สรุป
Microsoft จะทราบของคลาสที่เปิดเผยทั่วไปใหม่ของช่องโหว่ที่เรียกกันว่า "โจมตีด้านสถานีดำเนินการ speculative" ช่องโหว่เหล่านี้มีผลกระทบต่อหลายตัวประมวลผลแบบสมัยใหม่และระบบปฏิบัติการ ข้อมูลนี้รวมถึง chipsets จาก Intel, AMD และ ARM
เรายังไม่ได้รับข้อมูลใด ๆ เพื่อบ่งชี้ว่า มีการใช้ช่องโหว่เหล่านี้จะถูกโจมตีลูกค้า เรายังทำงานอย่างใกล้ชิดกับคู่ค้าอุตสาหกรรมเพื่อปกป้องลูกค้า ซึ่งรวมถึงผู้ผลิตชิพ Oem ฮาร์ดแวร์ และผู้จำหน่ายโปรแกรมประยุกต์ เพื่อที่ได้รับการป้องกันทั้งหมดที่พร้อมใช้งาน การปรับปรุงฮาร์ดแวร์ หรือซอฟต์แวร์ และเฟิร์มแวร์จำเป็น รุ่นนี้มี microcode จากอุปกรณ์ Oem และ ในบางกรณี การปรับปรุงซอฟต์แวร์ป้องกันไวรัส เราได้นำออกใช้แล้วโปรแกรมปรับปรุงต่าง ๆ เพื่อช่วยบรรเทาความเสี่ยงเหล่านี้ สามารถพบข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ใน Microsoft ADV180002 คำแนะนำด้านความปลอดภัย สำหรับคำแนะนำทั่วไป ดูคำแนะนำสำหรับช่องโหว่ด้านสถานีดำเนินการ speculative mitigatingได้ด้วย เรายังทำการดำเนินการจะช่วยรักษาความปลอดภัยบริการ cloud ของเรา ดูส่วนต่อไปนี้เพื่อดูรายละเอียดเพิ่มเติม
รุ่นของเซิร์ฟเวอร์ Exchange ได้รับผลกระทบ
เนื่องจากสิ่งเหล่านี้จะโจมตีระดับฮาร์ดแวร์ที่เป้าระบบตัวประมวลผล x64 และ x86- รุ่นที่สนับสนุนทั้งหมดของ Microsoft Exchange Server จะได้รับผลกระทบจากปัญหานี้
คำแนะนำ
ตารางต่อไปนี้อธิบายการดำเนินการที่แนะนำสำหรับลูกค้าของ Exchange Server มีการปรับปรุงอัตราแลกเปลี่ยนไม่มีเฉพาะที่จำเป็นอยู่ในขณะนี้ อย่างไรก็ตาม เราขอแนะนำว่า ลูกค้าทำงานทุกครั้งปรับปรุงสะสม Exchange Server ล่าสุดและปรับปรุงการรักษาความปลอดภัยที่จำเป็น เราขอแนะนำให้ คุณปรับใช้การแก้ไขปัญหา โดยใช้ขั้นตอนต่าง ๆ ใน ususal เพื่อตรวจสอบไบนารีใหม่ก่อนที่คุณปรับใช้เหล่านั้นไปยังสภาพแวดล้อมการผลิต
|
สถานการณ์สมมติ |
คำอธิบาย |
คำแนะนำ |
|
1 |
Exchange Server รันบนโลหะเปลือย (ไม่มีเครื่องเสมือน) และรันบนเครื่องโลหะเปลือยเดียวไม่อื่น ๆ ไม่น่าเชื่อถือตรรกะของโปรแกรมประยุกต์ (ระดับแอพลิเคชัน)
|
ใช้ระบบทั้งหมดและการปรับปรุงการเซิร์ฟเวอร์ Exchange หลังจากการทดสอบการตรวจสอบก่อนการผลิตปกติของคุณ การเปิดใช้งานเคอร์เนลเสมือนอยู่แรเงา (KVAS) ไม่จำเป็น (ดูส่วนที่เกี่ยวข้องในบทความนี้) |
