Pokyny na blokovanie vrátenia súvisiacich aktualizácií zabezpečenia na základe virtualizácie (VBS)

Dôležitá poznámka o politike SkuSiPolicy.p7b

Politika SkuSiPolicy.p7b bola aktualizovaná. Aktualizovanú politiku by ste mali použiť tak, že nainštalujete najnovšiu aktualizáciu Windowsu vydanú v januári 2025 alebo po jej skončení. Pokyny na použitie aktualizovanej politiky nájdete v časti Nasadenie politiky zrušenia podpísanej spoločnosťou Microsoft (SkuSiPolicy.p7b ). 

V tomto článku

• Zhrnutie

• Rozsah vplyvu

• Dostupné obmedzenia rizík

• Vysvetlenie rizík zmierňovania rizík

• Pokyny na nasadenie zmiernenia

  • Nasadenie politiky režimu auditu

  • Nasadenie politiky zrušenia podpísanej spoločnosťou Microsoft (SkuSiPolicy.p7b)

  • Aktualizácia externého zavádzacieho média

• Denníky udalostí systému Windows

  • Udalosti aktivácie politiky

  • Auditovanie a blokovanie udalostí

• Postup odstránenia a obnovenia politiky

• Zmeny vykonané v tomto článku

Zhrnutie

Spoločnosť Microsoft bola informovaná o zraniteľnosti vo Windowse, ktorá umožňuje útočníkovi s oprávneniami správcu nahradiť aktualizované systémové súbory systému Windows, ktoré majú staršie verzie, otvorenie dverí pre útočníka na opätovné zavedenie zraniteľností zabezpečenia na základe Virtualization (VBS).  Vrátenie týchto binárnych údajov môže umožniť útočníkovi obísť bezpečnostné prvky VBS a exfiltrovať údaje chránené VBS. Tento problém je popísaný v cve-2024-21302 | Windows Secure Kernel Mode elevation of Privilege Vulnerability.

Na vyriešenie tohto problému zrušíme zraniteľné systémové súbory VBS, ktoré sa neaktualizujú. Z dôvodu veľkého počtu súborov súvisiacich s VBS, ktoré musia byť zablokované, používame alternatívny prístup k zablokovaniu verzií súborov, ktoré sa neaktualizujú.

Rozsah vplyvu

Tento problém sa týka všetkých zariadení s Windowsom, ktoré podporujú VBS. Týka sa to lokálnych fyzických zariadení a virtuálnych počítačov. VBS je podporovaný v Windows 10 a novších verziách Windowsu a Windows Server 2016 a novšie Windows Server verzie.

Stav VBS je možné skontrolovať prostredníctvom nástroja Microsoft System Information Tool (Msinfo32.exe). Tento nástroj zhromažďuje informácie o vašom zariadení. Po spustení Msinfo32.exe sa posuňte nadol na riadok zabezpečenia založený na virtualizácii . Ak je hodnota tohto riadka spustená, funkcia VBS je povolená a spustená.

Stav VBS možno skontrolovať aj pomocou Windows PowerShell pomocou triedy Win32_DeviceGuard WMI. Ak chcete dotazovať stav VBS z prostredia PowerShell, otvorte reláciu bez oprávnení Windows PowerShell a potom spustite nasledujúci príkaz:

Po spustení vyššie uvedeného príkazu prostredia PowerShell by stav VBS mal byť jeden z nasledujúcich stavov.

Dostupné obmedzenia rizík

Pre všetky podporované verzie Windows 10, verziu 1507 a novšie verzie Windowsu a Windows Server 2016 a novšie Windows Server verzie môžu správcovia nasadiť politiku zrušenia podpísanú spoločnosťou Microsoft (SkuSiPolicy.p7b). Tým sa zablokujú zraniteľné verzie systémových súborov VBS, ktoré nie sú aktualizované, aby sa načítali operačným systémom.

