Instrucțiuni pentru blocarea revenirii actualizărilor de securitate bazate pe virtualizare (VBS)

Notă importantă despre politica SkuSiPolicy.p7b

Pentru instrucțiuni de aplicare a politicii actualizate, consultați secțiunea Implementarea unei politici de revocare semnate de Microsoft (SkuSiPolicy.p7b). 

În acest articol

• Rezumat

• Domeniul de aplicare al impactului

• Atenuări disponibile

• Înțelegerea riscurilor de atenuare

• Îndrumări pentru implementarea atenuării

  • Implementarea unei politici privind modul de auditare

  • Implementarea unei politici de revocare semnate de Microsoft (SkuSiPolicy.p7b)

  • Actualizarea suportului de boot extern

• Jurnale de evenimente Windows

  • Evenimente de activare a politicii

  • Auditarea și blocarea evenimentelor

• Eliminarea politicilor și procedura de recuperare

• Modificări aduse acestui articol

Rezumat

Microsoft a luat cunoștință de o vulnerabilitate din Windows care îi permite unui atacator cu privilegii de administrator să înlocuiască fișierele de sistem Windows actualizate care au versiuni mai vechi, deschizând ușa unui atacator pentru a reintroduce vulnerabilitățile la securitatea bazată pe virtualizare (VBS).  Revenirea acestor fișiere binare poate permite unui atacator să eludeze caracteristicile de securitate VBS și să exfilteze date care sunt protejate de VBS. Această problemă este descrisă în CVE-2024-21302 | Modul kernel securizat Windows Sporirea vulnerabilității privilegiilor.

Pentru a rezolva această problemă, vom revoca fișierele de sistem VBS vulnerabile care nu sunt actualizate. Din cauza numărului mare de fișiere legate de VBS care trebuie blocate, utilizăm o abordare alternativă pentru a bloca versiunile de fișiere care nu sunt actualizate.

Domeniul de aplicare al impactului

Toate dispozitivele Windows care acceptă VBS sunt afectate de această problemă. Printre acestea se numără dispozitivele fizice și mașinile virtuale locale . VBS este acceptat în versiunile Windows 10 și mai recente de Windows și Windows Server 2016 și versiunile mai recente Windows Server.

Starea VBS poate fi verificată prin instrumentul Microsoft System Information (Msinfo32.exe). Acest instrument colectează informații despre dispozitivul dvs. După începerea Msinfo32.exe, defilați în jos la rândul de securitate bazat pe virtualizare . Dacă valoarea acestui rând este În rulare, VBS este activat și rulează.

Starea VBS poate fi verificată și cu Windows PowerShell utilizând clasa WMI Win32_DeviceGuard. Pentru a interoga starea VBS din PowerShell, deschideți o sesiune Windows PowerShell cu drepturi sporite, apoi rulați următoarea comandă:

După ce rulați comanda PowerShell de mai sus, starea VBS ar trebui să fie una dintre următoarele.

Atenuări disponibile

Pentru toate versiunile acceptate de Windows 10, versiunea 1507 și versiunile mai recente de Windows, Windows Server 2016 și versiunile mai recente Windows Server, administratorii pot implementa o politică de revocare semnată de Microsoft (SkuSiPolicy.p7b). Acest lucru va bloca încărcarea versiunilor vulnerabile ale fișierelor de sistem VBS care nu sunt actualizate de către sistemul de operare.  

Atunci când SkuSiPolicy.p7b este aplicat la un dispozitiv Windows, politica va fi, de asemenea, blocată la dispozitiv prin adăugarea unei variabile la firmware-ul UEFI. În timpul pornirii, politica se încarcă și Windows blochează încărcarea fișierelor binare care încalcă politica. Dacă se aplică blocarea UEFI și politica este eliminată sau înlocuită cu o versiune mai veche, managerul de boot Windows nu va porni și dispozitivul nu va porni. Această eroare de boot nu va afișa o eroare și sistemul va trece la următoarea opțiune de boot disponibilă, care poate avea ca rezultat o buclă de boot.

A fost adăugată o politică CI suplimentară semnată de Microsoft, care este activată în mod implicit și nu necesită adăugarea de pași suplimentari de implementare, care nu este legată la UEFI. Această politică CI semnată va fi încărcată în timpul încărcării, iar impunerea acestei politici va împiedica revenirea fișierelor de sistem VBS în timpul acelei sesiuni de boot. Spre deosebire de SkuSiPolicy.p7b, un dispozitiv poate continua să booteze dacă politica implicită activată a fost modificată sau eliminată. Această atenuare este disponibilă pe dispozitivele cu Windows 10 22H2 și versiunile ulterioare. SkuSkiPolicy.p7b poate fi aplicat în continuare de administratori pentru a oferi protecție suplimentară pentru revenire în sesiunile de boot.  

