KB4074629: общие сведения о выходных данных скрипта PowerShell speculationControl

Способ 1. Проверка PowerShell с помощью коллекция PowerShell (Windows Server 2016 или WMF 5.0/5.1)

Установка модуля PowerShell

PS> Install-Module SpeculationControl

Запустите модуль PowerShell SpeculationControl, чтобы проверить, включена ли защита.

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Способ 2. Проверка PowerShell с помощью загрузки из TechNet (более ранние версии ОС или более ранние версии WMF)

Установка модуля PowerShell из TechNet ScriptCenter

1. Перейдите к https://aka.ms/SpeculationControlPS.

2. Скачайте SpeculationControl.zip в локальную папку.

3. Извлеките содержимое в локальную папку, например C:\ADV180002

Запустите модуль PowerShell, чтобы убедиться, что защита включена.

Запустите PowerShell, а затем (используя приведенный выше пример) скопируйте и выполните следующие команды:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Выход

Объяснение

Параметры управления спекуляциями для CVE-2017-5715 [внедрение цели ветви]

В этом разделе представлено состояние системы для варианта 2, CVE-2017-5715, внедрение целевой ветви.

Присутствует аппаратная поддержка для устранения рисков внедрения целевых ветвей

Сопоставляется с BTIHardwarePresent. В этой строке показано, существуют ли аппаратные функции для поддержки устранения рисков внедрения целевых ветвей. Изготовитель оборудования отвечает за предоставление обновленного BIOS/встроенного ПО, содержащего микрокод, предоставляемый производителями ЦП. Если эта строка имеет значение True, необходимые аппаратные функции присутствуют. Если строка имеет значение False, необходимые функции оборудования отсутствуют. Таким образом, невозможно включить устранение рисков внедрения целевых ветвей.

Примечание BTIHardwarePresent будет иметь значение True на гостевых виртуальных машинах, если обновление OEM применяется к узлу и выполняется руководство.

Поддержка ОС Windows для устранения рисков внедрения целевых ветвей

Сопоставляется с BTIWindowsSupportPresent. В этой строке показано, существует ли поддержка операционной системы Windows для устранения рисков внедрения целевых ветвей. Если задано значение True, операционная система поддерживает включение защиты от внедрения целевых ветвей (и, следовательно, установила обновление за январь 2018 г.). Если имеет значение False, обновление за январь 2018 г. не устанавливается на устройстве, и невозможно включить устранение рисков внедрения целевых ветвей.

Примечание Если гостевая виртуальная машина не может обнаружить обновление оборудования узла, BTIWindowsSupportEnabled всегда будет иметь значение False.

Включена поддержка ос Windows для устранения рисков внедрения целевых ветвей.

Сопоставляется с BTIWindowsSupportEnabled. В этой строке показано, включена ли поддержка операционной системы Windows для устранения рисков внедрения целевых ветвей. Если задано значение True, для устройства включена поддержка оборудования и поддержка ОС для устранения рисков внедрения целевых ветвей, что обеспечивает защиту от CVE-2017-5715. Если имеет значение False, выполняется одно из следующих условий:

• Поддержка оборудования отсутствует.

• Поддержка ОС отсутствует.

• Устранение рисков отключено системной политикой.

Системная политика отключает поддержку windows для устранения рисков внедрения целевых ветвей

Сопоставляется с BTIDisabledBySystemPolicy. В этой строке показано, отключена ли системная политика (например, политика, определяемая администратором). Системная политика ссылается на элементы управления реестром, как описано в обновлении KB4072698. Если задано значение True, системная политика отвечает за отключение мер по устранению рисков. Если имеет значение False, устранение рисков отключается по другой причине.

Поддержка ос Windows для устранения рисков внедрения целевых ветвей отключена из-за отсутствия поддержки оборудования

Сопоставляется с BTIDisabledByNoHardwareSupport. В этой строке показано, отключена ли защита от внедрения целевых ветвей из-за отсутствия поддержки оборудования. Если имеет значение True, отсутствие аппаратной поддержки отвечает за отключение мер по устранению рисков. Если имеет значение False, устранение рисков отключается по другой причине.

ПримечаниеЕсли гостевая виртуальная машина не может обнаружить обновление оборудования узла, BTIDisabledByNoHardwareSupport всегда будет иметь значение True.

Параметры управления спекуляциями для CVE-2017-5754 [загрузка кэша данных изгоев]

В этом разделе приводится сводное состояние системы для варианта 3, CVE-2017-5754, загрузка неопубликованного кэша данных. Устранение этой проблемы называется тенью виртуального адреса ядра (VA) или несанкционированным устранением нагрузки кэша данных.