Keď sa táto politika použije na zariadenie s Windowsom, politika sa uzamkne aj v zariadení pridaním premennej do firmvéru UEFI. Počas spúšťania sa načítava politika a Windows blokuje načítanie binárnych údajov, ktoré porušujú politiku. Ak sa použije zámok UEFI a politika sa odstráni alebo nahradí staršou verziou, správca spustenia systému Windows sa nespustí a zariadenie sa nespustí. Pri tomto zlyhaní spustenia sa nezobrazí chyba a systém prejde na ďalšiu dostupnú možnosť spustenia, ktorá môže mať za následok slučku spustenia.

Aby obmedzenie politiky fungovalo, politika sa musí aktualizovať pomocou aktualizácie údržby systému Windows, pretože súčasti systému Windows a politika musia pochádzať z rovnakého vydania. Ak sa obmedzenie rizík politiky skopíruje do zariadenia, zariadenie sa nemusí spustiť, ak sa použije nesprávna verzia zmiernenia alebo obmedzenie rizík nemusí fungovať podľa očakávaní. Okrem toho by sa na vaše zariadenie mali použiť obmedzenia rizík popísané v KB5025885 .

Vysvetlenie rizík zmierňovania rizík

Pred použitím politiky zrušenia podpísanej spoločnosťou Microsoft si musíte byť vedomí potenciálnych rizík. Pred použitím obmedzenia rizík skontrolujte tieto riziká a vykonajte všetky potrebné aktualizácie média na obnovenie.

• Integrita kódu používateľského režimu (UMCI). Politika zrušenia podpísaná spoločnosťou Microsoft umožňuje integritu kódu používateľského režimu tak, aby sa pravidlá v politike použili v binárnych údajoch používateľského režimu. Služba UMCI tiež predvolene povoľuje dynamické zabezpečenie kódu . Vynucovanie týchto funkcií môže spôsobiť problémy s kompatibilitou s aplikáciami a skriptami a môže im zabrániť v spustení a mať vplyv na výkon v čase spustenia. Pred nasadením zmiernenia postupujte podľa pokynov na nasadenie politiky režimu auditu na testovanie potenciálnych problémov.

• UEFI Zamknúť a odinštalovať aktualizácie. Po použití zámku UEFI s politikou zrušenia podpísanou spoločnosťou Microsoft v zariadení nie je možné zariadenie vrátiť (odinštalovaním aktualizácií Windowsu, pomocou bodu obnovenia alebo inými prostriedkami), ak budete pokračovať v používaní zabezpečeného spustenia. Dokonca aj preformátovanie disku neodstráni UEFI zámok zmiernenie, ak už bola použitá. To znamená, že ak sa pokúsite vrátiť operačný systém Windows do predchádzajúceho stavu, ktorý nemá použité obmedzenie, zariadenie sa nespustí, nezobrazí sa žiadne chybové hlásenie a rozhranie UEFI prejde na ďalšiu dostupnú možnosť spustenia. To môže mať za následok spustenie slučky. Ak chcete odstrániť zámok UEFI, musíte zakázať zabezpečené spustenie. Skôr než použijete zrušenia, ktoré sú uvedené v tomto článku v tomto článku, dôkladne otestujte všetky možné dôsledky a vykonajte dôkladné testovanie.

• Externé spúšťacie médiá. Po použití zmiernení uzamknutia UEFI v zariadení je potrebné aktualizovať externé zavádzacie médiá najnovšou aktualizáciou systému Windows nainštalovanou v zariadení. Ak externé spúšťacie médium nie je aktualizované na rovnakú verziu aktualizácie Windowsu, zariadenie sa nemusí spustiť z daného média. Pred použitím zmierňovania rizík si pozrite pokyny v časti Aktualizácia externého zavádzacieho média .

• Windows Recovery Environment. Windows Recovery Environment (WinRE) v zariadení musí byť aktualizovaný najnovšími aktualizáciami windowsu nainštalovanými v zariadení predtým, ako sa na zariadenie použije súbor SkuSipolicy.p7b. Vynechanie tohto kroku môže zabrániť systému WinRE v spustení funkcie Resetovať počítač.  Ďalšie informácie nájdete v téme Pridanie aktualizačného balíka do systému Windows RE.

