คําแนะนําสําหรับการบล็อกการย้อนกลับการอัปเดตความปลอดภัยบนการจําลองเสมือน (VBS) ที่เกี่ยวข้องกับการรักษาความปลอดภัย

ในบทความนี้

• บทสรุป

• ขอบเขตของผลกระทบ

• การบรรเทาที่พร้อมใช้งาน

• ทําความเข้าใจความเสี่ยงในการลดปัญหา

• แนวทางการปรับใช้การลดปัญหา

  • การปรับใช้นโยบายโหมดการตรวจสอบ

  • การปรับใช้นโยบายการเพิกถอนที่ลงนามโดย Microsoft (SKUSIPolicy.p7b)

  • กําลังอัปเดตสื่อการเริ่มต้นระบบภายนอก

• บันทึกเหตุการณ์ของ Windows

  • เหตุการณ์การเปิดใช้งานนโยบาย

  • ตรวจสอบและบล็อกเหตุการณ์

• ขั้นตอนการเอานโยบายออกและการกู้คืน

บทสรุป

Microsoft ทราบถึงช่องโหว่ใน Windows ที่อนุญาตให้ผู้โจมตีที่มีสิทธิ์ผู้ดูแลระบบแทนที่ไฟล์ระบบ Windows ที่อัปเดตแล้วซึ่งมีเวอร์ชันที่เก่ากว่า เปิดประตูให้ผู้โจมตีสร้างช่องโหว่ขึ้นมาใหม่เพื่อความปลอดภัยที่ใช้การจําลองเสมือน (VBS)  การย้อนกลับของไบนารีเหล่านี้อาจทําให้ผู้โจมตีหลีกเลี่ยงฟีเจอร์ความปลอดภัยของ VBS และส่งข้อมูลที่ได้รับการป้องกันโดย VBS ได้ ปัญหานี้อธิบายไว้ใน CVE-2024-21302 | การยกระดับช่องโหว่ของโหมดเคอร์เนลที่ปลอดภัยของ Windows

เพื่อแก้ไขปัญหานี้ เราจะเพิกถอนไฟล์ระบบ VBS ที่เปราะบางซึ่งไม่ได้รับการอัปเดต เนื่องจากไฟล์ที่เกี่ยวข้องกับ VBS จํานวนมากที่ต้องถูกบล็อก เราจึงใช้วิธีอื่นในการบล็อกเวอร์ชันไฟล์ที่ไม่ได้อัปเดต

ขอบเขตของผลกระทบ

อุปกรณ์ Windows ทั้งหมดที่สนับสนุน VBS จะได้รับผลกระทบจากปัญหานี้ ซึ่งรวมถึงอุปกรณ์ทางกายภาพภายในองค์กรและเครื่องเสมือน (VM) VBS ได้รับการสนับสนุนบน Windows 10 และ Windows เวอร์ชันที่ใหม่กว่า และ Windows Server 2016 และ Windows Server เวอร์ชันที่ใหม่กว่า

สามารถตรวจสอบสถานะ VBS ผ่านเครื่องมือ Microsoft System Information (Msinfo32.exe) เครื่องมือนี้จะเก็บรวบรวมข้อมูลเกี่ยวกับอุปกรณ์ของคุณ หลังจากเริ่ม Msinfo32.exe ให้เลื่อนลงไปที่แถวความปลอดภัยที่ใช้การจําลองเสมือน ถ้าค่าของแถวนี้กําลังทํางานอยู่ VBS จะเปิดใช้งานและทํางานอยู่

สถานะ VBS ยังสามารถตรวจสอบกับ Windows PowerShell โดยใช้คลาส WMI Win32_DeviceGuard เมื่อต้องการสอบถามสถานะ VBS จาก PowerShell ให้เปิดเซสชัน Windows PowerShell ผู้ดูแล แล้วเรียกใช้คําสั่งต่อไปนี้:

หลังจากเรียกใช้คําสั่ง PowerShell ข้างต้นสถานะ VBS ควรเป็นหนึ่งในต่อไปนี้

การบรรเทาที่พร้อมใช้งาน

สําหรับ Windows 10 เวอร์ชัน 1507 และ Windows เวอร์ชันที่ใหม่กว่าทั้งหมด และ Windows Server 2016 และเวอร์ชันที่ใหม่กว่าของ Windows Server ผู้ดูแลระบบสามารถปรับใช้นโยบายการยกเลิกที่ลงนามโดย Microsoft (SkuSiPolicy.p7b) ซึ่งจะบล็อกไฟล์ระบบ VBS เวอร์ชันที่มีช่องโหว่ซึ่งไม่ได้รับการอัปเดตจากการโหลดโดยระบบปฏิบัติการ