Оборудование уязвимо для несанкционированной загрузки кэша данных

Сопоставляется с RdclHardwareProtected. Эта строка показывает, уязвимо ли оборудование к CVE-2017-5754. Если это значение True, считается, что оборудование уязвимо для CVE-2017-5754. Если имеет значение False, известно, что оборудование не уязвимо для CVE-2017-5754.

Поддержка ОС Windows для защиты от неопубликованной нагрузки кэша данных присутствует

Сопоставляется с KVAShadowWindowsSupportPresent. В этой строке показано, присутствует ли поддержка операционной системой Windows функции тени va ядра.

Включена поддержка операционной системы Windows для защиты от нагрузки в кэше данных.

Сопоставляется с KVAShadowWindowsSupportEnabled. В этой строке показано, включена ли теневая функция ядра VA. Если имеет значение True, считается, что оборудование уязвимо для CVE-2017-5754, поддержка операционной системы Windows присутствует, и эта функция включена.

Для оборудования требуется затенение va ядра

Сопоставляется с KVAShadowRequired. В этой строке показано, требуется ли системе затенение va ядра для устранения уязвимости.

Поддержка ос Windows для теневой виртуальной машины ядра присутствует

Сопоставляется с KVAShadowWindowsSupportPresent. В этой строке показано, присутствует ли поддержка операционной системой Windows функции тени va ядра. Если задано значение True, на устройстве устанавливается обновление за январь 2018 г., и поддерживается тень va ядра. Если имеет значение False, обновление за январь 2018 г. не устанавливается, а поддержка теневых обновлений для ядра VA не существует.

Включена поддержка ос Windows для теневых теневых виртуальной машины ядра

Сопоставляется с KVAShadowWindowsSupportEnabled. В этой строке показано, включена ли теневая функция ядра VA. Если задано значение True, поддержка операционной системы Windows присутствует, и эта функция включена. Теневая функция ядра va в настоящее время включена по умолчанию в клиентских версиях Windows и отключена по умолчанию в версиях Windows Server. Если имеет значение False, либо поддержка операционной системы Windows отсутствует, либо эта функция не включена.

Включена поддержка операционной системы Windows для оптимизации производительности PCID

ПримечаниеPCID не требуется для обеспечения безопасности. Он указывает только, включено ли повышение производительности. PCID не поддерживается в Windows Server 2008 R2

Сопоставляется с KVAShadowPcidEnabled. Эта строка показывает, включена ли дополнительная оптимизация производительности для тени va ядра. Если задано значение True, то включена тень va ядра, присутствует поддержка оборудования для PCID, а также включена оптимизация PCID для тени va ядра. Если имеет значение False, оборудование или ОС могут не поддерживать PCID. Это не является слабым местом безопасности, поскольку оптимизация PCID не должна быть включена.

Поддержка ос Windows для спекулятивного отключения обхода хранилища доступна

Сопоставляется с SSBDWindowsSupportPresent. В этой строке показано, существует ли поддержка операционной системы Windows для спекулятивного отключения обхода хранилища. Если задано значение True, на устройстве устанавливается обновление за январь 2018 г., и поддерживается тень va ядра. Если имеет значение False, обновление за январь 2018 г. не устанавливается, а поддержка теневых обновлений для ядра VA не существует.

Оборудование требует отключения обхода спекулятивного хранилища

Сопоставляется с SSBDHardwareVulnerablePresent. Эта строка показывает, уязвимо ли оборудование к CVE-2018-3639. Если это значение True, считается, что оборудование уязвимо для CVE-2018-3639. Если имеет значение False, известно, что оборудование не уязвимо для CVE-2018-3639.

Поддержка аппаратного обеспечения для отключения обхода спекулятивного хранилища

Сопоставляется с SSBDHardwarePresent. В этой строке показано, существуют ли аппаратные функции для поддержки спекулятивного обхода хранилища. Изготовитель оборудования устройства отвечает за предоставление обновленного BIOS/встроенного ПО, содержащего микрокод, предоставляемый Intel. Если эта строка имеет значение True, необходимые аппаратные функции присутствуют. Если строка имеет значение False, необходимые функции оборудования отсутствуют. Поэтому отключить обход спекулятивного хранилища нельзя.

Примечание SSBDHardwarePresent будет иметь значение True на гостевых виртуальных машинах, если обновление OEM применяется к узлу.

