Eszközbiztonság a Windows biztonság alkalmazásban

A memória integritása, más néven hipervizor által védett kódintegritás (HVCI) egy Windows biztonsági funkció, amely megnehezíti a rosszindulatú programok számára, hogy alacsony szintű illesztőprogramokat használjanak a számítógép eltérítéséhez.

Az illesztőprogram olyan szoftver, amely lehetővé teszi, hogy az operációs rendszer (ebben az esetben Windows) és egy eszköz (például billentyűzet vagy webkamera) kommunikáljon egymással. Amikor az eszköz azt szeretné, hogy a Windows tegyen valamit, az illesztőprogram használatával küldi el a kérést.

A memória integritása egy elkülönített környezet hardvervirtualizálással történő létrehozásával működik.

Gondolj úgy, mint egy biztonsági őrre egy zárt fülkében. Ez az izolált környezet (a hasonlatunkban a zárolt fülke) megakadályozza, hogy a támadó illetéktelenül módosítsa a memória integritási funkcióját. Egy olyan programnak, amely veszélyes kódrészletet szeretne futtatni, át kell adnia a kódot a virtuális standon belüli memóriaintegritásnak, hogy ellenőrizhető legyen. Ha a memória integritása kényelmes, hogy a kód biztonságos, a kódot visszaküldi a Windowsnak a futtatáshoz. Ez általában nagyon gyorsan történik.

A memóriaintegritás futtatása nélkül a biztonsági őr közvetlenül a szabadban áll, ahol a támadók sokkal könnyebben zavarhatják vagy szabotálhatják az őrt, így a rosszindulatú kódok könnyebben átugranak, és problémákat okozhatnak.

A váltógombbal be - vagykikapcsolhatja a memória integritását.

Mi van, ha azt írják, hogy nem kompatibilis illesztőprogramom van?

Ha a memóriaintegritás nem kapcsol be, előfordulhat, hogy már telepítve van egy nem kompatibilis eszközillesztő. Kérdezze meg az eszköz gyártóját, hogy elérhető-e frissített illesztőprogram. Ha nem rendelkezik elérhető kompatibilis illesztőprogramkal, előfordulhat, hogy eltávolíthatja azt az eszközt vagy alkalmazást, amely ezt a nem kompatibilis illesztőprogramot használja.

A hardveresen kényszerített veremvédelem egy hardveralapú biztonsági funkció, amely megnehezíti a rosszindulatú programok számára, hogy alacsony szintű illesztőprogramokat használjanak a számítógép eltérítéséhez.

Az illesztőprogram olyan szoftver, amely lehetővé teszi, hogy az operációs rendszer (ebben az esetben Windows) és egy eszköz (például billentyűzet vagy webkamera) kommunikáljon egymással. Amikor az eszköz azt szeretné, hogy a Windows tegyen valamit, az illesztőprogram használatával küldi el a kérést.

A hardveresen kényszerített veremvédelem úgy működik, hogy megakadályozza azokat a támadásokat, amelyek a kernelmódú memóriában módosítják a visszatérési címeket, hogy rosszindulatú kódot indítsanak. Ehhez a biztonsági funkcióhoz olyan processzor szükséges, amely lehetővé teszi a futó kód visszaküldési címeinek ellenőrzését.

Ha kernel módban hajt végre kódot, a kernelmódú veremen lévő visszaadott címeket rosszindulatú programok vagy illesztőprogramok is megsérülhetnek, hogy a normál kódvégrehajtást rosszindulatú kódra irányítsák át. A támogatott CPU-k esetében a CPU fenntartja az érvényes visszatérési címek második példányát egy írásvédett árnyékveremen, amelyet az illesztőprogramok nem tudnak módosítani. Ha a normál veremen módosítják a visszatérési címet, a processzor észlelni tudja ezt az eltérést az árnyékveremen található visszaküldési cím másolatának ellenőrzésével. Ha ez az eltérés jelentkezik, a számítógép leállási hibát (más néven kék képernyőt) kér, hogy megakadályozza a rosszindulatú kód végrehajtását.

