封鎖虛擬化型安全性 (VBS 復原) 相關安全性更新的指導方針

關於 SkuSiPolicy.p7b 原則的重要注意事項

SkuSiPolicy.p7b 原則已更新。 您應該安裝 2025 年 1 月或之後發行的最新 Windows 更新，以套用更新的原則。 如需套用更新原則的指示，請參閱 部署Microsoft簽署的撤銷原則 (SkuSiPolicy.p7b) 一節。 

本文內容

• 摘要

• 影響範圍

• 可用的風險降低措施

• 了解風險降低

• 風險降低措施部署指導方針

  • 部署稽核模式原則

  • 部署 Microsoft 簽署的撤銷原則 (SkuSiPolicy.p7b)

  • 更新外部開機媒體

• Windows 事件記錄檔

  • 原則啟用事件

  • 稽核並封鎖事件

• 原則移除和復原程序

• 對本文所做的變更

摘要

Microsoft 發現 Windows 中的弱點，此弱點可讓具有系統管理員權限的攻擊者取代具有較舊版本的更新 Windows 系統檔案，讓攻擊者能夠利用虛擬化型安全性 (VBS) 重新使用弱點。  這些二進位文件的復原可能會讓攻擊者規避 VBS 安全性功能，並移除受 VBS 保護的資料。 CVE-2024-21302 | Windows 安全核心模式權限提高弱點中說明了此問題。

若要解決此問題，我們將撤銷未更新的弱點 VBS 系統檔案。 由於必須封鎖大量 VBS 相關檔案，我們使用替代方法來封鎖未更新的檔案版本。

影響範圍

支援 VBS 的所有 Windows 裝置都會受到此問題影響。 這包括內部部署實體裝置和虛擬機 (VM)。 Windows 10 及更新版本 Windows 以及 Windows Server 2016 和更新版本的 Windows Server 都支援 VBS。

您可以透過 Microsoft 系統資訊工具 (Msinfo32.exe)檢查 VBS 狀態。 此工具會收集您的裝置相關資訊。 開始 Msinfo32.exe 之後，向下捲動到虛擬化型安全性資料列。 如果此列的值為執行，VBS 會啟用並執行。

您也可以使用 Win32_DeviceGuard WMI 類別，在 Windows PowerShell 中檢查 VBS 狀態。 若要從 PowerShell 查詢 VBS 狀態，請開啟提升權限的 Windows PowerShell 工作階段，然後執行下列命令：

執行上述 PowerShell 命令之後，VBS 狀態應為下列其中一項。

可用的風險降低措施

對於所有支援的 Windows 10 版本、版本 1507 及更新版本的 Windows，以及 Windows Server 2016 和更新版本 Windows Server 版本，系統管理員可以部署Microsoft簽署的撤銷原則 (SkuSiPolicy.p7b) 。 這會封鎖未由作業系統載入未更新 VBS 系統檔案的弱點版本。

當此原則套用到 Windows 裝置時，原則也會透過在 UEFI 韌體中新增變數來鎖定至裝置。 啟動期間，原則載入和 Windows 會封鎖違反原則的二進位檔載入。 如果已套用 UEFI 鎖定，且原則已移除或以舊版取代，Windows 開機管理程式將不會啟動，而且裝置也不會啟動。 此開機失敗不會顯示錯誤，系統將會繼續進行下一個可用的開機選項，這可能會導致開機迴圈。

若要讓原則減輕功能正常運作，原則必須使用 Windows 維護更新來更新，因為 Windows 的元件和原則必須來自同一個版本。 如果將原則降低功能複製到裝置，則如果套用了錯誤版本的降低功能，裝置可能無法啟動，或是降低功能降低功能可能無法如預期般運作。 此外，KB5025885 中所述的效能風險降低功能應該會套用到您的裝置。

了解風險降低

套用 Microsoft 簽署的撤銷原則之前，您必須先留意潛在風險。 請先檢閱這些風險，在套用風險降低之前，對修復媒體進行任何必要的更新。

• 使用者模式程式碼完整性 (UMCI)。 Microsoft 簽署的撤銷原則會啟用使用者模式程式碼完整性，讓原則中的規則套用至使用者模式二進位檔。 UMCI 預設也會啟用動態程序代碼安全性。 強制執行這些功能可能會導致應用程式和指令碼的相容性問題，並可能導致它們無法執行，並且對啟動時間產生效能影響。 部署風險更新前，請遵從指引以部署稽核模式原則，測試潛在問題。

