אבטחת מכשירים באפליקציית אבטחת Windows'

תקינות הזיכרון, המכונה גם תקינות קוד המוגנת על-ידי Hypervisor (HVCI) היא תכונת אבטחה של Windows שמקשה על תוכניות זדוניות להשתמש במנהלי התקנים ברמה נמוכה כדי לחטוף את המחשב שלך.

מנהל התקן הוא פריט תוכנה המאפשר למערכת ההפעלה (Windows במקרה זה) ולהתקן (כגון לוח מקשים או מצלמת אינטרנט) לשוחח זה עם זה. כאשר המכשיר מעוניין ש- Windows יתבצע פעולה כלשהי, הוא משתמש במנהל ההתקן כדי לשלוח בקשה זו.

תקינות הזיכרון פועלת על-ידי יצירת סביבה מבודדת באמצעות וירטואליזציה של חומרה.

תחשוב על זה כמו על איש אבטחה בתוך תא נעול. סביבה מבודדת זו (הדוכן הנעול באנלוגיה שלנו) מונע מתוקף לטפל שלא כדין בתכונת תקינות הזיכרון. תוכנית שרוצה להפעיל קטע קוד שעשוי להיות מסוכן צריך להעביר את הקוד לשלמות הזיכרון בתוך הדוכן הווירטואלי כדי שניתן יהיה לאמת אותו. כאשר תקינות הזיכרון נוחה שהקוד בטוח, הוא מריץ חזרה את הקוד ל- Windows. בדרך כלל, זה קורה מהר מאוד.

ללא הפעלה של תקינות זיכרון, שומר האבטחה בולט במקום שבו הרבה יותר קל לתוקף להפריע או לחבל בשומר, מה שמקל על קוד זדוני להתגנב בעבר גורם לבעיות.

באפשרותך להפעיל או לכבות את תקינותהזיכרון באמצעות הלחצן הדו-מצבי.

מה אם כתוב שיש לי מנהל התקן לא תואם?

אם הפעלת תקינות הזיכרון נכשלת, ייתכן שהיא תציין שכבר מותקן מנהל התקן לא תואם. פנה ליצרן ההתקן כדי לבדוק אם יש לו מנהל התקן מעודכן זמין. אם אין לו מנהל התקן תואם זמין, ייתכן שתוכל להסיר את המכשיר או האפליקציה המשתמשים במנהל התקן לא תואם זה.

הגנה על ערימה שנאכפת על-ידי חומרה היא תכונת אבטחה מבוססת חומרה שמקשה על תוכניות זדוניות להשתמש במנהלי התקנים ברמה נמוכה כדי לחטוף את המחשב שלך.

מנהל התקן הוא פריט תוכנה המאפשר למערכת ההפעלה (Windows במקרה זה) ולהתקן (כגון לוח מקשים או מצלמת אינטרנט) לשוחח זה עם זה. כאשר המכשיר מעוניין ש- Windows יתבצע פעולה כלשהי, הוא משתמש במנהל ההתקן כדי לשלוח בקשה זו.

הגנה על ערימה שנאכפת על-ידי חומרה פועלת על-ידי מניעת תקיפות ששינויים של כתובות ההחזרה בזיכרון במצב ליבה להפעלת קוד זדוני. תכונת אבטחה זו דורשת CPU המכיל את היכולת לאמת את כתובות ההחזרה של קוד פועל.

בעת ביצוע קוד במצב ליבה, כתובות השולח במחסנית מצב ליבה עלולות להיפגם על-ידי תוכניות או מנהלי התקנים זדוניים כדי לנתב מחדש ביצוע קוד רגיל לקוד זדוני. במעבדים נתמכים, ה- CPU שומר עותק שני של כתובות החזרה חוקיות במחסנית צל לקריאה בלבד שמנהלי התקנים אינם יכולים לשנות. אם כתובת השולח בערימה הרגילה שונתה, ה- CPU יכול לזהות אי-התאמה זו על-ידי בדיקת העותק של כתובת השולח בערימה של הצל. כאשר מתרחשת אי-התאמה זו, המחשב מבקש שגיאת עצירה, שנקראת לעתים מסך כחול, כדי למנוע את ביצוע הקוד הזדון.

