Sanallaştırma tabanlı Güvenlik (VBS) ile ilgili güvenlik güncelleştirmelerinin geri alınmasını engelleme kılavuzu

SkuSiPolicy.p7b ilkesi hakkında önemli not

Güncelleştirilmiş ilkeyi uygulama yönergeleri için Microsoft imzalı iptal ilkesi dağıtma (SkuSiPolicy.p7b) bölümüne bakın. 

Bu makalede

• Özet

• Etki Kapsamı

• Kullanılabilir risk azaltmaları

• Risk azaltma risklerini anlama

• Azaltma dağıtımı yönergeleri

  • Microsoft tarafından imzalanan iptal ilkesini dağıtma (SkuSiPolicy.p7b)

  • Dış önyükleme medyası güncelleştiriliyor

• Windows Olay günlükleri

  • İlke etkinleştirme olayları

  • Olayları denetleme ve engelleme

• İlke kaldırma ve kurtarma yordamı

• Bu makalede yapılan değişiklikler

Özet

Microsoft, Windows'ta yönetici ayrıcalıklarına sahip bir saldırganın eski sürümlere sahip güncelleştirilmiş Windows sistem dosyalarını değiştirmesine olanak tanıyan ve bir saldırganın güvenlik açıklarını Sanallaştırma tabanlı güvenliğe (VBS) yeniden tanıtmasını sağlayan bir güvenlik açığını algılamıştır.  Bu ikili dosyaların geri alınması, bir saldırganın VBS güvenlik özelliklerini aşmasına ve VBS tarafından korunan verileri sızdırmasına olanak tanıyabilir. Bu sorun CVE-2024-21302 | Windows Güvenli Çekirdek Modu AyrıcalıkLarın Yükseltilmesi Güvenlik Açığı.

Bu sorunu çözmek için, güncelleştirilmeyen güvenlik açığı olan VBS sistem dosyalarını iptal edeceğiz. Engellenmesi gereken ÇOK sayıda VBS ile ilgili dosya nedeniyle, güncelleştirilmeyen dosya sürümlerini engellemek için alternatif bir yaklaşım kullanırız.

Etki Kapsamı

VBS'i destekleyen tüm Windows cihazları bu sorundan etkilenir. Buna şirket içi fiziksel cihazlar ve sanal makineler (VM) dahildir. VBS, Windows 10 ve sonraki Windows sürümlerinde ve Windows Server 2016 ve sonraki Windows Server sürümlerinde desteklenir.

VBS durumu Microsoft Sistem Bilgileri aracı (Msinfo32.exe) aracılığıyla denetlenebilir. Bu araç, cihazınız hakkında bilgi toplar. Msinfo32.exe başlattıktan sonra ekranı aşağı kaydırarak Sanallaştırma tabanlı güvenlik satırına gelin. Bu satırın değeri Çalışıyor ise VBS etkin ve çalışır durumdadır.

VBS durumu, Win32_DeviceGuard WMI sınıfı kullanılarak Windows PowerShell ile de denetlenebilir. PowerShell'den VBS durumunu sorgulamak için yükseltilmiş bir Windows PowerShell oturumu açın ve aşağıdaki komutu çalıştırın:

Yukarıdaki PowerShell komutunu çalıştırdıktan sonra VBS durumu aşağıdakilerden biri olmalıdır.

Kullanılabilir risk azaltmaları

Windows 10, sürüm 1507 ve üzeri Windows sürümlerinin ve Windows Server 2016 ve sonraki Windows Server sürümlerinin desteklenen tüm sürümleri için, yöneticiler Microsoft tarafından imzalanan bir iptal ilkesi (SkuSiPolicy.p7b) dağıtabilir. Bu, güncelleştirilmemiş VBS sistem dosyalarının güvenlik açığı olan sürümlerinin işletim sistemi tarafından yüklenmesini engeller.  

SkuSiPolicy.p7b bir Windows cihazına uygulandığında, ilke UEFI üretici yazılımına bir değişken eklenerek cihaza da kilitlenir. Başlatma sırasında ilke yüklenir ve Windows ilkeyi ihlal eden ikili dosyaların yüklenmesini engeller. UEFI kilidi uygulanırsa ve ilke kaldırılırsa veya eski bir sürümle değiştirilirse, Windows önyükleme yöneticisi başlatılmaz ve cihaz başlatılmaz. Bu önyükleme hatası bir hata göstermez ve sistem bir sonraki kullanılabilir önyükleme seçeneğine devam eder ve bu da önyükleme döngüsüne neden olabilir.

Varsayılan olarak etkin olan ve UEFI'ye bağlı olmayan ek dağıtım adımları gerektirmeyen ek bir Microsoft imzalı CI ilkesi eklendi. Bu imzalı CI ilkesi önyükleme sırasında yüklenir ve bu ilkenin uygulanması, önyükleme oturumu sırasında VBS sistem dosyalarının geri alınmasını engeller. SkuSiPolicy.p7b'nin aksine, güncelleştirme yüklenmemişse bir cihaz önyüklemeye devam edebilir. Bu ilke, Windows 10, sürüm 1507 ve sonraki sürümlerin desteklenen tüm sürümlerinde yer alır. SkuSkiPolicy.p7b, önyükleme oturumlarında geri alma için ek koruma sağlamak üzere yöneticiler tarafından yine de uygulanabilir.   

