KB4074629: SpeculationControl PowerShell betik çıkışını anlama

Yöntem 1: PowerShell Galerisi (Windows Server 2016 veya WMF 5.0/5.1) kullanarak PowerShell doğrulaması

PowerShell modülünü yükleme

PS> Install-Module SpeculationControl

Korumaların etkinleştirildiğini doğrulamak için SpeculationControl PowerShell modülünü çalıştırın

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Yöntem 2: TechNet'ten indirme kullanarak PowerShell doğrulaması (önceki işletim sistemi sürümleri/önceki WMF sürümleri)

TechNet ScriptCenter'nden PowerShell modülünü yükleme

1. https://aka.ms/SpeculationControlPS gidin.

2. SpeculationControl.zip yerel bir klasöre indirin.

3. İçeriği yerel bir klasöre ayıklama, örneğin C:\ADV180002

Korumaların etkinleştirildiğini doğrulamak için PowerShell modülünü çalıştırın

PowerShell'i başlatın ve ardından (yukarıdaki örneği kullanarak) aşağıdaki komutları kopyalayıp çalıştırın:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Çıkış

Açıklama

CVE-2017-5715 için spekülasyon denetimi ayarları [dal hedef ekleme]

Bu bölüm, değişken 2, CVE-2017-5715, dal hedef ekleme için sistem durumunu sağlar.

Dal hedefi ekleme azaltma için donanım desteği mevcut

BTIHardwarePresent'e Haritalar. Bu satır, dal hedefi ekleme azaltmayı desteklemek için donanım özelliklerinin mevcut olup olmadığını bildirir. Cihaz OEM'i, CPU üreticileri tarafından sağlanan mikro kodu içeren güncelleştirilmiş BIOS/üretici yazılımını sağlamakla sorumludur. Bu satır True ise, gerekli donanım özellikleri vardır. Satır False ise, gerekli donanım özellikleri yoktur ve bu nedenle dal hedefi ekleme azaltma etkinleştirilemez.

Yükleme dosyasının doğru sürümü ve sağlaması olduğunda Algıla ve Onar bu dosyanın üzerine kopyalamaz. Konakta OEM güncelleştirmesi uygulanmışsa ve yönergelerizlenirse, konuk VM'lerde BTIHardwarePresent True olur.

Dal hedef ekleme azaltma için Windows işletim sistemi desteği mevcut

BTIWindowsSupportPresent'e Haritalar. Bu satır, dal hedef ekleme azaltma için Windows işletim sistemi desteği olup olmadığını bildirir. True ise, işletim sistemi dal hedefi ekleme azaltmasını etkinleştirmeyi destekler (ve bu nedenle Ocak 2018 güncelleştirmesini yüklemiştir). False ise, Ocak 2018 güncelleştirmesi cihaza yüklenmemiştir ve dal hedefi ekleme azaltma etkinleştirilemez.

Yükleme dosyasının doğru sürümü ve sağlaması olduğunda Algıla ve Onar bu dosyanın üzerine kopyalamaz. Konuk VM konak donanım güncelleştirmesini algılayamazsa, BTIWindowsSupportEnabled her zaman False olur.

Dal hedef ekleme azaltma için Windows işletim sistemi desteği etkinleştirildi

BTIWindowsSupportEnabled'a Haritalar. Bu satır, dal hedef ekleme azaltması için Windows işletim sistemi desteğinin etkinleştirilip etkinleştirilmediğini bildirir. Doğru ise, cihaz için dal hedef ekleme azaltma için donanım desteği ve işletim sistemi desteği etkinleştirilir, bu nedenle CVE-2017-5715'e karşı koruma sağlar. False ise, aşağıdaki koşullardan biri doğrudur:

• Donanım desteği yok.

• İşletim sistemi desteği yok.

• Risk azaltma, sistem ilkesi tarafından devre dışı bırakıldı.