לא כל מנהלי ההתקנים תואמים לתכונת אבטחה זו, מפני שמספר קטן של מנהלי התקנים לגיטימיים מבצעים שינויים בכתובת השולח למטרות שאינן זדוניות. Microsoft תשתף פעולה עם מפרסמים רבים של מנהלי התקנים כדי לוודא שמנהלי ההתקנים העדכניים ביותר שלהם תואמים להגנה על ערימה שנאכפת על-ידי חומרה.

באפשרותך להפעיל או לבטל הגנת ערימה שנאכפת על-ידי חומרה באמצעות הלחצן הדו-מצבי.

כדי להשתמש בהגנה על ערימה שנאכפת על-ידי חומרה, דרושה לך תקינות זיכרון זמינה, ועליך להפעיל CPU התומך בטכנולוגיית אכיפה של Intel Control-Flowאו AMD Shadow Stack.

מה אם מופיע הכיתוב יש לי מנהל התקן או שירות לא תואם?

אם הפעלת הגנת ערימה שנאכפת על-ידי חומרה נכשלת, ייתכן שתודע לך שיש לך מנהל התקן או שירות שאינם תואמים שכבר מותקנים. פנה ליצרן ההתקן או למפרסם היישום כדי לבדוק אם יש לו מנהל התקן מעודכן זמין. אם אין לו מנהל התקן תואם זמין, ייתכן שתוכל להסיר את המכשיר או האפליקציה המשתמשים במנהל התקן לא תואם זה.

אפליקציות מסוימות עשויות להתקין שירות במקום מנהל התקן במהלך התקנת היישום ולהתקין את מנהל ההתקן רק כאשר היישום מופעל. לגילוי מדויק יותר של מנהלי התקנים שאינם תואמים, גם שירותים שידוע כי הם משויכים למנהלי התקנים שאינם תואמים.

המכונה גם הגנת DMA של ליבה, תכונת אבטחה זו מגנה על המכשיר שלך מפני התקפות שעלולות להתרחש כאשר מכשיר זדוני מחובר ליציאת Peripheral Component Interconnect (PCI) כמו יציאת Thunderbolt.

דוגמה פשוטה לאחת מתקפות אלה היא אם מישהו יוצא מהמחשב שלו להפסקת קפה מהירה, ובשהותו לא נמצא, תוקף נכנס, מחבר התקן התואם ל- USB ומתרחק עם נתונים רגישים מהמחשב, או מזריק תוכנה זדונית המאפשרת לו לשלוט במחשב מרחוק. 

הגנה על גישה לזיכרון מונעת סוגים אלה של תקיפות על-ידי מניעת גישה ישירה לזיכרון למכשירים אלה למעט בנסיבות מיוחדות, במיוחד כאשר המחשב נעול או שהמשתמש מתנתק.

לכל מכשיר יש תוכנה מסוימת שנכתבה לזיכרון לקריאה בלבד של המכשיר - בעיקרון נכתבה על שבב בלוח המערכת - המשמשת לפונקציות הבסיסיות של המכשיר, כגון טעינת מערכת ההפעלה שמפעילה את כל האפליקציות שאנו רגילים להשתמש שבהם. מאחר שתוכנה זו קשה (אך לא בלתי אפשרית) לשנות אותה, אנו מתייחסים אליה בתור קושחה.

מאחר הקושחה נטענת תחילה ופועלים תחת מערכת ההפעלה, כלי אבטחה ותכונות שפועלים במערכת ההפעלה מתקשים לזהות אותה או להתגונן מפניה. כמו בית התבסס על בסיס טוב כדי להיות מאובטח, המחשב זקוק הקושחה שלו כדי להיות מאובטח כדי להבטיח שמערכת ההפעלה, האפליקציות והנתונים במחשב זה בטוחים.

