KB4074629：瞭解 SpeculationControl PowerShell 指令碼輸出

方法 1: 使用 PowerShell 資源庫的 PowerShell 驗證 (Windows Server 2016 或 WMF 5.0/5.1)

安裝 PowerShell 模組:

PS> Install-Module SpeculationControl

執行 SpeculationControl PowerShell 模組，以驗證已啟用保護

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

方法 2: 使用 TechNet (舊版作業系統/舊版 WMF) 的下載來驗證 PowerShell

安裝 Technet 指令碼中心的 PowerShell 模組

1. 移至 https://aka.ms/SpeculationControlPS。

2. 將 SpeculationControl.zip 下載到本機資料夾。

3. 將內容解壓縮到本機資料夾，例如 C:\ADV180002

執行 PowerShell 模組以驗證已啟用保護

啟動 PowerShell，然後 (使用上述範例) 複製並執行下列命令:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

輸出

說明

CVE-2017-5715 [分支目標導入] 的推測控制設定

本章節提供變體 2、CVE-2017-5715分支目標導入的系統狀態。

分支目標導入風險降低功能的硬體支援已存在

對應到 BTIHardwarePresent。 此行會告訴您是否存在支援分支目標導入風險降低功能的硬體功能。 裝置 OEM 負責提供包含 CPU 製造商所提供之微碼的更新 BIOS/韌體。 如果此行為True，則存在所需的硬體功能。 如果線條為False，則不存在所需的硬體功能。 因此，無法啟用分支目標導入風險降低功能。

附註： 如果 OEM 更新已套用至主機且遵循指引，來賓 VM 中的 BTIHardwarePresent 會為 True 。

Windows 作業系統支援分支目標導入風險降低功能已存在

對應到 BTIWindowsSupportPresent。 此行會告訴您 Windows 作業系統對分支目標導入風險降低功能的支援是否存在。 如果為 True，則作業系統支援啟用分支目標導入風險降低功能 (因此已安裝 2018 年 1 月更新)。 如果是False，則裝置上未安裝 2018 年 1 月更新，且無法啟用分支目標導入風險降低功能。

附註： 如果來賓 VM 偵測不到主機硬體更新，BTIWindowsSupportEnabled 永遠都是 False。

已啟用 Windows 作業系統針對分支目標導入風險降低功能的支援

對應到 BTIWindowsSupportEnabled。 此行會告訴您是否已針對分支目標導入風險降低功能啟用 Windows 作業系統支援。 如果為 True，裝置會啟用分支目標導入風險降低功能的硬體支援和作業系統支援，因此可防範 CVE-2017-5715。 如果是 False，則下列其中一個條件為 True:

• 硬體支援不存在。

• 作業系統支援不存在。

• 系統原則會停用這項風險降低功能。

系統原則停用 Windows 作業系統對分支目標導入風險降低功能的支援

對應至 BTIDisabledBySystemPolicy。 此行會告訴您分支目標注入風險降低功能是否已由系統原則 停用 (例如系統管理員定義的原則)。 系統原則是指 KB4072698 中所述的登錄控制項。 如果為True，則系統原則停用保護功能。 如果為 False，則因不同原因停用了風險降低功能。

由於缺少硬體支援，Windows 作業系統對分支目標導入風險降低功能的支援已停用

對應至 BTIDisabledByNoHardwareSupport。 此行會告訴您，分支目標導入風險降低功能是否因為缺少硬體支援而停用。 如果是 True，則是因缺乏硬體支援而停用風險降低功能。 如果為 False，則因不同原因停用了風險降低功能。

附註如果來賓 VM 偵測不到主機硬體更新，BTIDisabledByNoHardwareSupport 永遠都是 True。

CVE-2017-5754 的推測控制設定 [惡意攻擊資料快取載入]

本章節提供變體 3、CVE-2017-5754、惡意攻擊資料快取載入的摘要系統狀態。 此功能的風險降低功能稱為核心虛擬位址 (VA) 陰影或惡意攻擊資料快取載入風險降低功能。

硬體容易受到惡意攻擊的資料快取載入

對應至 RdclHardwareProtected。 此行會告訴您硬體是否容易受到 CVE-2017-5754 攻擊。 如果為 True，則硬體可能容易受到 CVE-2017-5754 攻擊。 如果為 False，已知硬體不易受到 CVE-2017-5754 攻擊。