Bilgisayarın önyükleme durumunu test etmek için kullanılan Windows Ölçülen Önyükleme günlükleri, önyükleme işlemi sırasında yüklenen ilke sürümü hakkında bilgi içerir. Bu günlükler önyükleme sırasında TPM tarafından güvenli bir şekilde korunur ve Microsoft kanıtlama hizmetleri bu günlükleri ayrıştırarak doğru ilke sürümlerinin yüklendiğini doğrular. Kanıtlama hizmetleri, belirli bir ilke sürümünün veya üzerinin yüklendiğinden emin olan kuralları zorunlu kılar; aksi takdirde sistem sağlıklı olarak kanıtlanmaz.

İlke azaltmanın çalışması için, windows bileşenlerinin ve ilkenin aynı sürümden olması gerektiğinden, ilkeNin Windows hizmet güncelleştirmesi kullanılarak güncelleştirilmesi gerekir. İlke azaltma cihaza kopyalanırsa, risk azaltmanın yanlış sürümü uygulandığında veya azaltma beklendiği gibi çalışmayabilirse cihaz başlatılamayabilir. Ayrıca, KB5025885'de açıklanan risk azaltmaları cihazınıza uygulanmalıdır.

Windows 11, sürüm 24H2, Windows Server 2022 ve Windows Server 23H2'de Ölçüm için Dinamik Güven Kökü (DRTM), geri alma güvenlik açığı için ek bir azaltma ekler. Bu azaltma varsayılan olarak etkindir. Bu sistemlerde, VBS korumalı şifreleme anahtarları varsayılan etkin önyükleme oturumu VBS CI ilkesine bağlıdır ve yalnızca eşleşen CI ilkesi sürümü zorlanıyorsa korumasız kalır. Kullanıcı tarafından başlatılan geri almaları etkinleştirmek için, VSM ana anahtarının korumasının kaldırılabilmesini kaybetmeden Windows güncelleştirme paketinin 1 sürümünün güvenli bir şekilde geri alınmasını sağlamak için bir yetkisiz kullanım süresi eklenmiştir. Ancak, kullanıcı tarafından başlatılan geri alma yalnızca SkuSiPolicy.p7b uygulanmadıysa mümkündür. VBS CI ilkesi, tüm önyükleme ikili dosyalarının iptal edilmiş sürümlere geri alınmamasını zorunlu kılmıştır. Bu, yönetici ayrıcalıklarına sahip bir saldırgan güvenlik açığı olan önyükleme ikili dosyalarını geri alırsa sistemin başlatılmayacağı anlamına gelir. CI ilkesi ve ikili dosyalar önceki bir sürüme geri alınırsa VSM korumalı veriler korumasız olmaz.

Risk azaltma risklerini anlama

Microsoft tarafından imzalanan iptal ilkesini uygulamadan önce olası risklerin farkında olmanız gerekir. Risk azaltmayı uygulamadan önce lütfen bu riskleri gözden geçirin ve kurtarma medyası için gerekli güncelleştirmeleri yapın.

Not Bu riskler yalnızca SkuSiPolicy.p7b ilkesi için geçerlidir ve varsayılan etkin korumalar için geçerli değildir.

• UEFI Kilitleme ve Güncelleştirmeleri Kaldırma. Bir cihazda Microsoft imzalı iptal ilkesiyle UEFI kilidini uyguladıktan sonra, Güvenli Önyükleme uygulamaya devam ederseniz cihaz geri alınamaz (Windows güncelleştirmeleri kaldırılarak, geri yükleme noktası kullanılarak veya başka bir yolla). Diskin yeniden biçimlendirilmesi bile, zaten uygulanmışsa azaltmanın UEFI kilidini kaldırmaz. Bu, Windows işletim sistemini uygulanan azaltmaya sahip olmayan önceki bir duruma geri döndürmeyi denerseniz cihazın başlatılmayacağı, hata iletisinin görüntülenmeyeceği ve UEFI'nin bir sonraki kullanılabilir önyükleme seçeneğine geçeceği anlamına gelir. Bu bir önyükleme döngüsüne neden olabilir. UEFI kilidini kaldırmak için Güvenli Önyükleme'yi devre dışı bırakmanız gerekir. Bu makalede açıklanan iptalleri cihazınıza uygulamadan önce lütfen olası tüm etkilerin farkında olun ve kapsamlı bir şekilde test edin.

• Dış Önyükleme Medyası. UEFI kilit azaltmaları bir cihaza uygulandıktan sonra, dış önyükleme medyası cihazda yüklü olan en son Windows güncelleştirmesi ile güncelleştirilmelidir. Dış önyükleme medyası aynı Windows update sürümüne güncelleştirilmezse, cihaz bu medyadan önyüklenmeyebilir. Risk azaltmaları uygulamadan önce Dış önyükleme medyasını güncelleştirme bölümündeki yönergelere bakın.

