阻止基於虛擬化的安全回滾指引 (VBS) 相關安全更新

變更日期

描述

2025年12月17日

• 更新了步驟 2 中「部署 Microsoft簽署的撤銷政策 (SkuSiPolicy.p7b) 」部分的指令，因為指令運作不正常。
  
  寄件人：

  reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v 可用更新 /t REG_DWORD /d 0x20 /f

  Start-ScheduledTask -任務名稱「\Microsoft\Windows\PI\Secure-Boot-Update」

  收件人：
  
  $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
  $MountPoint = 's：'
  $EFIDestinationFolder = 「$MountPoint\EFI\Microsoft\Boot」
  蒙特沃爾$MountPoint /S
  若 (-Not (測試路徑 $EFIDestinationFolder) ) { New-Item -路徑 $EFIDestinationFolder -類型目錄 -強制 }
  Copy-Item -路徑$PolicyBinary -目的地$EFIDestinationFolder -力
  蒙特沃爾 $MountPoint /D

2025年7月22日

• 更新了「部署Microsoft簽署的撤銷政策 (SkuSiPolicy.p7b) 」章節中的指令步驟。

2025年7月10日

• 移除了「部署稽核模式政策」這一部分，因為該功能在安裝 Windows 更新於 2025 年 7 月 8 日或之後後已經停止使用。

• 移除了「CodeIntegrity Event 3099」這一節，因為它已經不再適用。

• 在「了解緩解風險」部分，更新了「Windows 復原環境」主題
  
  寄件人：

  Windows 修復環境。 裝置上的 Windows 復原環境 (WinRE)必須先更新，安裝最新的 Windows 更新後，才會將 SkuSipolicy.p7b 套用到裝置上。 省略此步驟可能會使 WinRE 無法執行重設計算機功能。  如需詳細資訊，請參閱將更新套件新增至 Windows RE。

  收件人：

  Windows 修復環境。 裝置上的 Windows 復原環境 (WinRE)必須在 2025 年 7 月或之後更新為 Windows Safe OS 動態 版，才能將 SkuSipolicy.p7b 套用到裝置上。 省略此步驟可能會使 WinRE 無法執行重設計算機功能。  如需詳細資訊，請參閱將更新套件新增至 Windows RE。

  若 Safe OS DU 更新不可用，請部署最新的累積更新。

• 在「可用緩解措施」部分，替換了以下段落：

  新增一項由 Microsoft 簽署的 CI 政策，預設啟用且不需額外部署步驟，且不綁定於 UEFI。 此簽署的 CI 政策會在開機時載入，強制執行後可防止 VBS 系統檔案在該開機階段回滾。 與 SkuSiPolicy.p7b 不同，若預設啟用的政策被竄改或移除，裝置仍可繼續開機。 此緩解措施適用於搭載 Windows 10 22H2 及更新版本的裝置。 管理員仍可套用 SkuSkiPolicy.p7b 來提供額外的開機會話回滾保護。  

  以下段落如下：

  新增一項由 Microsoft 簽署的 CI 政策，預設啟用且不需額外部署步驟，且不綁定於 UEFI。 此簽署的 CI 政策會在開機時載入，強制執行後可防止 VBS 系統檔案在該開機階段回滾。 與 SkuSiPolicy.p7b 不同，裝置若已卸載更新，仍可繼續開機。 此政策包含在所有支援的 Windows 10、1507 及以上版本中。 管理員仍可套用 SkuSkiPolicy.p7b 來提供額外的開機會話回滾保護。

• 在「可用緩解措施」部分，在最後一段的第一句話中新增以下 Windows 版本：
  
  Windows 11、版本 24H2、Windows Server 2022 及 Windows Server 23H2

• 移除了「Policy activation events」區塊中「SiPolicy.p7b - Audit Policy」列表的圖片。

2025 年 4 月 8 日

• 移除了「關於 SkuSiPolicy.p7b 政策的重要說明」章節的第一句話，因為最新的更新目前並非所有 Windows 版本都能使用。

• 更新了「可用緩解措施」部分，新增了更詳細的資訊。

• 新增預設的開機緩解措施，以防止 Windows 10（版本 22H2 及以上）的二進位檔回滾，以及對 Windows 11（版本 24H2）上基於安全啟動或基於 DRTM 的裝置的 VBS 資料保護。

2025年2月24日

• 更新了「Policy activation events」區塊的 備註 ，並新增了第二張目錄列表截圖，顯示「SiPolicy.p7b - Audit Policy」檔案。