Dal hedef ekleme azaltma için Windows işletim sistemi desteği sistem ilkesi tarafından devre dışı bırakıldı

BTIDisabledBySystemPolicy'ye Haritalar. Bu satır, dal hedefi ekleme azaltmasının sistem ilkesi (yönetici tanımlı ilke gibi) tarafından devre dışı bırakılıp bırakılmadığını bildirir. Sistem ilkesi, KB4072698'de belgelendiği gibi kayıt defteri denetimlerini ifade eder. True ise, sistem ilkesi azaltmayı devre dışı bırakmakla sorumludur. False ise, azaltma farklı bir nedenden devre dışı bırakılır.

Dal hedef ekleme azaltma için Windows işletim sistemi desteği, donanım desteği olmadığında devre dışı bırakıldı

BTIDisabledByNoHardwareSupport'a Haritalar. Bu satır, donanım desteğinin olmaması nedeniyle dal hedefi ekleme azaltmanın devre dışı bırakılıp bırakılmadığını bildirir. True ise, azaltmayı devre dışı bırakmak donanım desteğinin olmamasından sorumludur. False ise, azaltma farklı bir nedenden devre dışı bırakılır.

NotKonuk VM konak donanım güncelleştirmesini algılayamazsa, BTIDisabledByNoHardwareSupport her zaman True olur.

CVE-2017-5754 için tahmini denetim ayarları [standart dışı veri önbelleği yükü]

Bu bölüm değişken 3, CVE-2017-5754, sahte veri önbelleği yükü için özet sistem durumu sağlar. Bunun risk azaltması çekirdek Sanal Adresi (VA) gölgesi veya sahte veri önbelleği yük azaltma olarak bilinir.

Donanım için çekirdek VA gölgelendirmesi gerekir

KVAShadowRequired'a Haritalar. Bu satır, donanımın CVE-2017-5754'e karşı savunmasız olup olmadığını bildirir. True ise donanımın CVE-2017-5754'e karşı savunmasız olduğu düşünülebilir. False ise, donanımın CVE-2017-5754'e karşı savunmasız olmadığı bilinmektedir.

Çekirdek VA gölgesi için Windows işletim sistemi desteği var

KVAShadowWindowsSupportPresent'e Haritalar. Bu satır, çekirdek VA gölge özelliği için Windows işletim sistemi desteği olup olmadığını bildirir. True ise, Ocak 2018 güncelleştirmesi cihaza yüklenir ve çekirdek VA gölgesi desteklenir. False ise Ocak 2018 güncelleştirmesi yüklenmez ve çekirdek VA gölge desteği yoktur.

Çekirdek VA gölgesi için Windows işletim sistemi desteği etkinleştirildi

KVAShadowWindowsSupportEnabled'a Haritalar. Bu satır, çekirdek VA gölge özelliğinin etkinleştirilip etkinleştirilmediğini bildirir. True ise donanımın CVE-2017-5754'e karşı savunmasız olduğu düşünülebilir, Windows işletim sistemi desteği vardır ve özellik etkinleştirilmiştir. Çekirdek VA gölge özelliği şu anda Windows istemci sürümlerinde varsayılan olarak etkindir ve Windows Server sürümlerinde varsayılan olarak devre dışıdır. False ise, Windows işletim sistemi desteği mevcut değildir veya özellik etkinleştirilmemiştir.

PCID performans iyileştirmesi için Windows işletim sistemi desteği etkinleştirildi

NotGüvenlik için PCID gerekli değildir. Yalnızca bir performans geliştirmenin etkinleştirilip etkinleştirilmediğini gösterir. PCID, Windows Server 2008 R2 ile desteklenmez

KVAShadowPcidEnabled'a Haritalar. Bu satır, çekirdek VA gölgesi için ek bir performans iyileştirmenin etkinleştirilip etkinleştirilmediğini bildirir. True ise çekirdek VA gölgesi etkinleştirilir, PCID için donanım desteği sağlanır ve çekirdek VA gölgesi için PCID iyileştirmesi etkinleştirilir. False ise donanım veya işletim sistemi PCID'yi desteklemeyebilir. PCID iyileştirmesinin etkinleştirilmemesi bir güvenlik zayıflığı değildir.