|
2 |
Exchange Server จะรันบนเครื่องเสมือนในระบบจัดการโฮสต์สำหรับสาธารณะ (เมฆ) |
สำหรับ Azure: Microsoft ได้ลงรายการบัญชีรายละเอียดเกี่ยวกับความพยายามลดสำหรับ Azure (ดูKB 4073235สำหรับรายละเอียด) สำหรับผู้ให้บริการอื่น ๆ cloud: อ้างอิงถึงคำแนะนำของตนเอง เราขอแนะนำให้ติดตั้งการปรับปรุงระบบปฏิบัติการทั้งหมดบนเครื่องเสมือนแขก (VM) อ้างอิงถึงคำแนะนำในบทความนี้ระบุว่าจะเปิดใช้งาน KVAS |
|
3 |
Exchange Server ถูกเรียกใช้บนเครื่องเสมือนในสภาพแวดล้อมการโฮสต์แบบส่วนตัว |
ดูเอกสารประกอบสำหรับความปลอดภัยแบบ hypervisor สำหรับแนวทางปฏิบัติด้านความปลอดภัย ดูKB 4072698สำหรับ Windows Server และ Hyper-V เราขอแนะนำให้ติดตั้งการปรับปรุงระบบปฏิบัติการทั้งหมดบน VM แขก อ้างอิงถึงคำแนะนำในบทความนี้ระบุว่าจะเปิดใช้งาน KVAS ในภายหลัง |
|
4 |
Exchange Server จะรันบนเครื่องเสมือนหรือทางกายภาพ และแยกต่างหากจากตรรกะของโปรแกรมประยุกต์อื่นที่กำลังทำงานอยู่บนระบบเดียวกันจะไม่
|
เราขอแนะนำให้ติดตั้งการปรับปรุงระบบปฏิบัติการทั้งหมด อ้างอิงถึงคำแนะนำในบทความของบทความนี้ระบุว่าจะเปิดใช้งาน KVAS |
อ่านคำแนะนำของประสิทธิภาพการทำงาน
เราแนะนำลูกค้าทั้งหมดในการประเมินประสิทธิภาพการทำงานของสภาพแวดล้อมเฉพาะของคุณเมื่อคุณใช้การปรับปรุง
วิธีแก้ไขปัญหาที่กำหนดไว้ โดย Microsoft สำหรับชนิดของช่องโหว่ที่ได้อธิบายไว้ที่นี่ จะใช้กลไกใช้ซอฟต์แวร์เพื่อป้องกันการคุกคามระหว่างกระบวนการเข้าถึงข้อมูล เราแนะนำลูกค้าทั้งหมดในการติดตั้งรุ่นที่ปรับปรุง Exchange Server และ Windows ซึ่งควรมีผลกระทบต่อประสิทธิภาพเพียงเล็กน้อย ยึดตาม Microsoft การทดสอบของทั้งปริมาณงานในการแลกเปลี่ยน
เราได้วัดผลของเคอร์เนลเสมือนอยู่แรเงา (KVAS) บนทั้งปริมาณงานต่าง ๆ เราได้พบว่า บางเวิร์คพบประสิทธิภาพที่ลดลงที่สำคัญ Exchange Server เป็นหนึ่งทั้งปริมาณงานเหล่านั้นอาจพบการลดลงอย่างมากถ้ามีการเปิดใช้งาน KVAS คาดว่าเซิร์ฟเวอร์ที่แสดงการใช้งาน CPU สูงหรือรูปแบบการใช้งาน I/O สูง เพื่อแสดงผลมากที่สุด เราขอแนะนำให้ คุณประเมินผลประสิทธิภาพการทำงานของการเปิดใช้งาน KVAS โดยรันการทดสอบในห้องปฏิบัติการที่แสดงถึงความต้องการผลิตของคุณก่อนที่คุณจัดวางไว้ในสภาพแวดล้อมการผลิต ก่อน ถ้าผลประสิทธิภาพการทำงานของการเปิดใช้งาน KVAS ไม่สูงเกินไป ควรพิจารณาว่า แยกเซิร์ฟเวอร์ Exchange จากโค้ดที่ไม่น่าเชื่อถือที่กำลังทำงานอยู่บนระบบเดียวกันเป็นการลดปัญหาที่ดีกว่าสำหรับแอพลิเคชัน