Jurnalele Windows Measured Boot utilizate pentru a confirma starea de funcționare a bootării PC-ului includ informații despre versiunea de politică care se încarcă în timpul procesului de boot. Aceste jurnale sunt întreținute în siguranță de TPM în timpul încărcării, iar serviciile de atestare Microsoft analizează aceste jurnale pentru a verifica dacă sunt încărcate versiunile de politică corecte. Serviciile de atestare impun reguli care asigură încărcarea unei versiuni de politică specifice sau mai recente; în caz contrar, sistemul nu va fi atestat ca fiind sănătos.

Pentru ca atenuarea politicii să funcționeze, politica trebuie actualizată utilizând actualizarea de servicii Windows, deoarece componentele Windows și politica trebuie să provină din aceeași lansare. Dacă atenuarea politicii este copiată pe dispozitiv, este posibil ca dispozitivul să nu pornească dacă se aplică versiunea greșită a atenuării sau atenuarea poate să nu funcționeze așa cum vă așteptați. În plus, atenuările descrise în KB5025885 ar trebui să fie aplicate la dispozitivul dvs.

Pe Windows 11 PC-uri securizate, Dynamic Root of Trust for Measurement (DRTM) adaugă o atenuare suplimentară pentru vulnerabilitatea de revenire. Această atenuare este activată în mod implicit pentru sistemele care rulează Windows 11, versiunea 24H2. Pe aceste sisteme, cheile de criptare protejate prin VBS sunt legate la politica VBS CI a sesiunii de boot cu activare implicită și vor fi dezlipite doar dacă este impusă versiunea de politică CI corespunzătoare. Pentru a activa revenirile inițiate de utilizator, a fost adăugată o perioadă de grație pentru a permite revenirea sigură la versiunea 1 a pachetului de actualizare Windows, fără a pierde posibilitatea de a dezlipi cheia coordonatoare VSM. Cu toate acestea, revenirea inițiată de utilizator este posibilă doar dacă nu se aplică SkuSiPolicy.p7b. Politica VBS CI impune ca toate fișierele binare de boot să nu fi fost readuse la versiuni revocate. Acest lucru înseamnă că, dacă un atacator cu privilegii de administrator anulează boot-urile binare vulnerabile, sistemul nu va porni. Dacă politica II și fișierele binare sunt readuse la o versiune anterioară, datele protejate prin VSM nu vor fi desealificate.

Înțelegerea riscurilor de atenuare

Trebuie să fiți la curent cu riscurile potențiale înainte de a aplica politica de revocare semnată de Microsoft. Revizuiți aceste riscuri și faceți actualizările necesare pentru suportul de recuperare înainte de a aplica atenuarea.

Notă Aceste riscuri se aplică doar la politica SkuSiPolicy.p7b și nu se aplică la protecțiile activate implicit.

• Integritate cod mod utilizator (UMCI). Politica de revocare semnată de Microsoft permite integritatea codului modului de utilizator, astfel încât regulile din politică să se aplice la fișierele binare ale modului utilizator. UMCI activează, de asemenea, codul dinamic de securitate în mod implicit. Impunerea acestor caracteristici poate introduce probleme de compatibilitate cu aplicațiile și scripturile și poate împiedica rularea acestora și poate avea un impact asupra timpului de pornire. Înainte de a implementa atenuarea, urmați instrucțiunile pentru a implementa politica modului de auditare pentru a testa problemele potențiale.

• Se blochează și se dezinstalează actualizările UEFI. După aplicarea blocării UEFI cu politica de revocare semnată de Microsoft pe un dispozitiv, dispozitivul nu poate fi readus la starea inițială (prin dezinstalarea actualizărilor Windows, utilizând un punct de restaurare sau prin alte mijloace) dacă continuați să aplicați Bootarea sigură. Chiar și reformatarea discului nu va elimina blocarea UEFI a atenuării, dacă a fost deja aplicată. Acest lucru înseamnă că, dacă încercați să readuceți sistemul de operare Windows la o stare anterioară care nu are atenuarea aplicată, dispozitivul nu va porni, nu se va afișa niciun mesaj de eroare și UEFI va trece la următoarea opțiune de pornire disponibilă. Acest lucru poate duce la o buclă de boot. Trebuie să dezactivați bootarea sigură pentru a elimina blocarea UEFI. Rețineți toate implicațiile posibile și testați cu atenție înainte de a aplica revocările descrise în acest articol pe dispozitivul dvs.