Kurgusal Depo Atlama Devre Dışı Bırakma için Windows işletim sistemi desteği mevcut

SSBDWindowsSupportPresent'e Haritalar. Bu satır, Kurgusal Depolama Atlama Devre Dışı Bırakma için Windows işletim sistemi desteği olup olmadığını bildirir. True ise, Ocak 2018 güncelleştirmesi cihaza yüklenir ve çekirdek VA gölgesi desteklenir. False ise Ocak 2018 güncelleştirmesi yüklenmez ve çekirdek VA gölge desteği yoktur.

Donanım, Kurgusal Depo Atlama Devre Dışı Bırakma gerektirir

SSBDHardwareVulnerablePresent'e Haritalar. Bu satır, donanımın CVE-2018-3639'a karşı savunmasız olup olmadığını bildirir. True ise donanımın CVE-2018-3639'a karşı savunmasız olduğu düşünülebilir. False ise, donanımın CVE-2018-3639'a karşı savunmasız olmadığı bilinmektedir.

Kurgusal Mağaza Atlama Devre Dışı Bırakma için donanım desteği var

SSBDHardwarePresent'e Haritalar. Bu satır, Kurgusal Mağaza Atlama Devre Dışı Bırakma özelliğini desteklemek için donanım özelliklerinin mevcut olup olmadığını bildirir. Cihaz OEM, Intel tarafından sağlanan mikro kodu içeren güncelleştirilmiş BIOS/üretici yazılımını sağlamakla sorumludur. Bu satır True ise, gerekli donanım özellikleri vardır. Satır False ise, gerekli donanım özellikleri yoktur ve bu nedenle Tahmini Depolama Atlama Devre Dışı Bırak özelliği açılamaz.

Not KONAKta OEM güncelleştirmesi uygulanmışsa konuk VM'lerde SSBDHardwarePresent True olur.

Kurgusal Depo Atlama Devre Dışı Bırakma için Windows işletim sistemi desteği açık

SSBDWindowsSupportEnabledSystemWide'a Haritalar. Bu satır, Windows işletim sisteminde Tahmini Depolama Atlama Devre Dışı Bırakma'nın açık olup olmadığını bildirir. Doğru ise, Spekülatif Mağaza Atlama Devre Dışı Bırakma için donanım desteği ve işletim sistemi desteği cihaz için açık olduğundan Tahmini Mağaza Atlamasının oluşmasını önler ve bu da güvenlik riskini tamamen ortadan kaldırır. False ise, aşağıdaki koşullardan biri doğrudur:

• Donanım desteği yok.

• İşletim sistemi desteği yok.

• Tahmini Mağaza Atlama Devre Dışı Bırakma, kayıt defteri anahtarları aracılığıyla etkinleştirilmedi. Bunların nasıl etkinleştirileceğine ilişkin yönergeler için aşağıdaki makalelere bakın:

  • KB4073119: SILIKON tabanlı mikro mimari ve kurgusal yürütme yan kanal güvenlik açıklarına karşı koruma sağlamak için BT Uzmanlarına yönelik Windows istemci kılavuzu

  • KB4072698: silikon tabanlı mikro mimari ve kurgusal yürütme yan kanal güvenlik açıklarına karşı koruma sağlamak için Windows Sunucusu ve Azure Stack HCI kılavuzu

CVE-2018-3620 için spekülasyon denetimi ayarları [L1 terminal hatası]

Bu bölüm CVE-2018-3620 tarafından başvuruda bulunılan L1TF (işletim sistemi) için özet sistem durumu sağlar. Bu azaltma, güvenli sayfa çerçevesi bitlerinin mevcut olmayan veya geçersiz sayfa tablosu girdileri için kullanılmasını sağlar.

Yükleme dosyasının doğru sürümü ve sağlaması olduğunda Algıla ve Onar bu dosyanın üzerine kopyalamaz. Bu bölüm CVE-2018-3646 tarafından başvuruda bulunılan L1TF (VMM) için risk azaltma durumunun özetini sağlamaz.

Donanım L1 terminal hatasına karşı savunmasız: True

L1TFHardwareVulnerable'a Haritalar. Bu satır, donanımın L1 Terminal Hatasına (L1TF, CVE-2018-3620) karşı savunmasız olup olmadığını bildirir. True ise donanımın CVE-2018-3620'ye karşı savunmasız olduğu düşünülebilir. False ise donanımın CVE-2018-3620'ye karşı savunmasız olmadığı bilinmektedir.