รายละเอียดเพิ่มเติมจาก KVAS ข้อมูลเกี่ยวกับผลประสิทธิภาพการทำงานจากฝ่ายสนับสนุนฮาร์ดแวร์ลดใส่เป้าหมายสาขา (IBC)ที่นี่ เซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server และที่มีในโซลูชันของ IBC ที่ปรับใช้กับอาจพบกับประสิทธิภาพที่ลดลงอย่างมากถ้ามีการเปิดใช้งาน IBC
เราคาดว่าจะมีผู้จำหน่ายฮาร์ดแวร์จะเสนอโปรแกรมปรับปรุงผลิตภัณฑ์ของตนในรูปของการปรับปรุง microcode ประสบการณ์ใช้งานของเรา มีอัตราแลกเปลี่ยนบ่งชี้ว่า การปรับปรุง microcode จะเพิ่มประสิทธิภาพการทำงานแบบหล่น ขอบเขตที่เกิดปัญหานี้ขึ้นสูงขึ้นอยู่กับส่วนประกอบและการออกแบบของระบบซึ่งจะมีใช้อยู่ เราเชื่อว่า ไม่มีโซลูชันเดียว ว่าซอฟต์แวร์ หรือฮาร์ดแวร์- เพียงพอที่จะอยู่นี้ชนิดของช่องโหว่เพียงอย่างเดียว เราสนับสนุนให้คุณสามารถประเมินประสิทธิภาพการทำงานของโปรแกรมปรับปรุงทั้งหมดที่พิจารณาถึง variability ในการออกแบบระบบและประสิทธิภาพการทำงานก่อนที่คุณใส่ข้อมูลเหล่านั้นลงในการผลิต ไม่มีการวางแผนทีมแลกเปลี่ยนการปรับปรุง'เครื่องคำนวณ'ที่จับสำหรับปรับขนาดที่ใช้ โดยลูกค้าบัญชีสำหรับผลต่างของประสิทธิภาพการทำงานในขณะนี้ การคำนวณโดยเครื่องมือนี้จะไม่คำนึงถึงการเปลี่ยนแปลงใด ๆ ในประสิทธิภาพการทำงานที่เกี่ยวข้องกับการแก้ไขปัญหาสำหรับปัญหาเหล่านี้ เราจะดำเนินต่อเพื่อประเมินเครื่องมือนี้และการปรับปรุงซึ่งเราเชื่อว่า อาจจะต้องใช้ ขึ้นอยู่กับการใช้งานของเราเองและของลูกค้า
เราจะปรับปรุงส่วนนี้เป็นข้อมูลเพิ่มเติมจะพร้อมใช้งาน
ที่อยู่เสมือนที่เคอร์เนลที่เปิดใช้งานการทำแชโดว์
มีรันเซิร์ฟเวอร์ Exchange ในสภาพแวดล้อมหลาย รวมทั้งระบบทางกายภาพ VMs ในสภาพแวดล้อมเมฆสาธารณะ และส่วนตัว และระบบปฏิบัติการ Windows โดยไม่คำนึงถึงสภาพแวดล้อม โปรแกรมจะอยู่บนระบบมีอยู่จริงหรือ VM สภาพแวดล้อมนี้ ว่าจริง หรือ เสมือน เรียกว่าการรักษาความปลอดภัยขอบเขต
