Isolamento de núcleo

Integridade da memória

A integridade da memória, também conhecida como HVCI (Integridade de Código protegida por Hipervisor) é um recurso de segurança do Windows que dificulta o uso de drivers de baixo nível por programas mal-intencionados para roubar seu computador.

Um driver é um software que permite que o sistema operacional (Windows neste caso) e um dispositivo (como um teclado ou uma webcam, por exemplo) se comuniquem. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação.

A integridade da memória funciona criando um ambiente isolado usando a virtualização de hardware.

Pense nisso como um guarda de segurança dentro de uma cabine trancada. Esse ambiente isolado (a cabine trancada em nossa analogia) impede que o recurso de integridade da memória seja adulterado por um invasor. Um programa que deseja executar um trecho de código que pode ser perigoso tem que passar o código para a integridade da memória dentro dessa cabine virtual para que possa ser verificado. Quando a integridade da memória é confortável para que o código esteja seguro, ele devolve o código ao Windows para ser executado. Normalmente, isso acontece muito rapidamente.

Sem a execução da integridade da memória, o "guarda de segurança" fica à vista, onde é muito mais fácil para um invasor interferir ou sabotar o guarda, facilitando a entrada de códigos maliciosos e causando problemas.

Proteção contra Pilha imposta por hardware no modo kernel

O Stack Protection imposto por hardware do kernel é um recurso de segurança do Windows baseado em hardware que dificulta o uso de drivers de baixo nível para sequestrar seu computador.

Um driver é um software que permite que o sistema operacional (Windows nesse caso) e um dispositivo como um teclado ou uma webcam, por exemplo, conversem entre si. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação.

O Modo Kernel Proteção contra Pilha imposta por hardware funciona evitando ataques que modificam endereços retornados na memória do modo kernel para iniciar código mal-intencionado. Esse recurso de segurança requer uma CPU que contenha a capacidade de verificar os endereços retornados do código em execução.

Ao executar o código no modo kernel, os endereços retornados na pilha do modo kernel podem ser corrompidos por programas mal-intencionados ou drivers, a fim de redirecionar a execução normal de código para código mal-intencionado. Em CPUs com suporte, a CPU mantém uma segunda cópia de endereços retornados válidos em uma pilha de sombra somente leitura que os drivers não podem modificar. Se um endereço retornado na pilha regular tiver sido modificado, a CPU poderá detectar essa discrepância verificando a cópia do endereço retornado na pilha de sombras. Quando essa discrepância ocorre, o computador solicita um erro de parada, às vezes conhecido como tela azul, para impedir que o código mal-intencionado seja executado.

Nem todos os drivers são compatíveis com esse recurso de segurança, pois um pequeno número de drivers legítimos se envolvem em modificação de endereço retornado para fins não mal-intencionados. A Microsoft tem se envolvido com vários editores de driver para garantir que seus drivers mais recentes sejam compatíveis com o Kernel-mode Hardware-enforced Stack Protection.

Proteção de acesso à memória

Também conhecido como "Proteção de DMA do Kernel", isso protege seu dispositivo contra ataques que podem ocorrer quando um dispositivo mal-intencionado está conectado a uma porta PCI (Interconexão de Componente Periférico), como uma porta Thunderbolt.

Um exemplo simples de um desses ataques seria se alguém deixasse seu computador para uma rápida pausa para o café e, enquanto estava fora, um invasor entrasse, conectasse um dispositivo semelhante a USB e saísse com dados confidenciais da máquina, ou injeta malware que lhes permite controlar o computador remotamente. 

A proteção de acesso à memória evita esses tipos de ataques negando o acesso direto à memória para esses dispositivos, exceto em circunstâncias especiais, especialmente quando o computador está bloqueado ou o usuário está desconectado.

Recomendamos que a proteção de acesso à memória esteja ativada.

Proteção de firmware

Todo dispositivo possui algum software que foi gravado na memória somente leitura do dispositivo - basicamente gravado em um chip na placa do sistema - que é usado para as funções básicas do dispositivo, como carregar o sistema operacional que executa todos os aplicativos estamos acostumados a usar. Como esse software é difícil (mas não impossível) de modificar, nos referimos a ele como firmware.

Como o firmware carrega primeiro e é executado sob o sistema operacional, as ferramentas de segurança e os recursos executados no sistema operacional têm dificuldade em detectá-lo ou se defender dele. Como uma casa que depende de uma boa base para ser segura, um computador precisa que seu firmware seja seguro para garantir que o sistema operacional, os aplicativos e os dados do cliente nesse computador estejam seguros.

O Windows Defender System Guard é um conjunto de recursos que ajuda a garantir que os invasores não consigam iniciar seu dispositivo com firmware não confiável ou mal-intencionado.

Recomendamos que você o ative se o dispositivo der suporte a ele.

As plataformas que oferecem proteção de firmware normalmente também protegem o SMM ( Modo de Gerenciamento de Sistema ), um modo operacional altamente privilegiado, em diferentes graus. Você pode esperar um dos três valores, com um número maior indicando um maior grau de proteção SMM:

• Seu dispositivo atende à versão um da proteção de firmware: isso oferece as mitigações de segurança fundamentais para ajudar o SMM a resistir à exploração por malware e impede a exfiltração de segredos do sistema operacional (incluindo VBS)

• Seu dispositivo atende à proteção de firmware versão dois: além da proteção de firmware versão um, a versão dois garante que o SMM não pode desabilitar as proteções VBS (Segurança baseada em Virtualização) e DMA do kernel

• Seu dispositivo atende à proteção de firmware versão três: além da proteção de firmware versão dois, ele endurece ainda mais o SMM impedindo o acesso a determinados registros que têm a capacidade de comprometer o sistema operacional (incluindo VBS)

Microsoft Defender Credential Guard

Enquanto você estiver usando seu computador do trabalho ou da escola, ele entrará silenciosamente e obterá acesso a uma variedade de coisas, como arquivos, impressoras, aplicativos e outros recursos em sua organização. Tornar esse processo seguro, mas fácil para o usuário, significa que seu computador possui vários tokens de autenticação (geralmente chamados de "segredos") nele a qualquer momento.

Se um invasor puder obter acesso a um ou mais desses segredos, poderá usá-los para obter acesso ao recurso organizacional (arquivos confidenciais, etc.) para o qual o segredo se destina. O Microsoft Defender Credential Guard ajuda a proteger esses segredos, colocando-os em um ambiente protegido e virtualizado onde apenas determinados serviços podem acessá-los quando necessário.

Recomendamos que você o ative se o dispositivo der suporte a ele.

Lista de Bloqueios de Driver Vulnerável da Microsoft

Um driver é um software que permite que o sistema operacional (Windows neste caso) e um dispositivo (como um teclado ou uma webcam, por exemplo) se comuniquem. Quando o dispositivo deseja que o Windows faça algo, ele usa o driver para enviar essa solicitação. Por causa disso, os drivers têm muito acesso confidencial em seu sistema.

A partir da atualização do Windows 11 2022, agora temos uma lista de bloqueio de drivers com vulnerabilidades de segurança conhecidas, que foram assinados com certificados usados para assinar malware ou que contornam o Modelo de Segurança do Windows.

Se você tiver integridade de memória, Smart App Control ou modo Windows S ativado, a lista de bloqueio de driver vulnerável também estará ativada.

Confira também

Permaneça protegido com a Segurança do Windows

Ajuda e aprendizado de segurança da Microsoft