L1 terminal hatasını azaltma için Windows işletim sistemi desteği mevcut: Doğru

L1TFWindowsSupportPresent'e Haritalar. Bu satır, L1 Terminal Hatası (L1TF) işletim sistemi azaltması için Windows işletim sistemi desteği olup olmadığını bildirir. Doğru ise, ağustos 2018 güncelleştirmesi cihaza yüklenir ve CVE-2018-3620 için azaltma mevcut olur. False ise Ağustos 2018 güncelleştirmesi yüklenmez ve CVE-2018-3620 için azaltma mevcut değildir.

L1 terminal hatasını azaltma için Windows işletim sistemi desteği etkinleştirildi: True

L1TFWindowsSupportEnabled'a Haritalar. Bu satır, L1 Terminal Hatası (L1TF, CVE-2018-3620) için Windows işletim sistemi azaltmanın etkinleştirilip etkinleştirilmediğini bildirir. True ise, donanımın CVE-2018-3620'ye karşı savunmasız olduğu düşünülebilir, Windows azaltma için işletim sistemi desteği vardır ve azaltma etkinleştirilmiştir. False ise, donanım güvenlik açığına açık değildir, Windows işletim sistemi desteği mevcut değildir veya azaltma etkinleştirilmemiştir.

AVH için spekülasyon denetimi ayarları [Mikro mimari Veri Örnekleme]

Bu bölüm, AVH güvenlik açıkları kümesi için sistem durumunu sağlar: CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 ve ADV220002.

AVH azaltma için Windows işletim sistemi desteği mevcut

MDSWindowsSupportPresent'e Haritalar. Bu satır, Mikro mimari Veri Örnekleme (AVH) işletim sistemi azaltma için Windows işletim sistemi desteğinin mevcut olup olmadığını bildirir. Doğru ise, Mayıs 2019 güncelleştirmesi cihaza yüklenir ve AVH için azaltma sağlanır. False ise Mayıs 2019 güncelleştirmesi yüklenmez ve AVH için azaltma mevcut değildir.

Donanım AVH

MDSHardwareVulnerable'a Haritalar. Bu satır, donanımın Mikro Mimari Veri Örnekleme (AVH) güvenlik açıkları kümesine (CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139) karşı savunmasız olup olmadığını bildirir. True ise, donanımın bu güvenlik açıklarından etkilendiğine inanılır. False ise, donanımın güvenlik açığı olmadığı bilinir.

AVH azaltma için Windows işletim sistemi desteği etkinleştirildi

MDSWindowsSupportEnabled'a Haritalar. Bu satır, Mikro Mimari Veri Örnekleme (AVH) için Windows işletim sistemi azaltmanın etkinleştirilip etkinleştirilmediğini bildirir. True ise donanımın AVH güvenlik açıklarından etkilendiğine inanılır, azaltma için Windows işletim sistemi desteği vardır ve azaltma etkinleştirilmiştir. False ise, donanım güvenlik açığına açık değildir, Windows işletim sistemi desteği mevcut değildir veya azaltma etkinleştirilmemiştir.

SBDR azaltma için Windows işletim sistemi desteği mevcut

FBClearWindowsSupportPresent'e Haritalar. Bu satır, SBDR işletim sistemi azaltma için Windows işletim sistemi desteğinin mevcut olup olmadığını bildirir. Doğru ise, cihaza Haziran 2022 güncelleştirmesi yüklenir ve SBDR için azaltma sağlanır. False ise, Haziran 2022 güncelleştirmesi yüklenmez ve SBDR için azaltma mevcut değildir.

Donanım SBDR'ye karşı savunmasız

SBDRSSDPHardwareVulnerable'a Haritalar. Bu satır, donanımın SBDR [paylaşılan arabellek verileri okuma] güvenlik açığı kümesine (CVE-2022-21123) karşı savunmasız olup olmadığını bildirir. True ise, donanımın bu güvenlik açıklarından etkilendiğine inanılır. False ise, donanımın güvenlik açığı olmadığı bilinir.