Включена поддержка ос Windows для спекулятивного обхода store

Сопоставляется с SSBDWindowsSupportEnabledSystemWide. В этой строке показано, включена ли функция обхода спекулятивного хранилища в операционной системе Windows. Если задано значение True, для устройства включена поддержка оборудования и поддержка ос для спекулятивного обхода хранилища, что полностью устраняет риск безопасности. Если имеет значение False, выполняется одно из следующих условий:

• Поддержка оборудования отсутствует.

• Поддержка ОС отсутствует.

• Отключение обхода спекулятивного хранилища не включается с помощью разделов реестра. Инструкции по их включению см. в следующих статьях:

  • KB4073119: руководство клиента Windows для ИТ-специалистов по защите от микроархитектурных микроархитектурных и спекулятивных запусков в боковом канале

  • KB4072698: Руководство по Windows Server и Azure Stack HCI по защите от уязвимостей стороннего канала микроархитектуры и спекулятивного выполнения на основе кремния

Параметры управления спекуляциями для CVE-2018-3620 [ошибка терминала L1]

В этом разделе приводится сводное состояние системы для L1TF (операционная система), на которую ссылается CVE-2018-3620. Это гарантирует, что биты безопасного кадра страницы используются для не присутствующих или недопустимых записей таблицы страниц.

Примечание В этом разделе не приводится сводка состояния устранения рисков для L1TF (VMM), на который ссылается CVE-2018-3646.

Оборудование уязвимо для сбоя терминала L1: True

Сопоставляется с L1TFHardwareVulnerable. Эта строка сообщает, уязвимо ли оборудование к сбоям терминала L1 (L1TF, CVE-2018-3620). Если это значение True, считается, что оборудование уязвимо для CVE-2018-3620. Если имеет значение False, известно, что оборудование не уязвимо для CVE-2018-3620.

Поддержка операционной системы Windows для устранения сбоев терминала L1: True

Сопоставляется с L1TFWindowsSupportPresent. В этой строке показано, поддерживается ли операционная система Windows для устранения неполадок операционной системы L1 Terminal Fault (L1TF). Если задано значение True, на устройстве устанавливается обновление за август 2018 г., а также присутствует устранение рисков для CVE-2018-3620 . Если имеет значение False, обновление за август 2018 г. не устанавливается, а устранение рисков для CVE-2018-3620 отсутствует.

Включена поддержка операционной системы Windows для устранения сбоев терминала L1: True

Сопоставляется с L1TFWindowsSupportEnabled. В этой строке показано, включена ли защита операционной системы Windows от сбоя терминала L1 (L1TF, CVE-2018-3620). Если задано значение True, считается, что оборудование уязвимо для CVE-2018-3620, поддержка операционной системы Windows для устранения рисков присутствует, а устранение рисков включено. Если имеет значение False, либо оборудование не уязвимо, поддержка операционной системы Windows отсутствует, либо устранение рисков не включено.

Параметры управления спекуляцией для MDS [выборка микроархитектурных данных]

В этом разделе представлено состояние системы для набора уязвимостей MDS, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 и ADV220002.

Поддержка операционной системы Windows для устранения рисков MDS присутствует

Сопоставляется с MDSWindowsSupportPresent. В этой строке показано, существует ли поддержка операционной системы Windows для устранения рисков с выборкой микроархитектурных данных (MDS). Если задано значение True, на устройстве устанавливается обновление за май 2019 г., и существует устранение рисков для MDS. Если имеет значение False, обновление за май 2019 г. не устанавливается, а устранение рисков для MDS отсутствует.

Оборудование уязвимо для MDS

Сопоставляется с MDSHardwareVulnerable. Эта строка показывает, уязвимо ли оборудование к набору уязвимостей микроархитектурной выборки данных (MDS) (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Если это значение True, считается, что на оборудование влияют эти уязвимости. Если имеет значение False, известно, что оборудование не является уязвимым.

Включена поддержка операционной системы Windows для устранения рисков MDS

Сопоставляется с MDSWindowsSupportEnabled. В этой строке показано, включена ли защита операционной системы Windows для микроархитектурной выборки данных (MDS). Если задано значение True, на оборудование, как полагают, влияют уязвимости MDS, поддержка операционной системы Windows для устранения рисков присутствует, а устранение рисков включено. Если имеет значение False, либо оборудование не уязвимо, поддержка операционной системы Windows отсутствует, либо устранение рисков не включено.

