KB4457951: Οδηγίες των Windows για προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Λήψη και εφαρμογή των πιο πρόσφατων ενημερώσεων των Windows

Εφαρμόστε όλες τις διαθέσιμες ενημερώσεις του λειτουργικού συστήματος Windows, συμπεριλαμβανομένων των μηνιαίων ενημερώσεων ασφαλείας των Windows. Μπορείτε να δείτε τον πίνακα των επηρεαζόμενων προϊόντων στο Συμβουλευτικό δελτίο ασφαλείας της Microsoft | ADV 180018 για L1TF, Συμβουλευτικό δελτίο ασφαλείας | ADV 190013 για MDS, Συμβουλευτικό δελτίο ασφαλείας | ADV220002 για MMIO και ευπάθεια ασφαλείας | CVE-2019-11135 για την ευπάθεια αποκάλυψης πληροφοριών πυρήνα των Windows.

Λήψη και εφαρμογή των πιο πρόσφατων ενημερώσεων μικροκώδικα ή υλικολογισμικού

Εκτός από την εγκατάσταση των τελευταίων ενημερώσεων ασφαλείας των Windows, ενδέχεται επίσης να απαιτείται μικροκώδικας ή ενημέρωση υλικολογισμικού επεξεργαστή. Σας συνιστούμε να αποκτήσετε και να εφαρμόσετε την πιο πρόσφατη ενημέρωση μικροκώδικα, ανάλογα με την περίπτωση για τη συσκευή σας από τον OEM της συσκευής. Για περισσότερες πληροφορίες σχετικά με τις ενημερώσεις μικροκώδικα ή υλικολογισμικού, ανατρέξτε στις ακόλουθες αναφορές:

• KB4093836: Σύνοψη του Ενημερώσεις μικροκώδικα της Intel

• Απομυθοποιώντας Ενημερώσεις μικροκώδικα για το άρθρο της κοινότητας Intel και AMD Processors

• Προειδοποιήσεις του Κέντρου ασφάλειας προϊόντων της Intel

Σημείωση: Εάν χρησιμοποιείτε ένθετης λειτουργίας αναπαράστασης (συμπεριλαμβανομένης της εκτέλεσης κοντέινερ Hyper-V σε φιλοξενούμενη εικονική μηχανή), πρέπει να εκθέσετε τους νέους διαφωτισμούς μικροκώδικα στην φιλοξενούμενη εικονική μηχανή. Αυτό μπορεί να απαιτεί αναβάθμιση της ρύθμισης παραμέτρων VM στην έκδοση 8. Η έκδοση 8 περιλαμβάνει τους διαφωτισμούς μικροκώδικα από προεπιλογή. Για περισσότερες πληροφορίες και τα απαιτούμενα βήματα, ανατρέξτε στο ακόλουθο άρθρο Microsoft Docs άρθρο:

Εκτέλεση του Hyper-V σε εικονική μηχανή με ένθετης λειτουργίας αναπαράστασης

Πρέπει να απενεργοποιήσω την υπερνηματικά (HT);

Οι ευπάθειες L1TF και MDS παρουσιάζουν τον κίνδυνο η εμπιστευτικότητα των εικονικών μηχανών Hyper-V και τα μυστικά που διατηρούνται από το Microsoft Virtualization Based Security (VBS) να παραβιαστούν χρησιμοποιώντας μια επίθεση πλευρικού καναλιού. Όταν είναι ενεργοποιημένα Hyper-Threading (HT), τα όρια ασφαλείας που παρέχονται τόσο από το Hyper-V όσο και από το VBS εξασθενούν.

Το βασικό χρονοδιάγραμμα Hyper-V (διαθέσιμο ξεκινώντας από τον Windows Server 2016 και Windows 10 έκδοση 1607) μετριάζει τα ανύσματα επιθέσεων L1TF και MDS κατά εικονικών μηχανών Hyper-V, επιτρέποντας παράλληλα την ενεργοποίηση των Hyper-Threading. Αυτό παρέχει ελάχιστες επιπτώσεις στις επιδόσεις.

Το βασικό χρονοδιάγραμμα Hyper-V δεν μετριάζει τα διανύσματα επίθεσης L1TF ή MDS έναντι δυνατοτήτων ασφαλείας που προστατεύονται με VBS. Οι ευπάθειες L1TF και MDS εισάγουν τον κίνδυνο ότι η εμπιστευτικότητα των μυστικών VBS θα μπορούσε να παραβιαστεί μέσω μιας επίθεσης πλευρικού καναλιού όταν ενεργοποιηθεί Hyper-Threading (HT), αποδυναμώνοντας το όριο ασφαλείας που παρέχεται από τη VBS. Ακόμη και με αυτόν τον αυξημένο κίνδυνο, η VBS εξακολουθεί να παρέχει πολύτιμα οφέλη ασφαλείας και μετριάζει μια σειρά επιθέσεων με ενεργοποιημένη την HT. Ως εκ τούτου, συνιστάται η χρήση της VBS σε συστήματα με δυνατότητα HT. Οι πελάτες που θέλουν να εξαλείψουν τον πιθανό κίνδυνο των ευπαθειών L1TF και MDS στην εμπιστευτικότητα της VBS θα πρέπει να εξετάσουν το ενδεχόμενο απενεργοποίησης της HT για τον μετριασμό αυτού του πρόσθετου κινδύνου.

