KB4074629: Razumevanje izlaza PowerShell skripte "SpeculationControl"

1. metod: PowerShell verifikacija pomoću PowerShell galerije (Windows Server 2016 ili WMF 5.0/5.1)

Instaliranje PowerShell modula

PS> Install-Module SpeculationControl

Pokrenite Modul SpeculationControl PowerShell da biste potvrdili da su zaštite omogućene

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

2. metod: PowerShell verifikacija pomoću preuzimanja sa sajta TechNet (starije verzije operativnog sistema/starije WMF verzije)

Instalirajte PowerShell modul sa sajta TechNet ScriptCenter

1. Idite na https://aka.ms/SpeculationControlPS.

2. Preuzmite SpeculationControl.zip u lokalnu fasciklu.

3. Izdvojite sadržaj u lokalnu fasciklu, na primer C:\ADV180002

Pokrenite PowerShell modul da biste potvrdili da su zaštite omogućene

Pokrenite PowerShell, a zatim (koristeći gorenavedeni primer) kopirajte i pokrenite sledeće komande:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Izlaz

Objaљnjenje

Postavke kontrole spekulacija za CVE-2017-5715 [injekcija ciljne grane]

Ovaj odeljak pruža status sistema za varijantu 2, CVE-2017-5715, ubrizgavanje ciljne grane.

Postoji hardverska podrška za umanjivanje cilja grane

Mape u BTIHardwarePresent. Ova linija vam govori da li su funkcije hardvera prisutne da bi podržale umanjivanje cilja grane. OEM uređaj je odgovoran za obezbeđivanje ažuriranog BIOS/firmvera koji sadrži mikro kôd koji obezbeđuju proizvođači CPU-a. Ako je ova linija True, prisutne su potrebne hardverske funkcije. Ako linija ima vrednost False, potrebne hardverske funkcije nisu prisutne. Zbog toga nije moguće omogućiti umanjivanje cilja grane.

Beleške BTIHardwarePresent će biti True na virtuelnim mašinama sa gostima ako se OEM ispravka primeni na host i prate seuputstva.

Windows OS podrška za umanjivanje cilja grane je prisutna

Mape u BTIWindowsSupportPresent. Ova linija vam govori da li postoji podrška operativnog sistema Windows za umanjivanje cilja grane. Ako ima vrednost True, operativni sistem podržava omogućavanje ublažavanja cilja grane (i samim tim je instalirao ispravku iz januara 2018.). Ako ima vrednost False, ispravka iz januara 2018. nije instalirana na uređaju i nije moguće omogućiti umanjivanje cilja grane ubrizgavanja.

Beleške Ako virtuelna mašina gosta ne može da otkrije hardversku ispravku hosta, BTIWindowsSupportEnabled će uvek biti Netačno.

Podrška za Windows OS za umanjivanje cilja grane je omogućena

Mape u BTIWindowsSupportEnabled. Ova linija vam govori da li je podrška za operativni sistem Windows omogućena za umanjivanje cilja grane. Ako ima vrednost True, hardverska podrška i podrška za operativni sistem za ciljnu injekciju grane omogućeni su za uređaj i na ovaj način se štiti od CVE-2017-5715. Ako ima vrednost False, jedan od sledećih uslova je tačan:

• Podrška za hardver nije prisutna.

• Podrška za OS nije prisutna.

• Umanjivanje je onemogućeno sistemskim smernicama.

Podrška za Windows OS za umanjivanje cilja grane je onemogućena sistemskim smernicama

Mape u BTIDisabledBySystemPolicy. Ovaj red vam saopštaava ako je umanjivanje cilja grane onemogućeno sistemskim smernicama (kao što su administratorski definisane smernice). Smernice sistema upućuju na kontrole registratora kao dokumentovane u KB4072698. Ako je vrednost "Tačno", sistemska politika je odgovorna za onemogućavanje ublaženja. Ako ima vrednost False, umanjivanje je onemogućeno drugim uzrokom.