ถ้าโค้ดทั้งหมดภายในขอบเขตมีการเข้าถึงข้อมูลทั้งหมดภายในขอบเขตนั้น ไม่มีการกระทำที่ถูกต้อง ถ้าไม่เป็น ขอบเขตกล่าวได้ว่า เป็นผู้เช่าหลายครั้ง ช่องโหว่ที่พบได้ช่วยให้รหัสใด ๆ ที่กำลังทำงานอยู่ในกระบวนการภายในขอบเขตนั้นเพื่ออ่านข้อมูลอื่น ๆ อยู่ภายในขอบเขตนั้น นี้เป็นจริงแม้แต่ภายใต้สิทธิ์ลดลง ถ้ากระบวนการใด ๆ ในขอบเขตกำลังเรียกใช้โค้ดที่ไม่น่าเชื่อถือกระบวนการที่สามารถใช้ช่องโหว่เหล่านี้เพื่ออ่านข้อมูลจากกระบวนการอื่น
เมื่อต้องการป้องกันรหัสที่ไม่น่าเชื่อถือในเส้นขอบเขตแบบหลายผู้เช่า ทำอย่างใดอย่างหนึ่งต่อไปนี้:
-
เอาโค้ดไม่น่าเชื่อถือ
-
เปิด KVAS เพื่อป้องกันการอ่านกระบวนการกระบวนการ ซึ่งจะมีผลกระทบต่อประสิทธิภาพการ ดูส่วนก่อนหน้านี้ในบทความนี้สำหรับรายละเอียด
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการเปิดใช้งาน KVAS สำหรับ Windows ดูKB 4072698
สถานการณ์ตัวอย่าง (KVAS ขอแนะนำ)
สถานการณ์สมมติที่ 1
VM Azure การทำงานการบริการซึ่งผู้ใช้ที่ไม่น่าเชื่อถือสามารถส่งโค้ด JavaScript ที่ถูกเรียกใช้ โดยมีจำกัดสิทธิ์ บน VM เดียว Exchange Server จะทำงาน และการจัดการข้อมูลที่ควรไม่สามารถเข้าถึงผู้ใช้เหล่านั้นไม่น่าเชื่อถือ ในสถานการณ์นี้ KVAS จำเป็นเพื่อป้องกันการเปิดเผยระหว่างสองเอนทิตี
สถานการณ์สมมติ 2
ระบบมีอยู่จริงในสถานที่เป็นโฮสต์ของ Exchange Server สามารถเรียกใช้สคริปต์ของบุคคลที่สามที่ไม่น่าเชื่อถือหรือแฟ้มปฏิบัติการ จึงจำเป็นต้องเปิดใช้งาน KVAS เพื่อป้องกันการเปิดเผยข้อมูล Exchange ไปยังสคริปต์ หรือปฏิบัติ
หมายเหตุ Just ได้เนื่องจากมีการใช้กลไกการเพิ่มความสามารถภายใน Exchange Server ที่ไม่โดยอัตโนมัติทำให้ไม่ปลอดภัย กลไกเหล่านี้สามารถใช้ได้อย่างปลอดภัยภายใน Exchange Server ตราบเท่าที่ขึ้นต่อกันของแต่ละจะเข้าใจ และเชื่อถือ นอกจากนี้ มีผลิตภัณฑ์อื่น ๆ ที่ถูกสร้างบนเซิร์ฟเวอร์ Exchange ซึ่งอาจทำให้กลไกการเพิ่มความสามารถในการทำงานได้อย่างถูกต้อง แทน เป็นการกระทำของคุณครั้งแรก ตรวจทานแต่ละใช้เพื่อตรวจสอบว่า รหัสเข้าใจ และเชื่อถือได้ คำแนะนำนี้ให้ไว้เพื่อช่วยลูกค้าในการกำหนดว่า จะมีการเปิดใช้งาน KVAS ได้เนื่องจาก มีความเกี่ยวข้องด้านประสิทธิภาพการทำงานมีขนาดใหญ่ขึ้น
การเปิดใช้งานการสนับสนุนฮาร์ดแวร์ลด (IBC) ใส่เป้าหมายสาขา