Windows 作業系統對惡意攻擊資料快取載入風險降低功能的支援

對應至 KVAShadowWindowsSupportPresent。 此行會告訴您 Windows 作業系統對核心 VA 陰影功能的支援是否存在。

已啟用 Windows 作業系統對惡意攻擊資料快取載入風險降低功能的支援

對應至 KVAShadowWindowsSupportEnabled。 此行會告訴您是否已啟用核心 VA 陰影功能。 如果是 True，則硬體可能容易受到 CVE-2017-5754 攻擊，並且 Windows 作業系統支援已存在且已啟用。

硬體需要核心 VA 陰影

對應至 KVAShadowRequired。 此行會告訴您，您的系統是否需要核心 VA 陰影來降低弱點的風險。

Windows 作業系統對核心 VA 陰影的支援已存在

對應至 KVAShadowWindowsSupportPresent。 此行會告訴您 Windows 作業系統對核心 VA 陰影功能的支援是否存在。 如果是 True，則裝置上已安裝 2018 年 1 月更新，並支援核心 VA 陰影。 如果是 False，則未安裝 2018 年 1 月更新，且核心 VA 陰影支援不存在。

已啟用 Windows 作業系統對核心 VA 陰影的支援

對應至 KVAShadowWindowsSupportEnabled。 此行會告訴您是否已啟用核心 VA 陰影功能。 如果為 True，則 Windows 作業系統支援已存在且已啟用。 Windows 用戶端版本目前預設會啟用核心 VA 陰影功能，並且在 Windows Server 版本上預設為停用。 如果是 False，則 Windows 作業系統支援不存在，或未啟用此功能。

已啟用 PCID 效能最佳化的 Windows 作業系統支援

附註安全性不需要 PCID。 它只會指出是否已啟用效能改進。 Windows Server 2008 R2 不支援 PCID

對應至 KVAShadowPcidEnabled。 此行會告訴您是否已針對核心 VA 陰影啟用其他效能最佳化。 如果為 True，則會啟用核心 VA 陰影、PCID 的硬體支援已存在，並已啟用核心 VA 陰影的 PCID 最佳化。 如果是 False，則硬體或作業系統可能不支援 PCID。 未啟用 PCID 最佳化並非安全性弱點。

針對推測儲存旁路停用的 Windows 作業系統支援已存在

對應至 SSBDWindowsSupportPresent。 此行會告訴您 Windows 作業系統對推測儲存旁路停用的支援是否存在。 如果為 True，則裝置上已安裝 2018 年 1 月更新，並支援核心 VA 陰影。 如果為 False，則未安裝 2018 年 1 月更新，且核心 VA 陰影支援不存在。

硬體需要推測儲存旁路停用

對應至 SSBDHardwareVulnerablePresent。 此行會告訴您硬體是否容易受到 CVE-2018-3639 攻擊。 如果為 True，則硬體可能容易受到 CVE-2018-3639 攻擊。 如果為 False，已知硬體不易受到 CVE-2018-3639 攻擊。

針對推測儲存旁路停用的硬體支援已存在

對應至 SSBDHardwarePresent。 此行會告訴您是否存在支援推測儲存旁路停用的硬體功能。 裝置 OEM 負責提供包含 Intel 所提供微碼的更新 BIOS/韌體。 如果此行為 True，則所需的硬體功能已存在。 如果線條為 False，則不存在所需的硬體功能。 因此，無法開啟推測儲存旁路停用。

附註　 如果 OEM 更新套用至主機，來賓 VM 中的 SSBDHardwarePresent 會是 True。

已開啟對推測儲存旁路停用的 Windows 作業系統支援

對應至 SSBDWindowsSupportEnabledSystemWide。 此行會告訴您 Windows 作業系統中是否已開啟推測儲存旁路停用。 如果為 True，表示裝置啟用推測儲存旁路停用的硬體支援和作業系統支援已開啟，以防止發生推測儲存旁路，因此完全消除安全性風險。 如果為 False，下列其中一個條件為 True:

