Segurança do dispositivo no aplicativo Segurança do Windows

A integridade da memória, também conhecida como HVCI (integridade de código protegida pelo Hypervisor) é um recurso de segurança do Windows que dificulta que programas mal-intencionados usem drivers de baixo nível para sequestrar seu computador.

Um driver é um software que permite que o sistema operacional (Windows nesse caso) e um dispositivo (como um teclado ou uma webcam) conversem entre si. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação.

A integridade da memória funciona criando um ambiente isolado usando a virtualização de hardware.

Pense nisso como um guarda de segurança dentro de uma cabine trancada. Esse ambiente isolado (a cabine trancada em nossa analogia) impede que o recurso de integridade da memória seja adulterado por um invasor. Um programa que deseja executar um trecho de código que pode ser perigoso tem que passar o código para a integridade da memória dentro dessa cabine virtual para que possa ser verificado. Quando a integridade da memória é confortável para que o código esteja seguro, ele devolve o código ao Windows para ser executado. Normalmente, isso acontece muito rapidamente.

Sem a integridade da memória em execução, o segurança se destaca ao ar livre, onde é muito mais fácil para um invasor interferir ou sabotar o guarda, tornando mais fácil para o código mal-intencionado passar e causar problemas.

Você pode ativar oudesativar a integridade da memória usando o botão alternar.

E se disser que tenho um driver incompatível?

Se a integridade da memória não for ativada, ele poderá dizer que você tem um driver de dispositivo incompatível já instalado. Verifique com o fabricante do dispositivo se há um driver atualizado disponível. Se eles não tiverem um driver compatível disponível, você poderá remover o dispositivo ou aplicativo que usa esse driver incompatível.

A proteção contra pilha imposta por hardware é um recurso de segurança baseado em hardware que dificulta que programas mal-intencionados usem drivers de baixo nível para sequestrar seu computador.

Um driver é um software que permite que o sistema operacional (Windows nesse caso) e um dispositivo (como um teclado ou uma webcam) conversem entre si. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação.

A proteção contra pilha imposta por hardware funciona evitando ataques que modificam endereços retornados na memória do modo kernel para iniciar código mal-intencionado. Esse recurso de segurança requer uma CPU que contenha a capacidade de verificar os endereços retornados do código em execução.

Ao executar o código no modo kernel, os endereços retornados na pilha do modo kernel podem ser corrompidos por programas mal-intencionados ou drivers, a fim de redirecionar a execução normal de código para código mal-intencionado. Em CPUs com suporte, a CPU mantém uma segunda cópia de endereços retornados válidos em uma pilha de sombra somente leitura que os drivers não podem modificar. Se um endereço retornado na pilha regular tiver sido modificado, a CPU poderá detectar essa discrepância verificando a cópia do endereço retornado na pilha de sombras. Quando essa discrepância ocorre, o computador solicita um erro de parada, às vezes conhecido como tela azul, para impedir que o código mal-intencionado seja executado.

Nem todos os drivers são compatíveis com esse recurso de segurança, pois um pequeno número de drivers legítimos se envolvem em modificação de endereço retornado para fins não mal-intencionados. A Microsoft tem se envolvido com vários editores de driver para garantir que seus drivers mais recentes sejam compatíveis com a proteção contra pilha imposta por hardware.

Você pode ativar oudesativar a proteção de pilha imposta por hardware usando o botão alternar.

Para usar a proteção contra pilha imposta por hardware, você deve ter a integridade da memória habilitada e deve estar executando uma CPU compatível com a Intel Control-Flow Enforcement Technology ou AMD Shadow Stack.

E se ele disser que tenho um driver ou serviço incompatível?

Se a proteção contra pilha imposta por hardware não for ativada, ele poderá dizer que você tem um driver ou serviço de dispositivo incompatível já instalado. Verifique com o fabricante do dispositivo ou o editor de aplicativos para ver se ele tem um driver atualizado disponível. Se eles não tiverem um driver compatível disponível, você poderá remover o dispositivo ou o aplicativo que usa esse driver incompatível.