Podrška za Windows OS za umanjivanje cilja grane je onemogućena zbog odsustva hardverske podrške

Mape u BTIDisabledByNoHardwareSupport. Ovaj red vam govori da li je umanjivanje cilja grane onemogućeno zbog odsustva hardverske podrške. Ako je vrednost "Tačno", odsustvo hardverske podrške je odgovorno za onemogućavanje ublažavanja. Ako ima vrednost False, umanjivanje je onemogućeno drugim uzrokom.

BeleškeAko virtuelna mašina gosta ne može da otkrije hardversku ispravku hosta, BTIDisabledByNoHardwareSupport će uvek biti True.

Postavke kontrole spekulacija za CVE-2017-5754 [opterećenje keša odmetanih podataka]

Ovaj odeljak pruža status sistema rezimea za varijantu 3, CVE-2017-5754, odmetnuto opterećenje keša podataka. Umanjivanje za ovo poznato je kao senka kernel virtuelne adrese (VA) ili umanjivanje opterećenja keša odmetanih podataka.

Hardver je ranjiv na odmetnuto opterećenje keša podataka

Mape u RdclHardwareProtected. Ova linija vam govori da li je hardver ranjiv na CVE-2017-5754. Ako ima vrednost True, smatra se da je hardver ranjiv na CVE-2017-5754. Ako ima vrednost False, poznato je da hardver nije ranjiv na CVE-2017-5754.

Postoji podrška za Windows OS za umanjivanje opterećenja keša podataka

Mape za KVAShadowWindowsSupportPresent. Ova linija vam govori da li je prisutna podrška operativnog sistema Windows za funkciju kernel VA senke.

Omogućena je podrška za Windows OS za odmetnuto opterećenje keša podataka

Mape u KVAShadowWindowsSupportEnabled. Ova linija vam govori da li je funkcija kernel VA senke omogućena. Ako ima vrednost True, smatra se da je hardver ranjiv na CVE-2017-5754, postoji podrška za operativni sistem Windows i funkcija je omogućena.

Hardver zahteva kernel VA senčenje

Mape za KVAShadowRequired. Ova linija vam govori da li vaš sistem zahteva senčenje jezgra VA da bi umanjio ranjivost.

Prisutna je podrška za Windows OS za kernel VA senku

Mape za KVAShadowWindowsSupportPresent. Ova linija vam govori da li je prisutna podrška operativnog sistema Windows za funkciju kernel VA senke. Ako ima vrednost True, ispravka iz januara 2018. instalirana je na uređaju, a kernel VA shadow je podržan. Ako ima vrednost "False", ispravka iz januara 2018. nije instalirana, a podrška za kernel VA senku ne postoji.

Omogućena je podrška za Windows OS za kernel VA senku

Mape u KVAShadowWindowsSupportEnabled. Ova linija vam govori da li je funkcija kernel VA senke omogućena. Ako ima vrednost True, postoji podrška za operativni sistem Windows i funkcija je omogućena. Funkcija senke Kernel VA trenutno je podrazumevano omogućena u klijentskim verzijama operativnog sistema Windows i podrazumevano je onemogućena u verzijama windows servera. Ako ima vrednost False, podrška za operativni sistem Windows nije prisutna ili funkcija nije omogućena.

Podrška za Windows OS za optimizaciju performansi PCID-a je omogućena

BeleškeID računara nije neophodan za bezbednost. On samo ukazuje na to da li je omogućeno poboljšanje performansi. PCID nije podržan sa sistemom Windows Server 2008 R2

Mape u KVAShadowPcidEnabled. Ovaj red vam govori da li je omogućena dodatna optimizacija performansi za senku kernel va. Ako ima vrednost True, funkcija kernel VA shadow je omogućena, postoji hardverska podrška za PCID i omogućena je PCID optimizacija za kernel VA shadow. Ako ima vrednost False, hardver ili operativni sistem možda ne podržavaju ID računara. Nije bezbednosna slabost za optimizaciju ID-a računara da se ne omogući.