เมื่อนํานโยบายนี้ไปใช้กับอุปกรณ์ Windows นโยบายจะถูกล็อกกับอุปกรณ์ด้วยการเพิ่มตัวแปรให้กับเฟิร์มแวร์ UEFI ระหว่างการเริ่มต้นระบบ การโหลดนโยบายและ Windows จะบล็อกการโหลดไบนารีที่ละเมิดนโยบาย หากล็อก UEFI และนโยบายถูกเอาออกหรือแทนที่ด้วยเวอร์ชันที่เก่ากว่า ตัวจัดการการเริ่มต้นระบบ Windows จะไม่เริ่มทํางาน และอุปกรณ์จะไม่เริ่มทํางาน การเริ่มต้นระบบล้มเหลวนี้จะไม่แสดงข้อผิดพลาด และระบบจะดําเนินการต่อไปยังตัวเลือกการเริ่มต้นระบบถัดไปที่อาจส่งผลให้เกิดการวนรอบการเริ่มต้นระบบ

เพื่อให้การลดนโยบายทํางาน ต้องอัปเดตนโยบายโดยใช้การอัปเดตการให้บริการของ Windows เนื่องจากคอมโพเนนต์ของ Windows และนโยบายต้องมาจากการเผยแพร่เดียวกัน หากการลดนโยบายถูกคัดลอกไปยังอุปกรณ์ อุปกรณ์อาจไม่เริ่มทํางานหากมีการบรรเทาเวอร์ชันที่ไม่ถูกต้อง หรือการลดปัญหาอาจไม่ทํางานตามที่คาดไว้ นอกจากนี้ ควรใช้การแก้ไขที่อธิบายไว้ใน KB5025885 กับอุปกรณ์ของคุณ

ทําความเข้าใจความเสี่ยงในการลดปัญหา

คุณต้องตระหนักถึงความเสี่ยงที่อาจเกิดขึ้นก่อนที่จะใช้นโยบายการเพิกถอนที่ลงนามโดย Microsoft โปรดตรวจสอบความเสี่ยงเหล่านี้และทําการอัปเดตที่จําเป็นกับสื่อการกู้คืน ก่อนที่จะ ใช้การบรรเทาปัญหา

• ความถูกต้องของโค้ดในโหมดผู้ใช้ (UMCI) นโยบายการเพิกถอนที่ลงนามโดย Microsoft ทําให้ความถูกต้องของโค้ดในโหมดผู้ใช้สมบูรณ์ เพื่อให้กฎในนโยบายถูกนําไปใช้กับไบนารีในโหมดผู้ใช้ นอกจากนี้ UMCI ยังเปิดใช้งาน ความปลอดภัยรหัสแบบไดนามิก ตามค่าเริ่มต้น การบังคับใช้ฟีเจอร์เหล่านี้อาจมีปัญหาความเข้ากันได้กับแอปพลิเคชันและสคริปต์ และอาจป้องกันไม่ให้แอปพลิเคชันและสคริปต์เหล่านั้นทํางานและมีผลกระทบต่อประสิทธิภาพการทํางานต่อเวลาเริ่มต้น ก่อนที่จะปรับใช้การบรรเทา ให้ทําตามคําแนะนําเพื่อ ปรับใช้นโยบายโหมดการตรวจสอบ เพื่อทดสอบปัญหาที่อาจเกิดขึ้น

• UEFI Lock และถอนการติดตั้งการอัปเดต หลังจากการใช้การล็อก UEFI กับนโยบายการยกเลิกที่ Microsoft ลงนามบนอุปกรณ์แล้ว จะไม่สามารถแปลงกลับอุปกรณ์ได้ (โดยการถอนการติดตั้งการอัปเดตของ Windows โดยใช้จุดคืนค่า หรือด้วยวิธีอื่น) หากคุณยังคงใช้การบูตแบบปลอดภัยต่อไป แม้การฟอร์แมตดิสก์ใหม่จะไม่ลบล็อค UEFI ของการลดปัญหาหากมีการนําไปใช้แล้ว ซึ่งหมายความว่าหากคุณพยายามเปลี่ยนระบบปฏิบัติการ Windows กลับเป็นสถานะก่อนหน้าที่ไม่มีการลดการใช้ อุปกรณ์จะไม่เริ่มต้นระบบ จะไม่มีข้อความแสดงข้อผิดพลาดปรากฏขึ้น และ UEFI จะดําเนินการต่อไปยังตัวเลือกการเริ่มต้นระบบที่พร้อมใช้งานถัดไป ซึ่งอาจทําให้เกิดการวนรอบการบูต คุณต้องปิดใช้งานการบูตแบบปลอดภัยเพื่อลบการล็อก UEFI โปรดตระหนักถึงผลกระทบที่เป็นไปได้ทั้งหมดและทดสอบอย่างละเอียดก่อนที่คุณจะใช้การเพิกถอนที่ระบุไว้ในบทความนี้กับอุปกรณ์ของคุณ