• Spustenie prostredia PXE pred spustením. Ak je obmedzenie rizík nasadené v zariadení a pokúsite sa použiť spustenie PXE, zariadenie sa nespustí, pokiaľ sa na obrázok spustenia servera PXE nepoužije ani najnovšia aktualizácia Windowsu. Neodporúčame nasadzovať obmedzenia rizík do zdrojov spúšťania siete, pokiaľ nebol server spúšťania PXE aktualizovaný na najnovšiu aktualizáciu Windowsu vydanú v januári 2025 alebo po januári 2025 vrátane správcu spúšťania PXE.  

Pokyny na nasadenie zmiernenia

Na riešenie problémov popísaných v tomto článku môžete nasadiť politiku zrušenia podpísanú spoločnosťou Microsoft (SkuSiPolicy.p7b). Toto obmedzenie rizík je podporované len v Windows 10 verzii 1507 a novších verziách Windowsu a Windows Server 2016. Pred nasadením politiky zrušenia podpísanej spoločnosťou Microsoft (SkuSiPolicy.p7b) by ste mali otestovať problémy s kompatibilitou pomocou politiky režimu auditu.

Poznámka Ak používate šifrovanie BitLocker, skontrolujte, či je kľúč na obnovenie šifrovania BitLocker zálohovaný. V príkazovom riadku správcu môžete spustiť nasledujúci príkaz a poznamenať si 48-miestne číselné heslo:

Denníky udalostí systému Windows

Windows zaznamenáva udalosti, keď sa načítajú politiky integrity kódu vrátane súboru SkuSiPolicy.p7b a keď je načítanie súboru zablokované z dôvodu vynútenia politiky. Pomocou týchto udalostí môžete overiť, či sa použilo obmedzenie rizík.

Denníky integrity kódu sú k dispozícii vo Windowse Zobrazovač udalostí v denníkoch aplikácií a služieb > denníkoch>CodeIntegrity systému Microsoft > Windows > denníky operačných aplikácií a služieb > > služby > microsoft > Windows > AppLocker > MSI a Script.

Ďalšie informácie o udalostiach integrity kódu nájdete v prevádzkovej príručke k ovládaciemu prvku aplikácie Windows Defender.

Postup odstránenia a obnovenia politiky

Ak sa po použití zmiernenia vyskytne problém, na odstránenie zmiernenia môžete použiť nasledujúce kroky:

1. Pozastaví uzamknutie BitLocker, ak je povolené. Spustite nasledujúci príkaz z okna príkazového riadka bez oprávnení:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Vypnite zabezpečené spustenie z ponuky UEFI BIOS.
   
   Postup vypnutia zabezpečeného spustenia sa líši medzi výrobcami zariadení a modelmi. Ak potrebujete pomoc s umiestnením miesta na vypnutie zabezpečeného spustenia, prečítajte si dokumentáciu od výrobcu zariadenia. Ďalšie podrobnosti nájdete v téme Zakázanie zabezpečeného spustenia.

3. Odstráňte politiku SkuSiPolicy.p7b.

   1. Windows spustite normálne a potom sa prihláste.
      
      Politiku SkuSiPolicy.p7b je potrebné odstrániť z nasledujúceho umiestnenia:

      • <systémová oblasť EFI>\Microsoft\Boot\SkuSiPolicy.p7b

   2. Spustite nasledujúci skript z relácie zvýšeného Windows PowerShell na vyčistenie politiky z týchto umiestnení:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = "C:\EFIMount"

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem). AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Zapnite zabezpečené spustenie zo systému BIOS.
   
   Informácie o umiestnení miesta na zapnutie zabezpečeného spustenia nájdete v dokumentácii od výrobcu zariadenia.
   
   Ak ste v kroku 1 vypli zabezpečené spustenie a vaša jednotka je chránená šifrovaním BitLocker, pozastavte zabezpečenie šifrovaním BitLocker a potom zapnite zabezpečené spustenie z ponuky bios UEFI .

5. Zapnite šifrovanie BitLocker. Spustite nasledujúci príkaz z okna príkazového riadka bez oprávnení:

   Manažér-bde -protektory -enable c:

6. Reštartujte zariadenie.