• UEFI 鎖定和解除更新。 在裝置上套用 Microsoft 簽署撤銷原則的 UEFI 鎖定之後，裝置無法透過卸載 Windows 更新、使用還原點或其他方式來還原，如果您繼續套用安全開機。 如果已套用 UEFI 鎖定，即使重新格式化磁碟，也不會移除該功能降低功能的 UEFI 鎖定。 這表示，如果您嘗試將 Windows OS 還原為先前沒有套用風險降低功能的狀態，裝置將不會啟動，不會顯示任何錯誤訊息，UEFI 將會繼續進行下一個可用的開機選項。 這可能會導致開機迴圈。 您必須停用安全開機才能移除 UEFI 鎖定。 在將本文所述的撤銷套用至您的裝置之前，請注意所有可能的影響並進行徹底測試。

• 外部開機媒體。 UEFI 鎖定安全功能套用到裝置之後，外部開機媒體必須以裝置上安裝的最新 Windows 更新來更新。 如果外部開機媒體未更新為相同的 Windows Update 版本，裝置可能不會從該媒體開機。 在套用風險降低功能之前，請參閱更新外部開機媒體一節中的指示。

• Windows 修復環境。 在裝置上套用 SkuSipolicy.p7b 之前，裝置上的 Windows 修復環境 (WinRE)必須 先更新裝置上安裝的最新 Windows 更新。 省略此步驟可能會使 WinRE 無法執行重設計算機功能。  如需詳細資訊，請參閱將更新套件新增至 Windows RE。

• 開機前執行環境 (PXE) 開機。 如果安全性安全部署到裝置，而您嘗試使用 PXE 開機，除非最新的 Windows 更新也套用到 PXE 伺服器開機映像，否則裝置將無法啟動。 除非 PXE 開機伺服器已更新至 2025 年 1 月或之後發行的最新 Windows 更新，包括 PXE 開機管理員，否則我們不建議將安全性部署到網路開機來源。  

風險降低措施部署指導方針

若要解決本文所述的問題，您可以部署 Microsoft 簽署的撤銷原則 (SkuSiPolicy.p7b)。 此降低功能僅支援 Windows 10 版、版本 1507 和更新版本的 Windows，以及 Windows Server 2016。 在您將 Microsoft 簽署的撤銷原則部署 (SkuSiPolicy.p7b) 之前，您應該使用稽核模式原則測試相容性問題。

注意 如果您使用 BitLocker，請確定您的 BitLocker 修復金鑰已備份。 您可以從系統管理員命令提示執行下列命令，並記住 48 位數的數字密碼:

Windows 事件記錄檔

Windows 會在載入程式碼完整性原則時 (包括 SkuSiPolicy.p7b) 以及檔案因原則強制執行而遭到封鎖而無法載入時記錄事件。 您可以使用這些事件來確認已套用風險降低功能。

程式碼完整性記錄可在 Windows 事件檢視器中應用程式和服務記錄 > Microsoft > Windows > CodeIntegrity > 作業 > 應用程式和服務記錄 > 服務記錄 > Microsoft > Windows > AppLocker > MSI 和指令碼內提供。

如需程式碼完整性事件的詳細資訊，請參閱 Windows Defender 應用程式控制操作指南。

原則移除和復原程序

如果在套用風險降低功能後發生問題，您可以使用下列步驟來移除風險降低功能：

1. 啟用 BitLocker 時，請將其暫停。 從提升權限的「命令提示字元」視窗執行下列命令：

   Manager-bde -protectors -disable c: -rebootcount 3

2. 從 UEFI BIOS 功能表關閉安全開機。
   
   關閉安全開機的程序在裝置製造商和型號之間是不同的。 如需有關如何關閉安全開機的說明，請參閱裝置製造商的文件。 您可以在停用安全開機中找到更多詳細資料。

3. 移除 SkuSiPolicy.p7b 原則。

   1. 正常啟動 Windows，然後登入。
      
      SkuSiPolicy.p7b 原則必須從下列位置移除：

      • <EFI 系統磁碟分區>\Microsoft\Boot\SkuSiPolicy.p7b

   2. 從提升許可權的 Windows PowerShell 工作階段執行下列命令，以清除這些位置的原則：

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 's:'
      
      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"
      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      mountvol $MountPoint /S
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }
      
      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }
      
      ​​​​​​​mountvol $MountPoint /D

4. 從 BIOS 開啟安全開機。
   
   如需如何找到開啟安全開機的說明，請參閱裝置製造商的文件。
   
   如果您在步驟 1 中關閉安全開機，而且您的磁碟機受到 BitLocker 保護，請暫停 BitLocker 保護 ，然後從 UEFI BIOS 功能表開啟安全開機。

5. [開啟 BitLocker]。 從提升權限的「命令提示字元」視窗執行下列命令：

   Manager-bde -protectors -enable c:

6. 重新啟動您的裝置。