terug te zetten naar een eerdere status die niet de toegepaste beperking heeft, het apparaat niet wordt gestart, er geen foutbericht wordt weergegeven en UEFI doorgaat met de volgende beschikbare opstartoptie. Dit kan leiden tot een opstartlus. U moet Beveiligd opstarten uitschakelen om de UEFI-vergrendeling te verwijderen. Houd rekening met alle mogelijke gevolgen en test grondig voordat u de intrekkingen die in dit artikel worden beschreven op uw apparaat toepast.

• Externe opstartmedia. Nadat de UEFI-vergrendelingsbeperkingen zijn toegepast op een apparaat, moeten externe opstartmedia worden bijgewerkt met de meest recente Windows-update die op het apparaat is geïnstalleerd. Als externe opstartmedia niet zijn bijgewerkt naar dezelfde Windows-updateversie, wordt het apparaat mogelijk niet vanaf die media opgestart. Raadpleeg de instructies in de sectie Externe opstartmedia bijwerken voordat u de oplossingen toepast.

• Windows-herstelomgeving. De Windows Recovery Environment (WinRE) op het apparaat moet worden bijgewerkt met de meest recente dynamische windows-besturingssysteemupdate die is uitgebracht op 8 juli 2025 op het apparaat voordat SkuSipolicy.p7b op het apparaat wordt toegepast. Als u deze stap weglaat, kan WinRE de functie Pc opnieuw instellen mogelijk niet uitvoeren.  Zie Een updatepakket toevoegen aan Windows RE voor meer informatie.

• Pxe-opstartomgeving (Pre-boot Execution Environment). Als de beperking is geïmplementeerd op een apparaat en u pxe-opstart probeert te gebruiken, wordt het apparaat niet gestart, tenzij de meest recente Windows-update ook wordt toegepast op de opstartinstallatiekopie van de PXE-server. We raden u aan geen risicobeperkingen te implementeren voor netwerkopstartbronnen, tenzij de PXE-opstartserver is bijgewerkt naar de nieuwste Windows-update die op of na januari 2025 is uitgebracht, inclusief de PXE-opstartmanager.  

Richtlijnen voor implementatie van risicobeperking

Als u de problemen wilt oplossen die in dit artikel worden beschreven, kunt u een door Microsoft ondertekend intrekkingsbeleid (SkuSiPolicy.p7b) implementeren. Deze beperking wordt alleen ondersteund op Windows 10, versie 1507 en latere Windows-versies en Windows Server 2016.

Opmerking Als u BitLocker gebruikt, controleert u of er een back-up van uw BitLocker-herstelsleutel is gemaakt. U kunt de volgende opdracht uitvoeren vanaf een administrator-opdrachtprompt en het numerieke wachtwoord van 48 cijfers noteren:

Windows-gebeurtenislogboeken

Windows registreert gebeurtenissen wanneer beleidsregels voor code-integriteit, waaronder SkuSiPolicy.p7b, worden geladen en wanneer het laden van een bestand wordt geblokkeerd vanwege het afdwingen van beleid. U kunt deze gebeurtenissen gebruiken om te controleren of de beperking is toegepast.

Logboeken voor code-integriteit zijn beschikbaar in de Windows-Logboeken onder Toepassings- en serviceslogboeken > Microsoft > Windows > CodeIntegrity > Operational > Application and Services-logboeken > Services-logboeken > Microsoft > Windows > AppLocker > MSI en Script.

Zie de operationele handleiding voor Windows Defender Application Control voor meer informatie over code-integriteitsevenementen.

Procedure voor verwijderen en herstellen van beleid

Als er iets misgaat na het toepassen van de beperking, kunt u de volgende stappen gebruiken om de beperking te verwijderen:

1. Onderbreekt BitLocker als dit is ingeschakeld. Voer de volgende opdracht uit vanuit een opdrachtpromptvenster met verhoogde bevoegdheid:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Schakel Beveiligd opstarten uit in het UEFI BIOS-menu.
   
   De procedure voor het uitschakelen van Beveiligd opstarten verschilt per apparaatfabrikant en model. Raadpleeg de documentatie van de fabrikant van uw apparaat voor hulp bij het uitschakelen van de locatie waar u Beveiligd opstarten kunt uitschakelen. Meer informatie vindt u in Beveiligd opstarten uitschakelen.

3. Verwijder het beleid SkuSiPolicy.p7b.

   1. Start Windows normaal en meld u vervolgens aan.
      
      Het beleid SkuSiPolicy.p7b moet worden verwijderd van de volgende locatie:

      • <EFI-systeempartitie>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Voer de volgende opdrachten uit vanuit een sessie met verhoogde Windows PowerShell om beleid van deze locaties op te schonen:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Schakel Beveiligd opstarten vanaf BIOS in.
   
   Raadpleeg de documentatie van de fabrikant van uw apparaat om te zien waar u Beveiligd opstarten kunt inschakelen.
   
   Als u Beveiligd opstarten hebt uitgeschakeld in stap 1 en uw station wordt beveiligd door BitLocker, onderbreekt u de BitLocker-beveiliging en schakelt u Beveiligd opstarten in het UEFI BIOS-menu in.

5. Schakel BitLocker in. Voer de volgende opdracht uit vanuit een opdrachtpromptvenster met verhoogde bevoegdheid:

   Manager-bde -protectors -enable c:

6. Start uw apparaat opnieuw op.