KB4457951: Указания за Windows, които да ви помогнат да се защитите срещу уязвимостите в страничен канал при спекулативно изпълнение

Получете и приложете най-новите актуализации за Windows

Приложете всички налични актуализации на операционната система Windows, включително месечните актуализации на защитата на Windows. Можете да видите таблицата на засегнатите продукти в Microsoft Security Advisory | ADV 180018 за L1TF, Съветник за защитата | ADV 190013 за MDS, Съвети за защитата | ADV220002 за MMIO и уязвимост на защитата | CVE-2019-11135 за уязвимост при разкриване на информация в ядрото на Windows.

Получаване и прилагане на най-новите актуализации на микрокода или фърмуера

В допълнение към инсталирането на най-новите актуализации на защитата на Windows, може също да се изисква микрокод на процесор или актуализация на фърмуера. Препоръчваме ви да получите и приложите най-новата актуализация на микрокода според случая за вашето устройство от OEM устройството. За повече информация относно актуализациите на микрокод или фърмуер вижте следните препратки:

• KB4093836: Резюме на Актуализации на Intel Microcode

• Demystifying Microcode Актуализации за intel and AMD Processors community article

• Intel Product Security Center Advisories

• Защита на AMD продукт

Бележка: Ако използвате вложена виртуализация (включително изпълняване на контейнери на Hyper-V във VM гост), трябва да изложите новите просветени микрокодове на гостната виртуална машина. Това може да изисква надстройване на конфигурацията на VM до версия 8. Версия 8 включва просветленията на микрокода по подразбиране. За повече информация и необходимите стъпки вижте следната статия Microsoft Docs статия:

Изпълнение на Hyper-V във виртуална машина с вложена виртуализация

Трябва ли да забраня хипер-нишките (HT)?

Уязвимостите в L1TF и MDS създават риск поверителността на виртуалните машини на Hyper-V и тайните, които се поддържат от Microsoft Virtualization Based Security (VBS), да бъдат компрометирани чрез атака на странични канали. Когато е разрешен Hyper-Threading (HT), границите на защитата, предоставени както от Hyper-V, така и от VBS, са отслабени.

Hyper-V core scheduler (наличен от Windows Server 2016 и Windows 10 версия 1607) намалява Векторите за атака на L1TF и MDS срещу виртуални машини на Hyper-V, като все още позволява на Hyper-Threading да останат разрешени. Това предоставя минимално въздействие върху производителността.

Hyper-V core scheduler does not mitigate L1TF or MDS attack vectors against VBS-protected security features. Уязвимостите в L1TF и MDS пораждат риск поверителността на тайните на VBS да бъде компрометирана чрез атака на страничните канали, когато Hyper-Threading (HT) е разрешена, което отслабва границата на защитата, предоставена от VBS. Дори с този увеличен риск VBS все още предоставя ценни ползи за защитата и намалява редица атаки с разрешен HT. Затова препоръчваме VBS да продължи да се използва на системи с разрешен HT. Клиентите, които искат да отстранят потенциалния риск от уязвимостите в L1TF и MDS върху поверителността на VBS, трябва да помислят за забраняване на HT за намаляване на този допълнителен риск.

Клиентите, които искат да елиминират риска, който представляват уязвимостите L1TF и MDS, независимо дали за поверителността на версиите на Hyper-V, които са по-стари от Windows Server 2016, или за възможностите за защита на VBS, трябва да преценят решението и да помислите за забраняване на HT, за да намалите риска. По принцип това решение може да се основава на следните насоки:

• За Windows 10 версия 1607, Windows Server 2016 и по-нови системи, които не работят с Hyper-V и не използват функции за защита, защитени с VBS, клиентите не трябва да забраняват HT.

• За Windows 10 версия 1607, Windows Server 2016 и по-новите системи, които работят с Hyper-V с Core Scheduler, но не използват функции за защита, защитени с VBS, клиентите не трябва да забраняват HT.