Nem minden illesztőprogram kompatibilis ezzel a biztonsági funkcióval, mivel kevés jogos illesztőprogram hajtja be a visszaküldési cím módosítását nem rosszindulatú célokból. A Microsoft számos illesztőprogram-közzétevővel együttműködve biztosítja, hogy a legújabb illesztőprogramok kompatibilisek legyenek a hardveresen kényszerített veremvédelemmel.

A hardveresen kényszerített veremvédelmet a váltógombbal kapcsolhatja be vagy ki.

A hardveresen kényszerített veremvédelem használatához engedélyeznie kell a memóriaintegritást, és olyan processzort kell futtatnia, amely támogatja az Intel Control-Flow kényszerítési technológiát vagy az AMD Árnyékvermet.

Mi a teendő, ha nem kompatibilis illesztőprogramtal vagy szolgáltatással rendelkezem?

Ha a hardveresen kényszerített veremvédelem nem kapcsol be, előfordulhat, hogy már telepítve van egy nem kompatibilis eszközillesztő vagy -szolgáltatás. Kérdezze meg az eszköz gyártóját vagy az alkalmazás kiadóját, hogy elérhető-e frissített illesztőprogram. Ha nem rendelkezik elérhető kompatibilis illesztőprogramkal, előfordulhat, hogy eltávolíthatja a nem kompatibilis illesztőprogramot használó eszközt vagy alkalmazást.

Előfordulhat, hogy egyes alkalmazások az alkalmazás telepítése során nem illesztőprogramot, hanem szolgáltatást telepítenek, és csak az alkalmazás indításakor telepítik az illesztőprogramot. Az inkompatibilis illesztőprogramok pontosabb észlelése érdekében a nem kompatibilis illesztőprogramokkal társított szolgáltatások is enumerálva lesznek.

Kernel DMA-védelemként is ismert ez a biztonsági funkció, amely megvédi az eszközt az olyan támadásoktól, amelyek akkor fordulhatnak elő, ha rosszindulatú eszközt csatlakoztatnak egy Perifériaösszekötő (PCI) porthoz, például egy Thunderbolt-porthoz.

Az ilyen támadások egyik egyszerű példája az lenne, ha valaki elhagyja a számítógépét egy gyors kávészünetre, és amíg távol volt, a támadó belép, csatlakoztat egy USB-szerű eszközt, és elsétál a gépről származó bizalmas adatokkal, vagy olyan kártevőket szúr be, amelyek lehetővé teszik a számítógép távoli vezérlését. 

A memóriahozzáférés elleni védelem megakadályozza az ilyen típusú támadásokat azáltal, hogy megtagadja a memóriához való közvetlen hozzáférést ezekhez az eszközökhöz, kivéve különleges körülmények között, különösen akkor, ha a számítógép zárolva van, vagy a felhasználó kijelentkezett.

Minden eszköz rendelkezik olyan szoftverrel, amelyet az eszköz írásvédett memóriájára írtak – alapvetően a rendszertáblán lévő chipre – az eszköz alapvető funkcióihoz, például az összes használt alkalmazást futtató operációs rendszer betöltéséhez. Mivel ez a szoftver nehéz (de nem lehetetlen) módosítani azt nevezzük , mint belső vezérlőprogram.

Mivel a belső vezérlőprogram először betöltődik, és az operációs rendszer alatt fut, az operációs rendszerben futó biztonsági eszközöknek és funkcióknak nehéz észlelni vagy védeniük kell azt. Mint egy ház, amely attól függ, hogy egy jó alap, hogy biztonságos, a számítógépnek szüksége van a belső vezérlőprogram biztonságos annak érdekében, hogy az operációs rendszer, alkalmazások, és az adatok ezen a számítógépen biztonságos.

Rendszerőr olyan funkciók készlete, amelyek segítenek biztosítani, hogy a támadók ne tudják az eszközt nem megbízható vagy rosszindulatú belső vezérlőprogramokkal kezdeni.