• 硬體支援不存在。

• 作業系統支援不存在。

• 推測儲存旁路停用不會透過登錄機碼啟用。 請參閱下列文章，取得如何啟用它們的相關指示:

  • KB4073119: 適用於 IT 專業人員的 Windows 用戶端指導方針，可防範晶片型微結構和推測執行旁路弱點

  • KB4072698: 防範晶片型微結構和推測執行旁路弱點的 Windows Server 和 Azure Stack HCI 指引

CVE-2018-3620 的推測控制設定 [L1 終端機錯誤]

本章節提供由 CVE-2018-3620 參照 L1TF (作業系統) 的摘要系統狀態。 這個風險降低功能可確保安全頁面框架位元用於不存在或不正確的頁面表格項目。

附註： 本章節並未提供 CVE-2018-3646所參照的 L1TF (VMM) 風險降低功能狀態摘要。

硬體容易發生 L1 終端機錯誤: True

對應至 L1TFHardwareVulnerable。 此行會告訴您硬體是否容易發生 L1 終端機錯誤 (L1TF、CVE-2018-3620)。 如果為 True，則硬體可能容易受到 CVE-2018-3620 攻擊。 如果為 False，已知硬體不易受到 CVE-2018-3620 攻擊。

Windows 作業系統支援 L1 終端機錯誤風險降低功能已存在: True

對應至 L1TFWindowsSupportPresent。 此行會告訴您針對 L1 終端機錯誤 (L1TF) 作業系統風險降低功能的 Windows 作業系統支援是否已存在。 如果為 True，則裝置已安裝 2018 年 8 月更新，並提供針對 CVE-2018-3620 的風險降低功能。 如果為 False，則未安裝 2018 年 8 月更新，並且針對 CVE-2018-3620 的風險降低功能不存在。

已啟用針對 L1 終端機錯誤風險降低功能的 Windows 作業系統支援: True

對應至 L1TFWindowsSupportEnabled。 此行會告訴您是否已啟用針對 L1 終端機錯誤 (L1TF、CVE-2018-3620) 的 Windows 作業系統風險降低功能。 如果為 True，則硬體可能容易受到 CVE-2018-3620 攻擊，並且 Windows 作業系統對風險降低功能的支援已存在且已啟用。 如果為 False，可能是硬體不易受攻擊、Windows 作業系統支援不存在，或是未啟用風險降低功能。

MDS [微結構資料取樣] 的推測控制項設定

本章節提供 MDS 集合弱點、CVE-2018-11091、CVE-2018-12126、CVE-2018-12127、CVE-2018-12130 和 ADV220002的系統狀態。

Windows 作業系統對 MDS 風險降低功能的支援已存在

對應至 MDSWindowsSupportPresent。 此行會告訴您是否已存在微結構資料取樣 (MDS) 作業系統安全風險降低功能的 Windows 作業系統支援。 如果為 True，則裝置上已安裝 2019 年 5 月更新，並提供針對 MDS 的風險降低功能。 如果為 False，則未安裝 2019 年 5 月更新，並且針對 MDS 的風險降低功能不存在。

硬體容易受到 MDS 攻擊

對應至 MDSHardwareVulnerable。 此行會告訴您硬體是否容易受到為結構資料取樣 (MDS) 弱點集合 (CVE-2018-11091、CVE-2018-12126、CVE-2018-12127、CVE-2018-12139) 的攻擊。 如果為 True，則硬體可能容易受到這些弱點影響。 如果為 False，則已知硬體不易受到攻擊。

已啟用 Windows 作業系統對 MDS 風險降低功能的支援

對應至 MDSWindowsSupportEnabled。 此行會告訴您是否已啟用針對微結構資料取樣 (MDS) 的 Windows 作業系統風險降低功能。 如果為 True，則硬體可能容易受到 MDS 弱點影響，並且 Windows 作業系統對風險降低功能的支援已存在且已啟用。 如果為 False，可能是硬體不易受攻擊、Windows 作業系統支援不存在，或是未啟用風險降低功能。