Поддержка операционной системы Windows для устранения рисков SBDR присутствует

Сопоставляется с FBClearWindowsSupportPresent. В этой строке показано, существует ли поддержка операционной системы Windows для защиты операционной системы SBDR. Если задано значение True, на устройстве устанавливается обновление за июнь 2022 г., а также присутствует устранение рисков для SBDR. Если имеет значение False, обновление за июнь 2022 г. не устанавливается, а устранение рисков для SBDR отсутствует.

Оборудование уязвимо для SBDR

Сопоставляется с SBDRSSDPHardwareVulnerable. В этой строке показано, уязвимо ли оборудование к набору уязвимостей SBDR [общие буферы для чтения] (CVE-2022-21123). Если это значение True, считается, что на оборудование влияют эти уязвимости. Если имеет значение False, известно, что оборудование не является уязвимым.

Включена поддержка ос Windows для устранения рисков SBDR

Сопоставляется с FBClearWindowsSupportEnabled. В этой строке показано, включена ли защита операционной системы Windows для SBDR [чтение данных общих буферов]. Если задано значение True, считается, что на оборудование влияют уязвимости SBDR, операционная поддержка windows для устранения рисков присутствует, а устранение рисков включено. Если имеет значение False, либо оборудование не уязвимо, поддержка операционной системы Windows отсутствует, либо устранение рисков не включено.

Поддержка операционной системы Windows для устранения рисков FBSDP присутствует

Сопоставляется с FBClearWindowsSupportPresent. В этой строке показано, присутствует ли поддержка операционной системы Windows для устранения рисков для операционной системы FBSDP. Если задано значение True, на устройстве устанавливается обновление за июнь 2022 г., и существует устранение рисков для FBSDP. Если имеет значение False, обновление за июнь 2022 г. не устанавливается, а устранение рисков для FBSDP отсутствует.

Оборудование уязвимо для FBSDP

Сопоставляется с FBSDPHardwareVulnerable. Эта строка показывает, уязвимо ли оборудование к набору уязвимостей FBSDP [заполнить буфер распространения устаревших данных] (CVE-2022-21125, CVE-2022-21127 и CVE-2022-21166). Если это значение True, считается, что на оборудование влияют эти уязвимости. Если имеет значение False, известно, что оборудование не является уязвимым.

Включена поддержка операционной системы Windows для устранения рисков FBSDP

Сопоставляется с FBClearWindowsSupportEnabled. В этой строке показано, включена ли защита операционной системы Windows для FBSDP [средство распространения устаревших данных в буфере заполнения]. Если задано значение True, считается, что на оборудование влияют уязвимости FBSDP, присутствует операционная поддержка Windows для устранения рисков, а устранение рисков включено. Если имеет значение False, либо оборудование не уязвимо, поддержка операционной системы Windows отсутствует, либо устранение рисков не включено.

Поддержка операционной системы Windows для устранения рисков PSDP присутствует

Сопоставляется с FBClearWindowsSupportPresent. В этой строке показано, поддерживается ли операционная система Windows для устранения рисков операционной системы PSDP. Если задано значение True, на устройстве устанавливается обновление за июнь 2022 г., и существует устранение рисков для PSDP. Если имеет значение False, обновление за июнь 2022 г. не устанавливается, а устранение рисков для PSDP отсутствует.

Оборудование уязвимо для PSDP

Сопоставляется с PSDPHardwareVulnerable. В этой строке показано, уязвимо ли оборудование к набору уязвимостей PSDP [основной устаревший метод распространения данных]. Если это значение True, считается, что на оборудование влияют эти уязвимости. Если имеет значение False, известно, что оборудование не является уязвимым.

Поддержка операционной системы Windows для устранения рисков PSDP включена

Сопоставляется с FBClearWindowsSupportEnabled. В этой строке показано, включена ли защита операционной системы Windows для PSDP [основного устаревшего средства распространения данных]. Если задано значение True, предполагается, что на оборудование влияют уязвимости PSDP, операционная поддержка windows для устранения рисков присутствует, а устранение рисков включено. Если имеет значение False, либо оборудование не уязвимо, поддержка операционной системы Windows отсутствует, либо устранение рисков не включено.

Раздел реестра

Сопоставление

FeatureSettingsOverride — бит 0

Сопоставление с — внедрение цели ветви — BTIWindowsSupportEnabled

FeatureSettingsOverride — бит 1

Сопоставление с — загрузка кэша данных rogue — VAShadowWindowsSupportEnabled