• สื่อการเริ่มต้นระบบภายนอก หลังจากใช้การบรรเทาการล็อก UEFI กับอุปกรณ์แล้ว สื่อการบูตภายนอกต้องได้รับการอัปเดตด้วยการอัปเดต Windows ล่าสุดที่ติดตั้งบนอุปกรณ์และด้วยนโยบายการยกเลิกที่ลงนามโดย Microsoft (SkuSiPolicy.p7b) หากไม่มีการอัปเดตสื่อการบูตภายนอก อุปกรณ์อาจไม่เริ่มต้นระบบจากสื่อนั้น ดูคําแนะนําในส่วน การปรับปรุงสื่อการเริ่มต้นระบบภายนอก ก่อนที่จะใช้การแก้ไข
  
  สื่อการเริ่มต้นระบบที่ได้รับการอัปเดตด้วยนโยบายการยกเลิกที่ลงนามโดย Microsoft จะต้องใช้เพื่อเริ่มต้นระบบอุปกรณ์ที่มีการนําการแก้ไขไปใช้แล้วเท่านั้น  หากใช้กับอุปกรณ์ที่ไม่มีการลดปัญหา ล็อค UEFI จะถูกนําไปใช้ระหว่างการเริ่มต้นระบบจากสื่อการบูต เริ่มต้นในภายหลังจากดิสก์จะล้มเหลวเว้นแต่อุปกรณ์จะได้รับการอัปเดตด้วยการลดหรือการล็อก UEFI จะถูกลบออก

• Windows Recovery Environment Windows Recovery Environment (WinRE) บนอุปกรณ์ต้องได้รับการอัปเดตด้วยการอัปเดตล่าสุดของ Windows ที่ติดตั้งบนอุปกรณ์ก่อนที่จะมีการนํา SkuSipolicy.p7b ไปใช้กับอุปกรณ์ การละเว้นขั้นตอนนี้อาจทําให้ WinRE ไม่สามารถเรียกใช้ ฟีเจอร์รีเซ็ตพีซีได้  ดูข้อมูลเพิ่มเติมได้ที่ เพิ่มแพคเกจการอัปเดตลงใน Windows RE

• การบูต Preboot Execution Environment (PXE) หากมีการปรับใช้การลดปัญหากับอุปกรณ์และคุณพยายามใช้การบูตแบบ PXE อุปกรณ์จะไม่เริ่มต้นเว้นแต่จะมีการใช้การแก้ไขกับแหล่งการบูตเครือข่าย (รากที่มี bootmgfw.efi อยู่) หากอุปกรณ์เริ่มต้นจากแหล่งเริ่มต้นระบบเครือข่ายที่มีการนําการบรรเทาไปใช้ การล็อก UEFI จะมีผลกับอุปกรณ์และผลกระทบต่อมาจะเริ่มทํางาน เราไม่แนะนําให้ปรับใช้การลดปัญหากับแหล่งการเริ่มต้นระบบเครือข่าย เว้นแต่ว่าอุปกรณ์ทั้งหมดในสภาพแวดล้อมของคุณมีการปรับใช้การลดปัญหา  

แนวทางการปรับใช้การลดปัญหา

เมื่อต้องการแก้ไขปัญหาที่อธิบายไว้ในบทความนี้ คุณสามารถปรับใช้นโยบายการเพิกถอนที่ลงนามโดย Microsoft (SkuSiPolicy.p7b) การลดปัญหานี้รองรับเฉพาะใน Windows 10 เวอร์ชัน 1507 และ Windows เวอร์ชันที่ใหม่กว่า และ Windows Server 2016 เท่านั้น ก่อนที่คุณจะปรับใช้นโยบายการเพิกถอนที่ลงนามโดย Microsoft (SkuSiPolicy.p7b) คุณควรทดสอบปัญหาความเข้ากันได้โดยใช้นโยบายโหมดตรวจสอบ