Windows 作業系統對 SBDR 風險降低功能的支援已存在

對應至 FBClearWindowsSupportPresent。 此行會告訴您 Windows 作業系統針對 SBDR 作業系統風險降低的支援是否已存在。 如果為 True，則裝置上已安裝 2022 年 6 月更新，並提供針對 SBDR 的風險降低功能。 如果為 False，則未安裝 2022 年 6 月更新，並且針對 SBDR 的風險降低功能不存在。

硬體容易受到 SBDR 攻擊

對應至 SBDRSSDPHardwareVulnerable。 此行會告訴您硬體是否容易受到 SBDR [共用緩衝區資料讀取] 弱點集合 (CVE-2022-21123) 的攻擊。 如果為 True，則硬體可能容易受到這些弱點影響。 如果為 False，則已知硬體不易受到攻擊。

已啟用 Windows 作業系統對 SBDR 風險降低功能的支援

對應至 FBClearWindowsSupportEnabled。 此行會告訴您是否已啟用針對 SBDR 的 Windows 作業系統風險降低功能 [共用緩衝區資料讀取]。 如果為 True，則硬體可能容易受到 SBDR 弱點的影響，並且 Windows 作業系統對風險降低功能的支援已存在且已啟用。 如果為 False，可能是硬體不易受攻擊、Windows 作業系統支援不存在，或是未啟用風險降低功能。

Windows 作業系統對 FBSDP 風險降低功能的支援已存在

對應至 FBClearWindowsSupportPresent。 此行會告訴您針對 FBSDP 作業系統風險降低功能的 Windows 作業系統支援是否已存在。 如果為 True，則裝置上已安裝 2022 年 6 月更新，並提供針對 FBSDP 的風險降低功能。 如果為 False，則未安裝 2022 年 6 月更新，並且針對 FBSDP 的風險降低功能不存在。

硬體容易受到 FBSDP 攻擊

對應至 FBSDPHardwareVulnerable。 此行會告訴您硬體是否容易受到 FBSDP [填滿緩衝區過時資料傳播器] 弱點集合(CVE-2022-21125、CVE-2022-21127 和 CVE-2022-21166) 的攻擊。 如果為 True，則硬體可能容易受到這些弱點影響。 如果為 False，則已知硬體不易受到攻擊。

已啟用針對 FBSDP 風險降低功能的 Windows 作業系統支援

對應至 FBClearWindowsSupportEnabled。 此行會告訴您是否已啟用針對 FBSDP [填滿緩衝區過時資料傳播器] 的 Windows 作業系統風險降低功能。 如果為 True，則硬體可能容易受到 FBSDP 弱點的影響，並且 Windows 作業系統對風險降低功能的支援已存在且已啟用。 如果為 False，可能是硬體不易受攻擊、Windows 作業系統支援不存在，或是未啟用風險降低功能。

Windows 作業系統針對 PSDP 風險降低功能的支援已存在

對應至 FBClearWindowsSupportPresent。 此行會告訴您針對 PSDP 作業系統風險降低功能的 Windows 作業系統支援是否已存在。 如果為 True，則裝置上已安裝 2022 年 6 月更新，並提供針對 PSDP 的風險降低功能。 如果為 False，則未安裝 2022 年 6 月更新，並且針對 PSDP 的風險降低功能不存在。

硬體容易受到 PSDP 攻擊

對應至 PSDPHardwareVulnerable。 此行會告訴您硬體是否容易受到 PSDP [主要過時資料傳播器] 弱點集合的攻擊。 如果為 True，則硬體可能容易受到這些弱點影響。 如果為 False，則已知硬體不易受到攻擊。

已啟用針對 PSDP 風險降低功能的 Windows 作業系統支援

對應至 FBClearWindowsSupportEnabled。 此行會告訴您是否已啟用針對 PSDP [主要過時資料傳播器] 的 Windows 作業系統風險降低功能。 如果為 True，則硬體可能容易受到 PSDP 弱點影響，並且 Windows 作業系統對風險降低功能的支援已存在且已啟用。 如果為 False，可能是硬體不易受攻擊、Windows 作業系統支援不存在，或是未啟用風險降低功能。

登錄機碼

對應

FeatureSettingsOverride: 位元 0

對應至: 分支目標導入 - BTIWindowsSupportEnabled

FeatureSettingsOverride: 位元 1

對應至: 惡意攻擊資料快取載入 - VAShadowWindowsSupportEnabled