Postoji podrška za Windows OS za specifikativnu onemogućavanje premošćavanje prodavnice

Mape u SSBDWindowsSupportPresent. Ova linija vam govori da li postoji podrška operativnog sistema Windows za speculativnu onemogućavanje zaoblaska prodavnice. Ako ima vrednost True, ispravka iz januara 2018. instalirana je na uređaju, a kernel VA shadow je podržan. Ako ima vrednost "False", ispravka iz januara 2018. nije instalirana, a podrška za kernel VA senku ne postoji.

Hardver zahteva onemogućavanje zaoblaska špekulativnog skladišta

Mape u SSBDHardwareVulnerablePresent. Ova linija vam govori da li je hardver ranjiv na CVE-2018-3639. Ako ima vrednost True, smatra se da je hardver ranjiv na CVE-2018-3639. Ako ima vrednost False, poznato je da hardver nije ranjiv na CVE-2018-3639.

Postoji hardverska podrška za onemogućavanje zaobioska skladišta

Mape u SSBDHardwarePresent. Ovaj red vam govori da li su funkcije hardvera prisutne da bi podržale onemogućavanje zaoblaska specifikativnog skladišta. OEM uređaj je odgovoran za obezbeđivanje ažuriranog BIOS/firmvera koji sadrži mikro kôd koji obezbeđuje Intel. Ako je ova linija True, prisutne su potrebne hardverske funkcije. Ako linija ima vrednost False, potrebne hardverske funkcije nisu prisutne. Zbog toga nije moguće uključiti onemogućavanje premošćavanja spekulativnog skladišta.

Beleške SSBDHardwarePresent će biti True na virtuelnim mašinama sa statusom gosta ako se OEM ispravka primeni na host.

Podrška za Windows OS za specifikativnu onemogućavanje zaoblaska prodavnice je uključena

Mape u SSBDWindowsSupportEnabledSystemWide. Ova linija vam govori da li je opcija "Onemogući premošćavanje spekulativne prodavnice" uključena u operativnom sistemu Windows. Ako je vrednost " Tačno", uključena je hardverska podrška i podrška za OS za premošćavanje spekulativne prodavnice za onemogućavanje prodavnice za uređaje koji sprečavaju pojavljivanje zaoblaska spekulativne prodavnice i na ovaj način se u potpunosti uklanja bezbednosni rizik. Ako ima vrednost False, jedan od sledećih uslova je tačan:

• Podrška za hardver nije prisutna.

• Podrška za OS nije prisutna.

• Specifikativna onemogućavanje zaobioska skladišta nije omogućena putem ključeva registratora. Pogledajte sledeće članke za uputstva o tome kako da ih omogućite:

  • KB4073119: Vodič za Windows klijente za IT stručnjake za zaštitu od mikroarhitekturalnih objekata zasnovanih na silikonskom sistemu i spekulativnih ranjivosti bočnog kanala izvršavanja

  • KB4072698: Windows Server i Azure Stack HCI vodič za zaštitu od mikroarhitekturalnih objekata zasnovanih na silikonima i ranjivosti na bočnom kanalu izvršavanja

Postavke kontrole spekulacija za CVE-2018-3620 [Greška terminala L1]

Ovaj odeljak pruža status sistema rezimea za L1TF (operativni sistem) na koji upućuje CVE-2018-3620. Ovo umanjivanje obezbeđuje da se bezbedni bitovi okvira stranice koriste za ne prisutne ili nevažeće stavke tabele stranice.

Beleške Ovaj odeljak ne pruža rezime statusa umanjivanja za L1TF (VMM) na koji upućuje CVE-2018-3646.