System Guard היא קבוצה של תכונות שמסייעות להבטיח שהתוקפים לא יוכלו להפעיל את המכשיר בקושחה לא מהימנה או זדונית.

פלטפורמות המציעות הגנה על הקושחה מגנות בדרך כלל גם על מצב ניהול המערכת ( SMM), מצב הפעלה בעל הרשאה גבוהה, למעלות משתנות. אתה יכול לצפות לאחד משלושת הערכים, עם מספר גבוה יותר המציין מידה גדולה יותר של הגנת SMM:

• המכשיר שלך עומד בגירסה אחת להגנה על קושחה: פעולה זו מציעה צמצום סיכונים של אבטחה בסיסית כדי לעזור ל- SMM להתנגד לניצול על-ידי תוכנות זדוניות, ומונעת הרחבה של סודות ממערכת ההפעלה (כולל VBS)

• המכשיר שלך עומד בגירסה שתיים להגנה על קושחה: בנוסף לגירסת ההגנה על הקושחה 1, גירסה 2 מבטיחה של- SMM לא תהיה אפשרות להשבית הגנות מבוססות-וירטואליזציה (VBS) והגנת DMA בליבה

• המכשיר שלך עומד בגירסה 3 להגנה על קושחה: בנוסף לגירסה 2 של הגנת הקושחה, הוא מקשה עוד יותר על SMM על-ידי מניעת גישה לרישוםים מסוימים בעלי היכולת לסכן את מערכת ההפעלה (כולל VBS)

הגנה על רשות אבטחה מקומית (LSA) היא תכונת אבטחה של Windows שמונעת גניבה של אישורים המשמשים לכניסה ל- Windows.   

רשות האבטחה המקומית (LSA) היא תהליך חיוני ב- Windows המעורב באימות משתמשים. הוא אחראי לאימות אישורים במהלך תהליך הכניסה ולניהול אסימוני אימות וכרטיסים המשמשים לכניסה יחידה עבור שירותים. הגנה על LSA עוזרת למנוע מתוכנות לא מהימנה לפעול בתוך LSA או לגשת לזיכרון LSA.  

כיצד ניתן לבצע את ההגנה על רשות האבטחה המקומית?

באפשרותך להפעיל או לכבות את הגנת LSA באמצעות הלחצן הדו-מצבי.

לאחר ששינית את ההגדרה, עליך לבצע אתחול מחדש כדי שהיא תוכל להיכנס לתוקף. 

מה קורה אם יש לי תוכנה לא תואמת? 

אם הגנת LSA זמינה והיא חוסמת את טעינת התוכנה בשירות LSA, הודעה מציינת את הקובץ החסומים. ייתכן שתוכל להסיר את התוכנה שטוענת את הקובץ, או לבטל אזהרות עתידיות עבור קובץ זה כאשר טעינה שלו תיחסם ב- LSA.  

כאשר אתה משתמש במכשיר שלך בעבודה או בבית הספר, הוא נכנס בשקט למגוון דברים, כגון קבצים, מדפסות, אפליקציות ומשאבים אחרים בארגון שלך. הפיכת תהליך זה לאבטח, אך קל יותר למשתמש, פירושה שבמחשב שלך יש מספר אסימוני אימות בכל זמן נתון.

אם תוקף יכול לקבל גישה לאחד או יותר מאסימונים אלה, ייתכן שהוא יוכל להשתמש בהם כדי לקבל גישה למשאב הארגוני (קבצים רגישים וכו') שעבורו מיועד האסימון. Credential Guard עוזר להגן על אסימונים אלה על-ידי הצבתם בסביבה מוגנת, וירטואלית, שבה רק שירותים מסוימים יכולים לגשת אליהם בעת הצורך.