Alguns aplicativos podem instalar um serviço em vez de um driver durante a instalação do aplicativo e instalar o driver somente quando o aplicativo for iniciado. Para detecção mais precisa de drivers incompatíveis, os serviços conhecidos por estarem associados a drivers incompatíveis também são enumerados.

Também conhecido como proteção de DMA do Kernel, esse recurso de segurança protege seu dispositivo contra ataques que podem ocorrer quando um dispositivo mal-intencionado está conectado a uma porta PCI (Interconexão de Componente Periférico) como uma porta Thunderbolt.

Um exemplo simples de um desses ataques seria se alguém deixasse seu computador para uma rápida pausa para o café e, enquanto estava fora, um invasor entrasse, conectasse um dispositivo semelhante a USB e saísse com dados confidenciais da máquina, ou injeta malware que lhes permite controlar o computador remotamente. 

A proteção de acesso à memória impede esses tipos de ataques negando acesso direto à memória a esses dispositivos, exceto em circunstâncias especiais, especialmente quando o computador está bloqueado ou o usuário é conectado.

Todo dispositivo possui algum software que foi gravado na memória somente leitura do dispositivo - basicamente gravado em um chip na placa do sistema - que é usado para as funções básicas do dispositivo, como carregar o sistema operacional que executa todos os aplicativos estamos acostumados a usar. Como esse software é difícil (mas não impossível) de modificar, nos referimos a ele como firmware.

Como o firmware carrega primeiro e é executado sob o sistema operacional, as ferramentas de segurança e os recursos executados no sistema operacional têm dificuldade em detectá-lo ou se defender dele. Como uma casa que depende de uma boa base para ser segura, um computador precisa de seu firmware para ser seguro para garantir que o sistema operacional, os aplicativos e os dados desse computador sejam seguros.

System Guard é um conjunto de recursos que ajuda a garantir que os invasores não possam fazer com que seu dispositivo comece com firmware não confiável ou mal-intencionado.

As plataformas que oferecem proteção de firmware normalmente também protegem o SMM ( Modo de Gerenciamento de Sistema ), um modo operacional altamente privilegiado, em diferentes graus. Você pode esperar um dos três valores, com um número maior indicando um maior grau de proteção SMM:

• Seu dispositivo atende à versão um da proteção de firmware: isso oferece as mitigações de segurança fundamentais para ajudar o SMM a resistir à exploração por malware e impede a exfiltração de segredos do sistema operacional (incluindo VBS)

• Seu dispositivo atende à proteção de firmware versão dois: além da proteção de firmware versão um, a versão dois garante que o SMM não pode desabilitar as proteções VBS (Segurança baseada em Virtualização) e DMA do kernel

• Seu dispositivo atende à proteção de firmware versão três: além da proteção de firmware versão dois, ele endurece ainda mais o SMM impedindo o acesso a determinados registros que têm a capacidade de comprometer o sistema operacional (incluindo VBS)

A proteção LSA (Autoridade de Segurança Local) é um recurso de segurança do Windows para ajudar a evitar o roubo de credenciais usadas para entrar no Windows.   

A LSA (Autoridade de Segurança Local) é um processo crucial no Windows envolvido na autenticação do usuário. Ele é responsável por verificar credenciais durante o processo de logon e gerenciar tokens de autenticação e tíquetes usados para habilitar o logon único para serviços. A proteção LSA ajuda a impedir que o software não confiável seja executado dentro da LSA ou acesse a memória LSA.  

Como fazer gerenciar a proteção da Autoridade de Segurança Local?

Você pode ativar oudesativar a proteção LSA usando o botão alternar.

Depois de alterar a configuração, você deve reiniciar para que ela entre em vigor. 

E se eu tiver software incompatível? 

Se a proteção LSA estiver habilitada e bloquear o carregamento de software no serviço LSA, uma notificação indicará o arquivo bloqueado. Você pode ser capaz de remover o software que carrega o arquivo ou pode desabilitar avisos futuros para esse arquivo quando ele estiver impedido de carregar no LSA.  