หมายเหตุ หากคุณใช้ BitLocker ตรวจสอบให้แน่ใจว่าคีย์การกู้คืน BitLocker ของคุณได้รับการสํารองไว้แล้ว คุณสามารถเรียกใช้คําสั่งต่อไปนี้จากพร้อมท์คําสั่งของผู้ดูแลระบบและจดบันทึกรหัสผ่านตัวเลข 48 หลัก:

บันทึกเหตุการณ์ของ Windows

Windows จะบันทึกเหตุการณ์เมื่อนโยบายความถูกต้องของโค้ด รวมถึง SkuSiPolicy.p7b ถูกโหลด และเมื่อไฟล์ถูกบล็อกไม่ให้โหลดเนื่องจากการบังคับใช้นโยบาย คุณสามารถใช้เหตุการณ์เหล่านี้เพื่อตรวจสอบว่ามีการนําการแก้ไขไปใช้แล้ว

บันทึกความสมบูรณ์ของโค้ดจะพร้อมใช้งานในตัวแสดงเหตุการณ์ Windows ภายใต้บันทึกแอปพลิเคชันและบริการ > บันทึกของ Microsoft > Windows > CodeIntegrity > การดําเนินการ > แอปพลิเคชันและบริการบันทึก > Services > Microsoft > Windows > AppLocker > MSI และสคริปต์

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับเหตุการณ์ความสมบูรณ์ของโค้ด ดูที่ คู่มือการดําเนินงานของการควบคุมแอปพลิเคชัน Windows Defender

ขั้นตอนการเอานโยบายออกและการกู้คืน

หากมีบางอย่างผิดปกติหลังจากใช้การบรรเทาคุณสามารถใช้ขั้นตอนต่อไปนี้เพื่อลบการบรรเทา:

1. หยุด BitLocker ชั่วคราวถ้าเปิดใช้งาน เรียกใช้คําสั่งต่อไปนี้จากหน้าต่างพร้อมท์คําสั่งด้วยสิทธิ์ผู้ดูแล:

   Manager-bde -protectors -disable c: -rebootcount 3

2. ปิด การบูตแบบปลอดภัย จากเมนู UEFI BIOS
   
   ขั้นตอนการปิดการบูตแบบปลอดภัยจะแตกต่างกันระหว่างผู้ผลิตอุปกรณ์และรุ่นต่างๆ สําหรับความช่วยเหลือในการค้นหาตําแหน่งที่จะปิดการบูตแบบปลอดภัย โปรดดูเอกสารจากผู้ผลิตอุปกรณ์ของคุณ สามารถดูรายละเอียดเพิ่มเติมได้ใน การปิดใช้งานการบูตแบบปลอดภัย

3. เอานโยบาย SkuSiPolicy.p7b ออก

   1. เริ่ม Windows ตามปกติ แล้วลงชื่อเข้าใช้
      
      นโยบาย SkuSiPolicy.p7b ต้องถูกเอาออกจากตําแหน่งที่ตั้งต่อไปนี้:

      • <>พาร์ติชันระบบ EFI \Microsoft\Boot\SKUSiPolicy.p7b

   2. รันสคริปต์ต่อไปนี้จากรอบเวลา Windows PowerShell ผู้ดูแลเพื่อล้างข้อมูลนโยบายจากที่ตั้งเหล่านั้น:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem) AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path $EFIPolicyPath ) {remove-item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. เปิดการบูตแบบปลอดภัยจาก BIOS
   
   ดูคู่มือจากผู้ผลิตอุปกรณ์ของคุณเพื่อค้นหาตําแหน่งที่จะเปิดการบูตแบบปลอดภัย
   
   หากคุณปิดการบูตแบบปลอดภัยในขั้นตอนที่ 1 และไดรฟ์ของคุณได้รับการป้องกันโดย BitLocker ให้ หยุดการป้องกัน BitLocker ชั่วคราว แล้วเปิดการบูตแบบปลอดภัยจากเมนู UEFI BIOS ของคุณ

5. เปิด BitLocker เรียกใช้คําสั่งต่อไปนี้จากหน้าต่างพร้อมท์คําสั่งด้วยสิทธิ์ผู้ดูแล:

   Manager-bde -protectors -enable c:

6. รีสตาร์ตอุปกรณ์