SBDR azaltma için Windows işletim sistemi desteği etkinleştirildi

FBClearWindowsSupportEnabled'a Haritalar. Bu satır, SBDR için Windows işletim sistemi azaltmanın [paylaşılan arabellek verileri okuma] etkinleştirilip etkinleştirilmediğini bildirir. Doğru ise, donanımın SBDR güvenlik açıklarından etkilendiğine inanılır, azaltma için windows işletim desteği vardır ve azaltma etkinleştirilmiştir. False ise, donanım güvenlik açığına açık değildir, Windows işletim sistemi desteği mevcut değildir veya azaltma etkinleştirilmemiştir.

FBSDP azaltma için Windows işletim sistemi desteği mevcut

FBClearWindowsSupportPresent'e Haritalar. Bu satır, FBSDP işletim sistemi azaltma için Windows işletim sistemi desteğinin mevcut olup olmadığını bildirir. Doğru ise, cihaza Haziran 2022 güncelleştirmesi yüklenir ve FBSDP için azaltma sağlanır. False ise, Haziran 2022 güncelleştirmesi yüklenmez ve FBSDP için azaltma mevcut değildir.

Donanım FBSDP'ye karşı savunmasız

FBSDPHardwareVulnerable'a Haritalar. Bu satır, donanımın FBSDP [doldurma arabellek eski veri yayıcısı] güvenlik açıkları kümesine (CVE-2022-21125, CVE-2022-21127 ve CVE-2022-21166) karşı savunmasız olup olmadığını bildirir. True ise, donanımın bu güvenlik açıklarından etkilendiğine inanılır. False ise, donanımın güvenlik açığı olmadığı bilinir.

FBSDP azaltma için Windows işletim sistemi desteği etkinleştirildi

FBClearWindowsSupportEnabled'a Haritalar. Bu satır, FBSDP [doldurma arabellek eski veri yayıcısı] için Windows işletim sistemi azaltmasının etkinleştirilip etkinleştirilmediğini bildirir. True ise, donanımın FBSDP güvenlik açıklarından etkilendiğine inanılır, azaltma için Windows çalışma desteği vardır ve azaltma etkinleştirilmiştir. False ise, donanım güvenlik açığına açık değildir, Windows işletim sistemi desteği mevcut değildir veya azaltma etkinleştirilmemiştir.

PSDP azaltma için Windows işletim sistemi desteği mevcut

FBClearWindowsSupportPresent'e Haritalar. Bu satır, PSDP işletim sistemi azaltma için Windows işletim sistemi desteğinin mevcut olup olmadığını bildirir. True ise, cihaza Haziran 2022 güncelleştirmesi yüklenir ve PSDP için risk azaltma mevcut olur. False ise, Haziran 2022 güncelleştirmesi yüklenmez ve PSDP için azaltma mevcut değildir.

Donanım PSDP'ye karşı savunmasız

PSDPHardwareVulnerable'a Haritalar. Bu satır, donanımın PSDP [birincil eski veri yayıcısı] güvenlik açığı kümesine karşı savunmasız olup olmadığını bildirir. True ise, donanımın bu güvenlik açıklarından etkilendiğine inanılır. False ise, donanımın güvenlik açığı olmadığı bilinir.

PSDP azaltma için Windows işletim sistemi desteği etkinleştirildi

FBClearWindowsSupportEnabled'a Haritalar. Bu satır, PSDP [birincil eski veri yayıcısı] için Windows işletim sistemi azaltmasının etkinleştirilip etkinleştirilmediğini bildirir. True ise, donanımın PSDP güvenlik açıklarından etkilendiğine inanılır, azaltma için windows işletim desteği vardır ve azaltma etkinleştirilmiştir. False ise, donanım güvenlik açığına açık değildir, Windows işletim sistemi desteği mevcut değildir veya azaltma etkinleştirilmemiştir.

Kayıt defteri anahtarı

Eşleme

FeatureSettingsOverride – Bit 0

Haritalar - Dal hedef ekleme - BTIWindowsSupportEnabled

FeatureSettingsOverride – Bit 1

Haritalar - Sahte veri önbelleği yükü - VAShadowWindowsSupportEnabled