Hardver je ranjiv na kvar L1 terminala: True

Mape sa L1TFHardwareVulnerable. Ova linija vam govori da li je hardver ranjiv na kvar L1 terminala (L1TF, CVE-2018-3620). Ako ima vrednost True, smatra se da je hardver ranjiv na CVE-2018-3620. Ako ima vrednost False, poznato je da hardver nije ranjiv na CVE-2018-3620.

Podrška za Windows OS za Umanjivanje greške na L1 terminalu je prisutna: Tačno

Mape u L1TFWindowsSupportPresent. Ova linija vam govori da li je prisutna podrška operativnog sistema Windows za Umanjenje operativnog sistema L1 Terminal Fault (L1TF). Ako ima vrednost True, ispravka iz avgusta 2018. instalirana je na uređaju, a prisutan je umanjivanje za CVE-2018-3620 . Ako ima vrednost False, ispravka iz avgusta 2018. nije instalirana, a umanjivanje za CVE-2018-3620 nije prisutno.

Omogućena je podrška za Windows OS za Umanjivanje greške na terminalu L1: Tačno

Mape u L1TFWindowsSupportEnabled. Ovaj red vam govori da li je omogućeno umanjenje operativnog sistema Windows za L1 kvar na terminalu (L1TF, CVE-2018-3620). Ako ima vrednost True, smatra se da je hardver ranjiv na CVE-2018-3620, postoji podrška za operativni sistem Windows za umanjivanje, a umanjivanje je omogućeno. Ako ima vrednost False, hardver nije ranjiv, ne postoji podrška za operativni sistem Windows ili umanjivanje nije omogućeno.

Postavke kontrole špekulacije za MDS [Uzorak podataka mikroarhitekturalnih podataka]

Ovaj odeljak pruža status sistema za MDS skup ranjivosti, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 i ADV220002.

Postoji podrška za Windows OS za MDS umanjivanje

Mape u MDSWindowsSupportPresent. Ova linija vam govori da li je prisutna podrška operativnog sistema Windows za microarchitectural Data Sampling (MDS) operativni sistem. Ako ima vrednost True, ispravka iz maja 2019. instalirana je na uređaju i prisutan je umanjivanje za MDS. Ako ima vrednost False, ispravka iz maja 2019. nije instalirana, a umanjivanje za MDS nije prisutno.

Hardver je ranjiv na MDS

Mape u MDSHardwareVulnerable. Ova linija vam govori da li je hardver ranjiv na Microarchitectural Data Sampling (MDS) skup ranjivosti (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Ako je tačan, smatra se da hardver utiče na ove ranjivosti. Ako ima vrednost False, zna se da hardver nije ranjiv.

Podrška za Windows OS za MDS umanjivanje je omogućena

Mape u MDSWindowsSupportEnabled. Ova linija vam govori da li je omogućeno umanjivanje operativnog sistema Windows za Microarchitectural Data Sampling (MDS). Ako ima vrednost True, smatra se da na hardver utiču ranjivosti MDS- a, postoji podrška za operativni sistem Windows za umanjivanje i umanjivanje je omogućeno. Ako ima vrednost False, hardver nije ranjiv, ne postoji podrška za operativni sistem Windows ili umanjivanje nije omogućeno.

Ublažavanje SBDR-a je prisutna podrška za Windows OS

Mape u FBClearWindowsSupportPresent. Ova linija vam govori da li postoji podrška za operativni sistem Windows za ublažavanje SBDR operativnog sistema. Ako ima vrednost True, ispravka iz juna 2022. instalirana je na uređaju i prisutan je ublaženje za SBDR. Ako ima vrednost False, ispravka iz juna 2022. nije instalirana, a ublaženje za SBDR nije prisutno.

Hardver je ranjiv na SBDR

Mape u SBDRSSDPHardwareVulnerable. Ova linija vam govori da li je hardver ranjiv na SBDR (pročitani podaci deljenih bafera] skupa ranjivosti (CVE-2022-21123). Ako je tačan, smatra se da hardver utiče na ove ranjivosti. Ako ima vrednost False, zna se da hardver nije ranjiv.