• За Windows 10 версия 1511, Windows Server 2012 R2 и по-стари системи, които работят с Hyper-V, клиентите трябва да помислите за забраняване на HT за намаляване на риска.

Стъпките, които са необходими, за да забраните HT, се различават от OEM към OEM. Те обаче обикновено са част от BIOS или инструментите за конфигуриране и настройка на фърмуера.

Microsoft също така въведе възможността за забраняване на Hyper-Threading технология чрез софтуерна настройка, ако е трудно или невъзможно да забраните HT във вашия BIOS или в инструментите за настройка и конфигуриране на фърмуера. Настройката на софтуера за забраняване на HT е вторична на вашата настройка на BIOS или фърмуер и е забранена по подразбиране (което означава, че HT ще следва вашия BIOS или настройка на фърмуера). За да научите повече за тази настройка и как да забраните HT, като я използвате, вижте следната статия:

4072698 Указания за Windows Server за защита срещу уязвимости в страничен канал при спекулативно изпълнение

Когато е възможно, се препоръчва да забраните HT във вашия BIOS или фърмуер за най-силната гаранция, че HT е дезактивиран.

Бележка: Забраняването на hyperthreading ще намали ядрата на процесора. Това може да се отрази на функции, които изискват минимални ядра на процесора, за да функционират. Например Windows Defender Application Guard (WDAG).

Разрешаване на Hyper-V core scheduler и задаване на броя на нишките на VM хардуера за ядро на 2

Бележка: Тези стъпки за смекчаване се отнасят само за Windows Server 2016 и Windows 10 версии преди версия 1809. Основният планировчик е разрешен по подразбиране в Windows Server 2019 и Windows 10 версия 1809.

Използването на основния планировчик е процес от две стъпки, който изисква първо да разрешите планировчика на Hyper-V хоста и след това да конфигурирате всяка виртуална машина да се възползва от нея, като зададете броя на нишките на хардуера на ядро на две (2).

Hyper-V core scheduler, който е въведен в Windows Server 2016 и Windows 10 версия 1607, е нова алтернатива на класическата логика на планирането. Основният планировчик предлага намалена променливост на производителността за работни натоварвания във виртуални машини, които се изпълняват на Hyper-V хост с разрешен HT.

За подробно обяснение на основния планировчик на Hyper-V и стъпките, за да го разрешите, вижте следната статия на Windows IT Pro Center:

Разбиране и използване на типовете планиране на hyper-V софтуер за хипервизия

За да разрешите Hyper-V core scheduler в Windows Server 2016 или Windows 10, въведете следната команда:

bcdedit /set HypervisorSchedulerType core

След това решете дали да конфигурирате броя на хардуерните нишки на дадена виртуална машина на ядро на две (2). Ако изложите факта, че виртуалните процесори са хипер-нишки на гост виртуална машина, разрешите планировчика в операционната система за виртуална машина, както и VM работни натоварвания, за да използвате HT в собственото си планиране на работата. За да направите това, въведете следната команда на PowerShell, в която <VMName> е името на виртуалната машина:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Разрешаване на предпазни мерки за съвети CVE-2017-5715, CVE-2017-5754 и CVE-2019-11135

Бележка: Тези смекчавания са разрешени по подразбиране в операционните системи Windows Server 2019 и Windows.

За да разрешите предпазни мерки за препоръки CVE-2017-5715, CVE-2017-5754 и CVE-2019-11135, използвайте указанията в следните статии:

указания за 4072698 Windows Server за защита срещу уязвимости в страничен канал при спекулативно изпълнение

указания за клиенти на 4073119 Windows за ИТ специалисти за защита срещу уязвимости в страничен канал при спекулативно изпълнение

Бележка: Тези смекчавания включват и автоматично разрешават безопасно намаляване на битовете на рамката на страницата за ядрото на Windows, както и за предпазни мерки, които са описани в CVE-2018-3620. За подробно обяснение на намаляването на битовете за безопасна рамка на страница вижте следната статия в блога за изследване на защитата & защита:

Анализ и смекчаване на L1 Terminal Fault (L1TF)