A belső vezérlőprogram-védelmet biztosító platformok általában eltérő mértékben védik a rendszerfelügyeleti módot (SMM), a magas szintű jogosultsági szintű üzemmódot. A három érték közül az egyikre számíthat, nagyobb számmal, amely nagyobb fokú SMM-védelmet jelez:

• Az eszköz megfelel a belső vezérlőprogram-védelem első verziójának: ez biztosítja az alapvető biztonsági kockázatcsökkentéseket, amelyek segítenek az SMM-nek ellenállni a kártevők általi kizsákmányolásnak, és megakadályozza a titkos kódok kiszivárgását az operációs rendszerből (beleértve a VBS-t is)

• Az eszköz megfelel a belsővezérlőprogram-védelem második verziójának: az első verziójú belsővezérlőprogram-védelem mellett a második verzió biztosítja, hogy az SMM ne tiltsa le a Virtualization-alapú biztonság (VBS) és a kernel DMA-védelmét

• Az eszköz megfelel a belsővezérlőprogram-védelem harmadik verziójának: a belsővezérlőprogram-védelem második verzióján kívül tovább fokozza az SMM-et azáltal, hogy megakadályozza az operációs rendszert veszélyeztető bizonyos regiszterekhez való hozzáférést (beleértve a VBS-t is)

A Helyi biztonsági hatóság (LSA) védelme a Windows biztonsági funkciója, amely segít megelőzni a Windowsba való bejelentkezéshez használt hitelesítő adatok ellopását.   

A Helyi biztonsági hatóság (LSA) a windowsos hitelesítés kulcsfontosságú folyamata. Feladata a hitelesítő adatok ellenőrzése a bejelentkezési folyamat során, valamint a szolgáltatások egyszeri bejelentkezésének engedélyezéséhez használt hitelesítési jogkivonatok és jegyek kezelése. Az LSA-védelem segít megakadályozni, hogy a nem megbízható szoftverek az LSA-ben fussanak, vagy hozzáférjenek az LSA-memóriához.  

Hogyan felügyeli a helyi biztonsági hatóságok védelmét?

Az LSA-védelem a váltógombbal kapcsolható be vagy ki.

Miután módosította a beállítást, újra kell indítania ahhoz, hogy érvénybe lépjen. 

Mi a teendő, ha nem kompatibilis szoftverekkel rendelkezem? 

Ha az LSA-védelem engedélyezve van, és blokkolja a szoftver LSA szolgáltatásba való betöltését, egy értesítés jelzi a blokkolt fájlt. Előfordulhat, hogy el tudja távolítani a fájlt betöltő szoftvert, vagy letilthatja a jövőbeli figyelmeztetéseket, ha az LSA-ba való betöltés le van tiltva.  

Miközben munkahelyi vagy iskolai eszközét használja, a rendszer csendesen bejelentkezik, és hozzáférést kap a szervezet különböző fájljaihoz, nyomtatóihoz, alkalmazásaihoz és egyéb erőforrásaihoz. A folyamat biztonságossá tétele, de a felhasználó számára is egyszerűvé tétele azt jelenti, hogy a számítógépen egy adott időpontban számos hitelesítési jogkivonat található.

Ha egy támadó hozzáférhet egy vagy több jogkivonathoz, akkor használhatja őket ahhoz a szervezeti erőforráshoz (bizalmas fájlokhoz stb.), amelyhez a jogkivonat tartozik. A Credential Guard egy védett, virtualizált környezetbe helyezi őket, ahol csak bizonyos szolgáltatások férhetnek hozzá, ha szükséges.

Az illesztőprogram olyan szoftver, amely lehetővé teszi, hogy az operációs rendszer (ebben az esetben Windows) és egy eszköz (például billentyűzet vagy webkamera) kommunikáljon egymással. Amikor az eszköz azt szeretné, hogy a Windows tegyen valamit, az illesztőprogram használatával küldi el a kérést. Emiatt az illesztőprogramok sok bizalmas hozzáféréssel rendelkeznek a rendszerben.