• Windows Kurtarma Ortamı. Cihazdaki Windows Kurtarma Ortamı (WinRE), cihaza SkuSipolicy.p7b uygulanmadan önce cihazda 8 Temmuz 2025'te yayımlanan en son Windows Güvenli İşletim Sistemi Dinamik Güncelleştirmesi ile güncelleştirilmelidir. Bu adımın atlanması WinRE'nin Bilgisayarı Sıfırla özelliğini çalıştırmasını engelleyebilir.  Daha fazla bilgi için bkz. Windows RE'ye güncelleştirme paketi ekleme.

• Önyükleme öncesi Yürütme Ortamı (PXE) önyüklemesi. Azaltma bir cihaza dağıtılırsa ve PXE önyüklemesini kullanmayı denerseniz, en son Windows güncelleştirmesi PXE sunucusu önyükleme görüntüsüne de uygulanmadığı sürece cihaz başlatılmaz. PXE Önyükleme sunucusu Ocak 2025'te veya sonrasında yayımlanan en son Windows güncelleştirmesi (PXE önyükleme yöneticisi de dahil olmak üzere) güncelleştirilmediği sürece ağ önyükleme kaynaklarına azaltma dağıtmanızı önermeyiz.  

Azaltma dağıtımı yönergeleri

Bu makalede açıklanan sorunları gidermek için Microsoft imzalı bir iptal ilkesi (SkuSiPolicy.p7b) dağıtabilirsiniz. Bu azaltma yalnızca Windows 10, sürüm 1507 ve üzeri Windows sürümlerinde ve Windows Server 2016 desteklenir.

Not BitLocker kullanıyorsanız, BitLocker kurtarma anahtarınızın yedeklenmiş olduğundan emin olun. Yönetici komut isteminden aşağıdaki komutu çalıştırabilir ve 48 basamaklı sayısal parolayı not alabilirsiniz:

Windows Olay günlükleri

SkuSiPolicy.p7b dahil olmak üzere kod bütünlüğü ilkeleri yüklendiğinde ve ilke zorlaması nedeniyle bir dosyanın yüklenmesi engellendiğinde Windows olayları günlüğe kaydeder. Risk azaltmanın uygulandığını doğrulamak için bu olayları kullanabilirsiniz.

Kod bütünlüğü günlükleri , Microsoft > Windows > CodeIntegrity > İşletimsel > Uygulama ve Hizmetler günlükleri > Hizmetleri günlükleri > Microsoft > Windows > AppLocker > MSI ve Betik > WindowsOlay Görüntüleyicisi'nde Kullanılabilir.

Kod bütünlüğü olayları hakkında daha fazla bilgi için bkz. Windows Defender Uygulama Denetimi işlem kılavuzu.

İlke Kaldırma ve Kurtarma Yordamı

Azaltmayı uyguladıktan sonra bir sorun olursa, azaltmayı kaldırmak için aşağıdaki adımları kullanabilirsiniz:

1. Etkinse BitLocker'ın askıya alınması. Yükseltilmiş komut istemi penceresinden aşağıdaki komutu çalıştırın:

   Manager-bde -protectors -disable c: -rebootcount 3

2. UEFI BIOS menüsünden Güvenli Önyükleme'yi kapatın.
   
   Güvenli Önyüklemeyi kapatma yordamı, cihaz üreticileri ve modelleri arasında farklılık gösterir. Güvenli Önyükleme'yi nerede kapatabileceğinizi bulma konusunda yardım almak için cihaz üreticinizin belgelerine başvurun. Diğer ayrıntılara Güvenli Önyüklemeyi Devre Dışı Bırakma bölümünden ulaşabilirsiniz.

3. SkuSiPolicy.p7b ilkesini kaldırın.

   1. Windows'ı normal bir şekilde başlatın ve oturum açın.
      
      SkuSiPolicy.p7b ilkesi aşağıdaki konumdan kaldırılmalıdır:

      • <EFI Sistem Bölümü>\Microsoft\Boot\SkuSiPolicy.p7b

   2. bu konumlardan ilkeyi temizlemek için yükseltilmiş bir Windows PowerShell oturumundan aşağıdaki komutları çalıştırın:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. BIOS'tan Güvenli Önyükleme'i açın.
   
   Güvenli Önyükleme'yi nerede açabileceğinizi bulmak için cihaz üreticinizin belgelerine başvurun.
   
   1. Adımda Güvenli Önyükleme'yi kapattıysanız ve sürücünüz BitLocker tarafından korunuyorsa, BitLocker korumasını askıya alın ve ardından UEFI BIOS menünüzü kullanarak Güvenli Önyükleme'yi açın.

5. BitLocker'u açın. Yükseltilmiş komut istemi penceresinden aşağıdaki komutu çalıştırın:

   Manager-bde -protectors -enable c:

6. Cihazınızı yeniden başlatın.