IBC mitigates กับ CVE 2017-5715 หรือที่เรียกอีกอย่างหนึ่งว่าครึ่งหนึ่งของ Spectre หรือ "ตัวแปร 2" เปิดเผย GPZ
ตามคำแนะนำสำหรับการเปิดใช้งาน KVAS บน Windows สามารถใช้งาน IBC อย่างไรก็ตาม IBC ยังจำเป็นต้องมีการปรับปรุงเฟิร์มแวร์จากผู้ผลิตฮาร์ดแวร์ของคุณ นอกเหนือจากคำแนะนำในKB 4072698เมื่อต้องการเปิดใช้งานการป้องกันใน Windows ลูกค้าต้องขอรับ และติดตั้งโปรแกรมปรับปรุงจากผู้ผลิตฮาร์ดแวร์ของพวกเขา
สถานการณ์สมมติตัวอย่าง (IBC ขอแนะนำ)
สถานการณ์สมมติที่ 1
ในในสถานทางกายภาพระบบซึ่งโฮสต์ Exchange Server ไม่น่าเชื่อถือจะอนุญาตให้ผู้ใช้อัปโหลด และรันโค้ด JavaScript ที่กำหนด ในสถานการณ์สมมตินี้ เราขอแนะนำอย่างยิ่ง IBC เพื่อป้องกันการเปิดเผยข้อมูลกระบวนการขั้นตอน
ในสถานการณ์ใน IBC ที่สนับสนุนฮาร์ดแวร์ไม่มี เราขอแนะนำให้ คุณแบ่งกระบวนการไม่น่าเชื่อถือและกระบวนการที่เชื่อถือได้ไปยังทางกายภาพที่แตกต่างกันหรือเครื่องเสมือน
กลไกเพิ่มความสามารถของเซิร์ฟเวอร์ Exchange ที่ไม่น่าเชื่อถือ
Exchange Server ประกอบด้วยคุณลักษณะที่เพิ่มความสามารถและกลไก จำนวนมากเหล่านี้จะขึ้นอยู่กับ APIs ที่ไม่อนุญาตให้มีการเรียกใช้บนเซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server ไม่น่าเชื่อถือรหัส บริษัทตัวแทนการขนส่งและเชลล์จัดการการแลกเปลี่ยนอาจทำให้รหัสที่ไม่น่าเชื่อถือให้เรียกใช้บนเซิร์ฟเวอร์ที่กำลังเรียกใช้ Exchange Server ในบางสถานการณ์ ในกรณีที่ทั้งหมด ยกเว้นสำหรับบริษัทตัวแทนการขนส่ง คุณลักษณะในต้องมีการรับรองความถูกต้องก่อนที่จะสามารถใช้ เราขอแนะนำให้ คุณใช้คุณลักษณะการเพิ่มความสามารถที่จะจำกัดชุดของไบนารีขั้นต่ำเมื่อใดก็ ตามที่เกี่ยวข้อง นอกจากนี้เรายังแนะนำว่า ลูกค้าจำกัดการเข้าถึงเซิร์ฟเวอร์เพื่อหลีกเลี่ยงการกำหนดรหัสที่รันในระบบเดียวกันเป็นเซิร์ฟเวอร์ Exchange ด้วย เราแนะนำคุณเพื่อพิจารณาว่าจะเชื่อถือไบนารีแต่ละครั้ง คุณควรปิดใช้งาน หรือเอาไบนารีที่ไม่น่าเชื่อถือ คุณควรตรวจสอบให้แน่ใจว่า อินเทอร์เฟซการจัดการจะไม่ถูกเปิดเผยบนอินเทอร์เน็ต
มีผลิตภัณฑ์ของบริษัทอื่นที่กล่าวถึงในบทความนี้ผลิตขึ้น โดยบริษัทที่ไม่ขึ้นอยู่กับ Microsoft ไมโครซอฟท์ไม่รับประกัน ทั้งโดยนัย หรืออย่างอื่น ใด เกี่ยวกับประสิทธิภาพหรือความน่าเชื่อถือของผลิตภัณฑ์เหล่านี้