Windows 11 tartalmazza az ismert biztonsági résekkel rendelkező, kártevő-aláíráshoz használt tanúsítványokkal aláírt vagy a Windows biztonság modellt megkerülő illesztőprogramok tiltólistát.

Ha a memória integritása, az intelligens alkalmazásvezérlés vagy a Windows S mód be van kapcsolva, a sebezhető illesztőprogram-tiltólista is be lesz kapcsolva.

Itt találja a biztonsági processzor gyártójával és verziószámával kapcsolatos adatokat, illetve a biztonsági processzor állapotával kapcsolatos információkat.

A számítógépén található Windows biztonság alkalmazásban, válassza az Eszközbiztonság > Biztonsági processzor részletei lehetőséget , vagy használja a következő parancsikont:

Biztonsági feldolgozó részletei

Ha a biztonsági processzor nem működik megfelelően, a Biztonsági processzor hibaelhárítása hivatkozásra kattintva megtekintheti a hibaüzeneteket és a speciális beállításokat, vagy használhatja az alábbi parancsikont:

Biztonsági processzor hibaelhárítása

A biztonsági feldolgozó hibaelhárítási oldala a TPM-ről szóló összes releváns hibaüzenetet tartalmazza. Íme a hibaüzenetek és a részletek listája:

Message (Üzenet)	Részletek
Frissíteni kell a biztonsági processzor (TPM) belső vezérlőprogramját.	Úgy tűnik, hogy az eszköz alaplapja jelenleg nem támogatja a TPM-et, de a belső vezérlőprogram frissítése megoldhatja ezt. Kérdezze meg az eszköz gyártóját, hogy elérhető-e belsővezérlőprogram-frissítés, és hogyan telepítheti. A belső vezérlőprogram frissítései általában ingyenesek.
A TPM-eszköz le van tiltva és beavatkozást igényel.	A platformmegbízhatósági modul valószínűleg ki van kapcsolva a rendszer BIOS (alapszintű bemeneti/kimeneti rendszer) vagy UEFI (Unified Extensible Firmware Interface) felületén. A bekapcsolására vonatkozó útmutatásért tekintse meg az eszköz gyártójának támogatási dokumentációját, vagy forduljon a műszaki támogatási szolgálathoz.
A TPM-tárterület nem érhető el. Kérjük, törölje a TPM-et.	A TPM törlése gomb ezen az oldalon található. Mielőtt továbblép, győződjön meg arról, hogy rendelkezik az adatok megfelelő biztonsági mentésével.
Az Eszközállapot-igazolás nem érhető el. Kérjük, törölje a TPM-et.	A TPM törlése gomb ezen az oldalon található. Mielőtt továbblép, győződjön meg arról, hogy rendelkezik az adatok megfelelő biztonsági mentésével.
Az Eszközállapot-igazolás nem támogatott ezen az eszközön.	Ez azt jelenti, hogy az eszköz nem ad elég információt annak megállapításához, hogy a TPM miért nem működik megfelelően az eszközön.
A TPM nem kompatibilis a belső vezérlőprogrammal, és előfordulhat, hogy nem működik megfelelően.	Kérdezze meg az eszköz gyártóját, hogy elérhető-e belsővezérlőprogram-frissítés, és hogyan szerezheti be és telepítheti. A belső vezérlőprogram frissítései általában ingyenesek.
Hiányzik a TPM mért rendszerindítási naplója. Próbálja meg újraindítani az eszközt.
Probléma merült fel a TPM-mel kapcsolatban. Próbálja meg újraindítani az eszközt.

Ha egy hiba kijavítását követően továbbra is problémákat tapasztal, forduljon az eszköz gyártójához segítségért.

A TPM törlése lehetőség kiválasztásával visszaállíthatja a biztonsági processzor alapértelmezett beállításait.