Изолиране на ядра

Цялост на паметта

Целостта на паметта, известна също като защитена с Hypervisor целостта на кода (HVCI), е функция за защита на Windows, която затруднява злонамерените програми да използват драйвери от ниско ниво, за да отвличат компютъра ви.

Драйверът е софтуер, който позволява на операционната система (Windows в този случай) и устройство (като клавиатура или уеб камера, в два примера) да си говорят. Когато устройството иска Windows да направи нещо, което използва драйвера, за да изпрати това искане.

Целостта на паметта работи чрез създаване на изолирана среда с помощта на хардуерна виртуализация.

Мислете за това като за охранител в заключен щанд. Тази изолирана среда (заключената кабина в нашата аналогия) не позволява на функцията за цялост на паметта да бъде променяна от атакуващ. Програма, която иска да изпълни част от код, която може да е опасна, трябва да предаде кода на целостта на паметта вътре във виртуалната кабина, за да може да бъде проверена. Когато целостта на паметта е комфортно, че кодът е безопасен, кодът се връща към Windows за изпълнение. Обикновено това се случва много бързо.

Без да работи целостта на паметта, "охраната" се откроява директно на открито, където е много по-лесно атакуващият да се намеси или да саботира охраната, което улеснява злонамерения код да се промъкне и да причини проблеми.

Защита от стек, наложена от хардуера в режима на ядрото

Хардуерно наложена защита на стека в режим на ядрото е базирана на хардуер функция за защита на Windows, която затруднява използването на драйвери от ниско ниво за злонамерени програми при отвличане на компютъра.

Драйверът е софтуер, който позволява на операционната система (Windows в този случай) и устройство като клавиатура или уеб камера например да си говорят. Когато устройството иска Windows да направи нещо, което използва драйвера, за да изпрати това искане.

Хардуерната защита срещу наслагване в режима на ядрото работи, като предотвратява атаки, които променят връщането на адреси в паметта за режима на ядрото, за да стартират злонамерен код. Тази функция за защита изисква ЦП, който съдържа възможност за проверка на обратните адреси на изпълняващ се код.

Когато се изпълнява код в режим на ядрото, върнатите адреси в стека на режима на ядрото могат да бъдат повредени от злонамерени програми или драйвери, за да се пренасочи нормалното изпълнение на код към злонамерен код. При поддържаните ЦП поддържа второ копие на валидни адреси на връщане на скрит стек само за четене, който драйверите не могат да модифицират. Ако е променен адрес на подателя в обикновения стек, централният процесор може да открие това несъответствие, като провери копието на адреса на подателя в стека със сенки. Когато възникне това несъответствие, компютърът подканва за стоп грешка, понякога известна като син екран, за да предотврати изпълнението на злонамерения код.

Не всички драйвери са съвместими с тази функция за защита, тъй като малък брой законни драйвери извършват промяна на адреса на подателя за злонамерени цели. Microsoft се ангажира с множество издатели на драйвери, за да гарантира, че най-новите им драйвери са съвместими с хардуерната защита на стека, наложена от хардуера в режима на ядрото.

Защита на достъпа до паметта

Известно още като "Защита на Ядрото DMA", това защитава вашето устройство от атаки, които могат да възникнат, когато злонамерено устройство е включено в ПОРТ PCI (Peripheral Component Interconnect), като например Thunderbolt порт.

Прост пример за една от тези атаки би бил, ако някой остави компютъра си за бързо кафе и докато е отсъствал, атакуващ влиза, включва USB устройство и се отдалечава с чувствителни данни от машината или инжектира злонамерен софтуер, който му позволява да управлява компютъра дистанционно. 

Защитата на достъпа до паметта предотвратява тези видове атаки, като отказва директен достъп до паметта на тези устройства, освен при специални обстоятелства, особено когато компютърът е заключен или потребителят е излязъл.

Препоръчваме защитата на достъпа до паметта да е включена.

Защита на фърмуера

Всяко устройство има някакъв софтуер, който е записан в паметта само за четене на устройството - основно записан в чип на системния табло - който се използва за основните функции на устройството, като например зареждане на операционната система, която изпълнява всички приложения, които сме свикнали да използваме. Тъй като този софтуер е трудно (но не и невъзможно) да се промени, ние го наричаме фърмуер.

Тъй като фърмуерът се зарежда първо и се изпълнява под операционната система, инструментите за защита и функциите, които се изпълняват в операционната система, са трудни за откриването му или защитата му. Подобно на къща, която зависи от добра основа, за да бъде защитен, компютърът се нуждае от защита на фърмуера, за да се гарантира, че операционната система, приложенията и клиентските данни на този компютър са в безопасност.

Windows Defender System Guard е набор от функции, който помага да се гарантира, че хакерите не могат да накарат вашето устройство да започне с ненадежден или злонамерен фърмуер.

Препоръчваме ви да го включите, ако вашето устройство го поддържа.

Платформите, които предлагат защита на фърмуера, обикновено защитават режима на управление на системата (SMM) – високо привилегирован режим на работа – до различна степен. Можете да очаквате една от трите стойности, като по-голямо число показва по-голяма степен на SMM защита:

• Вашето устройство отговаря на версията за защита на фърмуера една: това предлага основополагащи смекчавания на защитата, за да помогне на SMM да устои на експлоатацията от злонамерен софтуер и предотвратява exfiltration of secrets from the OS (включително VBS)

• Вашето устройство отговаря на версия за защита на фърмуера две: в допълнение към версията за защита на фърмуера една версия две гарантира, че SMM не може да забрани защитата, базирана на виртуализация (VBS), и DMA защитите на ядрото

• Вашето устройство отговаря на версията за защита на фърмуера три: в допълнение към версията за защита на фърмуера две, допълнително втвърдява SMM чрез предотвратяване на достъпа до определени регистри, които имат възможност да компрометират операционната система (включително VBS)

Microsoft Defender Credential Guard

Докато използвате вашия служебен или учебен компютър, тихо ще влезете и ще получите достъп до редица неща, като например файлове, принтери, приложения и други ресурси във вашата организация. Това да направите този процес защитен, но лесен за потребителя, означава, че на компютъра ви има редица маркери за удостоверяване (често наричани "тайни") в него по всяко време.

Ако атакуващ може да получи достъп до една или повече от тези тайни, той може да ги използва, за да получи достъп до организационния ресурс (поверителни файлове и т.н.), за който е тайната. Microsoft Defender Credential Guard помага за защитата на тези тайни, като ги поставя в защитена, виртуализирана среда, в която само определени услуги имат достъп до тях, когато това е необходимо.

Препоръчваме ви да го включите, ако вашето устройство го поддържа.

Списък с блокирани драйвери на Microsoft Уязвими

Драйверът е софтуер, който позволява на операционната система (Windows в този случай) и устройство (като клавиатура или уеб камера, в два примера) да си говорят. Когато устройството иска Windows да направи нещо, което използва драйвера, за да изпрати това искане. Поради това драйверите имат много чувствителен достъп във вашата система.

Започвайки с актуализацията на Windows 11 2022, сега имаме списък с драйвери, които имат известни уязвимости в защитата, са подписани със сертификати, които са били използвани за подписване на злонамерен софтуер или които заобикалят Защита в Windows модел.

Ако имате включена цялост на паметта, управление на Smart App или режим на Windows S, уязвимият списък с блокирани драйвери също ще бъде включен.

Вж. също

Бъдете защитени със "Защита в Windows"

Помощ и обучение за защитата на Microsoft