2025年2月11日

• 在步驟 1 的「部署 Microsoft簽署的撤銷政策 (SkuSiPolicy.p7b) 」部分的腳本更新了。

• 在「Policy activation events」區塊末尾新增 備註 ，並附上目錄列表截圖，顯示「SkuSiPolicy.p7b - 撤銷政策」檔案。

• 在「政策移除與恢復程序」部分的第 3b 步更新腳本。

2025 年 1 月 14 日

• 本文頂部新增了關於 SkuSiPolicy.p7b 政策的重要說明。*

• 已移除以下於 2024 年 11 月 12 日新增的備註 (，) 於「可用緩解措施」區塊中不再需要：「
  
  備註：支援 SKUSIPolicy.p7b 及 VbsSI_Audit.p7b 政策，適用於 Windows 10、版本 1507、Windows 10 企業版 2016 及 Windows Server 2016已加入於 2024 年 10 月 8 日及之後發布的最新 Windows 更新中。 較新版本的 Windows 和 Windows Server 在 2024 年 8 月 13 日的更新中引入了這些政策。」

• 在「部署Microsoft簽署的撤銷政策 (SkuSiPolicy.p7b) 」部分補充了更多資訊。 原始文字為「注意：若缺少更新，裝置可能無法啟動時已套用緩解措施，或緩解措施可能無法如預期運作。」*

• 移除了「更新外部開機媒體」章節的第二段。 被刪除的原始文字是「已更新為 Microsoft 簽署撤銷政策的開機媒體，僅可用於啟動已套用緩解措施的裝置。  如果搭配未使用風險降低功能的裝置使用，UEFI 鎖定會在啟動時從開機媒體套用。 之後從磁碟啟動都會失敗，除非裝置有緩解措施或移除 UEFI 鎖。」*

• 移除了「新建立的媒體掛載後，將 SkuSiPolicy.p7b 檔案複製到 <MediaRoot>\EFI\Microsoft\Boot (，例如 D：\EFI\Microsoft\Boot) 」步驟，因為此步驟已不再必要。*

• 在「更新外部開機媒體」部分的「用動態更新指引更新 Windows 安裝媒體 」步驟中移除了步驟 3 到 5，因為這些步驟已不再必要。*

  • 3. 將媒體內容放入 USB 隨身碟，並將隨身碟掛載為磁碟機代號。 例如，將隨身碟掛接為D:。

  • 4. 將 SkuSiPolicy.p7b 複製到 <MediaRoot>\EFI\Microsoft\Boot (例如 D:\EFI\Microsoft\Boot)。

  • 5. 安全拆除安裝上的隨身碟。

• 更新了「了解緩解風險」章節中「外部開機媒體」主題的第一段。 原始文字為「在裝置施加 UEFI 鎖定緩解措施後，外部開機媒體必須更新為裝置上安裝的最新 Windows 更新，並依據 SkuSiPolicy.p7b) (Microsoft簽署的撤銷政策進行更新。 如果外部開機媒體未更新，裝置可能不會從該媒體開機。 在套用風險降低功能之前，請參閱更新外部開機媒體一節中的指示。*

• 移除了「理解緩解風險」章節中「外部開機媒體」主題的第二段。 原始文字為「啟動媒體若已依 Microsoft 簽署的撤銷政策更新，必須僅用於啟動已套用緩解措施的裝置。  如果搭配未使用風險降低功能的裝置使用，UEFI 鎖定會在啟動時從開機媒體套用。 之後從磁碟啟動都會失敗，除非裝置有緩解措施或移除 UEFI 鎖。」*

• 更新了「了解緩解風險」章節中的「PXE) 開機前執行環境 (」主題。 原始文字是「如果緩解措施部署到裝置，且你嘗試使用 PXE 開機，裝置不會啟動，除非緩解措施也套用到網路開機源 (根，而 bootmgfw.efi) 存在。」 如果裝置是從已套用風險降低功能的網路開機來源啟動，則 UEFI 鎖定將套用至裝置並影響後續啟動。 我們不建議將安全性部署到網路開機來源，除非您環境中的所有裝置都已部署風險降低功能。 "*

2024年11月12日

• 在「可用緩解措施」區塊中，支援 SkuSiPolicy.p7b 與 VbsSI_Audit.p7b 政策，適用於 Windows 10 版本 1507，Windows 10 企業版 2016 及 Windows Server 2016，作為 2024 年 10 月 8 日及之後發布的 Windows 更新的一部分。

• 更新了 Windows 的發行日期，從 2024 年 8 月 13 日到 2024 年 11 月 12 日。