• Suport de boot extern. După ce atenuările de blocare UEFI au fost aplicate la un dispozitiv, suportul de boot extern trebuie să fie actualizat cu cea mai recentă actualizare Windows instalată pe dispozitiv. Dacă suportul de boot extern nu este actualizat la aceeași versiune de actualizare Windows, este posibil ca dispozitivul să nu booteze de pe acel suport media. Consultați instrucțiunile din secțiunea Actualizarea suportului de boot extern înainte de a aplica atenuările.

• Mediul de recuperare Windows. Mediul de recuperare Windows (WinRE) de pe dispozitiv trebuie să fie actualizat cu cele mai recente actualizări Windows instalate pe dispozitiv înainte ca SkuSipolicy.p7b să fie aplicat dispozitivului. Omiterea acestui pas ar putea împiedica WinRE să ruleze caracteristica Resetare PC.  Pentru mai multe informații, consultați Adăugarea unui pachet de actualizare la Windows RE.

• Bootare mediu de execuție (PXE) pre-boot. Dacă atenuarea este implementată pe un dispozitiv și încercați să utilizați bootarea PXE, dispozitivul nu va porni decât dacă se aplică cea mai recentă actualizare Windows și la imaginea de bootare a serverului PXE. Nu recomandăm implementarea atenuării pentru sursele de boot de rețea decât dacă serverul de bootare PXE a fost actualizat la cea mai recentă actualizare Windows lansată la sau după ianuarie 2025, inclusiv la managerul de boot PXE.  

Îndrumări pentru implementarea atenuării

Pentru a rezolva problemele descrise în acest articol, puteți implementa o politică de revocare semnată de Microsoft (SkuSiPolicy.p7b). Această atenuare este acceptată doar pe Windows 10, versiunea 1507 și versiunile mai recente de Windows și Windows Server 2016. Înainte de a implementa politica de revocare semnată de Microsoft (SkuSiPolicy.p7b), trebuie să testați problemele de compatibilitate utilizând o politică de mod de auditare.

Notă Dacă utilizați BitLocker, asigurați-vă că cheii de recuperare BitLocker i s-a făcut backup. Puteți să rulați următoarea comandă dintr-o linie de comandă Administrator și să rețineți parola numerică de 48 de cifre:

Jurnale de evenimente Windows

Windows înregistrează evenimentele atunci când politicile de integritate a codului, inclusiv SkuSiPolicy.p7b, sunt încărcate și atunci când un fișier este blocat de la încărcare din cauza impunerii politicilor. Puteți utiliza aceste evenimente pentru a verifica dacă atenuarea a fost aplicată.

Jurnalele de integritate a codului sunt disponibile în Vizualizator evenimente Windows sub jurnalele de aplicații și servicii > jurnaleleMicrosoft > Windows > CodeIntegrity > jurnalele de aplicații și servicii > operaționale > services > jurnaleleMicrosoft > Windows > AppLocker > MSI și Script.

Pentru mai multe informații despre evenimentele de integritate a codului, consultați Ghidul operațional pentru Controlul aplicației Windows Defender.

Procedura de eliminare și recuperare a politicilor

Dacă ceva nu merge bine după aplicarea atenuării, puteți utiliza următorii pași pentru a elimina atenuarea:

1. Suspendați BitLocker dacă este activat. Rulați următoarea comandă dintr-o fereastră linie de comandă cu drepturi sporite:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Dezactivați Bootarea sigură din meniul UEFI BIOS.
   
   Procedura pentru dezactivarea Bootării securizate diferă între producătorii și modelele dispozitivelor. Pentru ajutor la găsirea locului unde să dezactivați Bootarea sigură, consultați documentația producătorului dispozitivului. Mai multe detalii pot fi găsite în Dezactivarea bootării securizate.

3. Eliminați politica SkuSiPolicy.p7b.

   1. Porniți Windows în mod normal, apoi conectați-vă.
      
      Politica SkuSiPolicy.p7b trebuie eliminată din următoarea locație:

      • <partiție de sistem EFI>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Rulați următoarele comenzi dintr-o sesiune de Windows PowerShell cu drepturi sporite pentru a curăța politica din aceste locații:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. Activați Bootare sigură din BIOS.
   
   Consultați documentația producătorului dispozitivului pentru a afla unde să activați Bootarea sigură.
   
   Dacă ați dezactivat Bootare sigură la pasul 1 și unitatea este protejată de BitLocker, suspendați protecția BitLocker , apoi activați Bootare sigură din meniul UEFI BIOS .

5. Activați BitLocker. Rulați următoarea comandă dintr-o fereastră linie de comandă cu drepturi sporite:

   Manager-bde -protectors -enable c:

6. Reporniți-vă dispozitivul.