מנהל התקן הוא פריט תוכנה המאפשר למערכת ההפעלה (Windows במקרה זה) ולהתקן (כגון לוח מקשים או מצלמת אינטרנט) לשוחח זה עם זה. כאשר המכשיר מעוניין ש- Windows יתבצע פעולה כלשהי, הוא משתמש במנהל ההתקן כדי לשלוח בקשה זו. לכן, למנהלי התקנים יש גישה רגישה רבה במערכת שלך.

Windows 11 כוללת רשימת חסימות של מנהלי התקנים בעלי פגיעויות אבטחה ידועות, נחתמו באמצעות אישורים המשמשים לחתימה על תוכנה זדונית או כדי לעקוף את אבטחת Windows המודל.

אם יש לך תקינות זיכרון, בקרת אפליקציות חכמות או מצב Windows S מופעלים, גם רשימת החסימה הפגיעה של מנהל ההתקן תהיה מופעלת.

כאן תוכל למצוא מידע על היצרן ומספרי הגרסה של מעבד האבטחה וכן מידע על מצב מעבד האבטחה.

באפליקציית אבטחת Windows במחשב שלך, בחר באפשרות אבטחת> פרטי מעבד אבטחה או השתמש בקיצור הדרך הבא:

פרטי מעבד אבטחה

אם מעבד האבטחה שלך אינו פועל כראוי, באפשרותך לבחור בקישור פתרון בעיות במעבד האבטחה כדי לראות הודעות שגיאה ואפשרויות מתקדמות, או להשתמש בקיצור הדרך הבא:

פתרון בעיות במעבד אבטחה

דף פתרון הבעיות של מעבד האבטחה מספק הודעות שגיאה רלוונטיות אודות ה- TPM. להלן רשימה של הודעות השגיאה והפרטים:

הודעה	פרטים
דרוש עדכון קושחה עבור מעבד האבטחה (TPM).	נראה שללוחות האם של המכשיר שלך אין תמיכה ב- TPM בשלב זה, אך עדכון קושחה עשוי לפתור בעיה זו. פנה ליצרן המכשיר כדי לראות אם קיים עדכון קושחה זמין וכיצד להתקין אותו. עדכוני קושחה זמינים בדרך כלל בחינם.
ה- TPM אינו זמין ודורש את התייחסותך.	מודול הפלטפורמה המהימן כבוי כנראה ב- BIOS של המערכת (מערכת קלט/פלט בסיסית) או ב- UEFI (ממשק קושחה מורחב מאוחד). עיין בתיעוד התמיכה של יצרן המכשיר, או פנה לתמיכה הטכנית שלו, לקבלת הוראות כיצד להפעיל אותו.
אחסון TPM אינו זמין. נקה את ה- TPM שלך.	לחצן 'נקה TPM' נמצא בדף זה. מומלץ לוודא שיש לך גיבוי טוב של הנתונים לפני שתמשיך.
‎אימות של תקינות המכשיר אינו זמין. נקה את ה- TPM שלך.	לחצן 'נקה TPM' נמצא בדף זה. מומלץ לוודא שיש לך גיבוי טוב של הנתונים לפני שתמשיך.
אימות תקינות המכשיר אינו נתמך במכשיר זה.	משמעות הדבר היא שהמכשיר אינו מספק לנו מספיק מידע כדי לקבוע מדוע TPM עשוי שלא לפעול כראוי במכשיר שלך.
ה- TPM אינו תואם הקושחה שלך וייתכן שהוא אינו פועל כראוי.	פנה ליצרן המכשיר כדי לראות אם קיים עדכון קושחה זמין וכיצד לקבל ולהתקין אותו. עדכוני קושחה זמינים בדרך כלל בחינם.
יומן האתחול המדוד של TPM חסר. נסה להפעיל מחדש את המכשיר שלך.
נתקלנו בבעיה ב- TPM שלך. נסה להפעיל מחדש את המכשיר שלך.

אם אתה עדיין נתקל בבעיות לאחר טיפול בהודעות השגיאה, פנה ליצרן המכשיר שלך לקבלת סיוע.

בחר נקה TPM כדי לאפס את מעבד האבטחה להגדרות ברירת המחדל.