Podrška za Windows OS za SBDR ublažavanje je omogućena

Mape u FBClearWindowsSupportEnabled. Ova linija vam govori da li je omogućeno ublažavanje operativnog sistema Windows za SBDR [čitanje deljenih podataka o baferima]. Ako ima vrednost True, veruje se da na hardver utiču ranjivosti SBDR- a, da je prisutan operativna podrška za Windows za ublažavanje i da je ublažavanje omogućeno. Ako ima vrednost False, hardver nije ranjiv, ne postoji podrška za operativni sistem Windows ili umanjivanje nije omogućeno.

Podrška za Windows OS za Umanjivanje FBSDP-a je prisutna

Mape u FBClearWindowsSupportPresent. Ova linija vam govori da li postoji podrška operativnog sistema Windows za umanjivanje operativnog sistema FBSDP. Ako ima vrednost "Tačno", ispravka iz juna 2022. instalirana je na uređaju i prisutan je umanjivanje za FBSDP. Ako ima vrednost False, ispravka iz juna 2022. nije instalirana i umanjivanje za FBSDP nije prisutno.

Hardver je ranjiv na FBSDP

Mape u FBSDPHardwareVulnerable. Ova linija vam govori da li je hardver ranjiv na FBSDP [prenos podataka zausebnih bafera] skupa ranjivosti (CVE-2022-21125, CVE-2022-21127 i CVE-2022-21166). Ako je tačan, smatra se da hardver utiče na ove ranjivosti. Ako ima vrednost False, zna se da hardver nije ranjiv.

Podrška za Windows OS za FBSDP umanjivanje je omogućena

Mape u FBClearWindowsSupportEnabled. Ova linija vam govori da li je omogućeno umanjivanje operativnog sistema Windows za FBSDP [prenos zaustavlјenih podataka bafera za popunjavanje]. Ako je vrednost " Tačno", smatra se da na hardver utiču ranjivosti FBSDP- a, operativna podrška za Windows za umanjivanje je prisutna i umanjivanje je omogućeno. Ako ima vrednost False, hardver nije ranjiv, ne postoji podrška za operativni sistem Windows ili umanjivanje nije omogućeno.

Podrška za Windows OS za Umanjivanje PSDP-a je prisutna

Mape u FBClearWindowsSupportPresent. Ova linija vam govori da li postoji podrška za operativni sistem Windows za umanjivanje PSDP operativnog sistema. Ako ima vrednost "Tačno", ispravka iz juna 2022. instalirana je na uređaju i prisutan je umanjivanje za PSDP. Ako ima vrednost False, ispravka iz juna 2022. nije instalirana, a umanjivanje za PSDP nije prisutno.

Hardver je ranjiv na PSDP

Mape u PSDPHardwareVulnerable. Ova linija vam govori da li je hardver ranjiv na PSDP [primarni zaostalac prenosa podataka] skupa ranjivosti. Ako je tačan, smatra se da hardver utiče na ove ranjivosti. Ako ima vrednost False, zna se da hardver nije ranjiv.

Podrška za Windows OS za Umanjivanje PSDP-a je omogućena

Mape u FBClearWindowsSupportEnabled. Ova linija vam govori da li je omogućeno umanjivanje operativnog sistema Windows za PSDP [primarni prenos zaustavlјenih podataka]. Ako ima vrednost True, smatra se da na hardver utiču ranjivosti PSDP-a, da je prisutan operativna podrška za windows za umanjivanje i da je umanjivanje omogućeno. Ako ima vrednost False, hardver nije ranjiv, ne postoji podrška za operativni sistem Windows ili umanjivanje nije omogućeno.

Ključ registratora

Mapiranje

FeatureSettingsOverride – Bit 0

Maps to - Grana ciljne umetanja - BTIWindowsSupportEnabled

FeatureSettingsOverride – Bit 1

Mape za - Odmetnuto učitavanje keša podataka - VAShadowWindowsSupportEnabled