Enquanto você estiver usando seu dispositivo de trabalho ou escola, ele estará entrando silenciosamente e obtendo acesso a uma variedade de coisas, como arquivos, impressoras, aplicativos e outros recursos em sua organização. Tornar esse processo seguro, mas fácil para o usuário, significa que seu computador tem vários tokens de autenticação nele a qualquer momento.

Se um invasor puder obter acesso a um ou mais desses tokens, ele poderá usá-los para obter acesso ao recurso organizacional (arquivos confidenciais etc) para o qual o token é. O Credential Guard ajuda a proteger esses tokens colocando-os em um ambiente protegido, virtualizado, em que apenas determinados serviços podem acessá-los quando necessário.

Um driver é um software que permite que o sistema operacional (Windows nesse caso) e um dispositivo (como um teclado ou uma webcam) conversem entre si. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação. Por causa disso, os drivers têm muito acesso confidencial em seu sistema.

Windows 11 inclui uma lista de bloqueio de drivers que têm vulnerabilidades de segurança conhecidas, foram assinados com certificados usados para assinar malware ou que contornam o modelo de Segurança do Windows.

Se você tiver integridade de memória, Smart App Control ou modo Windows S ativado, a lista de bloqueio de driver vulnerável também estará ativada.

É aqui onde você localizará informações sobre o fabricante do processador de segurança e os números da versão, bem como sobre o status do processador de segurança.

No aplicativo Segurança do Windows em seu PC, selecione Segurança  do dispositivo> Detalhes do processador de segurança ou utilize o seguinte atalho:

Detalhes do processador de segurança

Se o processador de segurança não estiver a funcionar corretamente, pode selecionar a ligação Resolução de problemas do processador de segurança para ver mensagens de erro e opções avançadas ou utilizar o seguinte atalho:

Resolução de problemas do processador de segurança

A página de resolução de problemas do processador de segurança fornece quaisquer mensagens de erro relevantes sobre o TPM. Eis uma lista das mensagens de erro e detalhes:

Mensagem	Detalhes
É necessária uma atualização de firmware para o processador de segurança (TPM).	Atualmente, a placa principal do seu dispositivo não suporta TPM, mas uma atualização de firmware poderá resolve isto. Contacte o fabricante do dispositivo para ver se está disponível uma atualização de firmware e como instalá-la. Normalmente, as atualizações de firmware são gratuitas.
O TPM está desabilitado e requer atenção.	O módulo de plataforma fidedigna está provavelmente desativado no SISTEMA BIOS (Basic Input/Output System) ou UEFI (Unified Extensible Firmware Interface). Consulte a documentação de suporte do fabricante do dispositivo ou contacte o suporte técnico para obter instruções sobre como o ativar.
O armazenamento TPM não está disponível. Limpe o TPM.	O botão limpar TPM está nesta página. Deve certificar-se de que tem uma boa cópia de segurança dos seus dados antes de continuar.
O atestado de integridade do dispositivo não está disponível. Limpe o TPM.	O botão limpar TPM está nesta página. Deve certificar-se de que tem uma boa cópia de segurança dos seus dados antes de continuar.
O atestado de integridade do dispositivo não é compatível com este dispositivo.	Isto significa que o dispositivo não nos fornece informações suficientes para determinar por que motivo o TPM pode não estar a funcionar corretamente no seu dispositivo.
O TPM não é compatível com o seu firmware e pode não estar a funcionar corretamente.	Contacte o fabricante do dispositivo para ver se está disponível uma atualização de firmware e como obter e instalá-la. Normalmente, as atualizações de firmware são gratuitas.
O log de inicialização medido pelo TPM está ausente. Tente reiniciar o dispositivo.
Há um problema com o TPM. Tente reiniciar o dispositivo.

Se ainda encontrar problemas depois de resolver uma mensagem de erro, contate o fabricante do dispositivo para obter assistência.

Selecione Limpar TPM para redefinir o processador de segurança para as configurações padrão.