Οι πελάτες που θέλουν να εξαλείψουν τον κίνδυνο που ενέχουν οι ευπάθειες L1TF και MDS, είτε πρόκειται για την εμπιστευτικότητα των εκδόσεων Hyper-V που είναι παλαιότερες από τον Windows Server 2016 είτε για δυνατότητες ασφαλείας VBS, πρέπει να σταθμίσουν την απόφαση και να εξετάσουν το ενδεχόμενο απενεργοποίησης της HT για να μετριάσουν τον κίνδυνο. Γενικά, η απόφαση αυτή μπορεί να βασίζεται στις ακόλουθες κατευθυντήριες γραμμές:

• Για Windows 10 έκδοση 1607, τον Windows Server 2016 και τα πιο πρόσφατα συστήματα που δεν εκτελούν Hyper-V και δεν χρησιμοποιούν δυνατότητες ασφαλείας με προστασία VBS, οι πελάτες δεν πρέπει να απενεργοποιήσουν την τεχνολογία HT.

• Για Windows 10 έκδοση 1607, τον Windows Server 2016 και πιο πρόσφατα συστήματα που εκτελούν Hyper-V με το Βασικό χρονοδιάγραμμα, αλλά δεν χρησιμοποιούν δυνατότητες ασφαλείας με προστασία VBS, οι πελάτες δεν πρέπει να απενεργοποιήσουν το HT.

• Για Windows 10 έκδοση 1511, τον Windows Server 2012 R2 και παλαιότερα συστήματα που εκτελούν Hyper-V, οι πελάτες πρέπει να εξετάσουν το ενδεχόμενο απενεργοποίησης της HT για να μετριάσουν τον κίνδυνο.

Τα βήματα που απαιτούνται για την απενεργοποίηση της HT διαφέρουν από OEM σε OEM. Ωστόσο, είναι συνήθως μέρος του BIOS ή των εργαλείων ρύθμισης και ρύθμισης παραμέτρων του υλικολογισμικού.

Επίσης, η Microsoft έχει εισαγάγει τη δυνατότητα απενεργοποίησης της τεχνολογίας Hyper-Threading μέσω μιας ρύθμισης λογισμικού, εάν είναι δύσκολο ή αδύνατο να απενεργοποιήσετε την τεχνολογία HT στο BIOS ή στα εργαλεία ρύθμισης και ρύθμισης παραμέτρων υλικολογισμικού. Η ρύθμιση λογισμικού για την απενεργοποίηση του HT είναι δευτερεύουσα στη ρύθμιση ΤΟΥ BIOS ή του υλικολογισμικού και είναι απενεργοποιημένη από προεπιλογή (που σημαίνει ότι το HT θα ακολουθεί τη ρύθμιση ΤΟΥ BIOS ή του υλικολογισμικού). Για να μάθετε περισσότερα σχετικά με αυτήν τη ρύθμιση και πώς μπορείτε να απενεργοποιήσετε τη χρήση της HT, ανατρέξτε στο ακόλουθο άρθρο:

4072698 Οδηγίες για windows server για προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Όταν είναι δυνατό, συνιστάται να απενεργοποιήσετε το HT στο BIOS ή το υλικολογισμικό σας για την ισχυρότερη εγγύηση ότι το HT είναι απενεργοποιημένο.

Σημείωση: Η απενεργοποίηση της υπερ-ανάγνωσης θα μειώσει τους πυρήνες της CPU. Αυτό μπορεί να επηρεάσει τις δυνατότητες που απαιτούν ελάχιστους πυρήνες CPU για να λειτουργήσουν. Για παράδειγμα, Windows Defender Application Guard (WDAG).

Ενεργοποίηση του βασικού χρονοδιαγράμματος Hyper-V και ορισμός του πλήθους νημάτων υλικού VM ανά πυρήνα σε 2

Σημείωση: Αυτά τα βήματα μετριασμού ισχύουν μόνο για τον Windows Server 2016 και Windows 10 εκδόσεις πριν από την έκδοση 1809. Ο βασικός προγραμματισμός είναι ενεργοποιημένος από προεπιλογή στον Windows Server 2019 και Windows 10 έκδοση 1809.

Η χρήση του βασικού χρονοδιαγράμματος είναι μια διαδικασία δύο σταδίων που απαιτεί να ενεργοποιήσετε πρώτα το χρονοδιάγραμμα στον κεντρικό υπολογιστή Hyper-V και, στη συνέχεια, να ρυθμίσετε τις παραμέτρους κάθε εικονικής μηχανής για να την εκμεταλλευτείτε, ορίζοντας το πλήθος νημάτων υλικού ανά πυρήνα σε δύο (2).

Το βασικό χρονοδιάγραμμα Hyper-V που παρουσιάστηκε για πρώτη έκδοση στον Windows Server 2016 και Windows 10 έκδοση 1607 αποτελεί μια νέα εναλλακτική λύση στην κλασική λογική του χρονοδιαγράμματος. Ο βασικός προγραμματισμός προσφέρει μειωμένη μεταβλητότητα επιδόσεων για φόρτους εργασίας εντός εικονικών μηχανών που εκτελούνται σε κεντρικό υπολογιστή Hyper-V με δυνατότητα HT.

Για μια λεπτομερή επεξήγηση του βασικού χρονοδιαγράμματος του Hyper-V και των βημάτων για την ενεργοποίηση, ανατρέξτε στο ακόλουθο άρθρο του Windows IT Pro Center:

Κατανόηση και χρήση τύπων χρονοδιαγράμματος υπερεποπτήρα Hyper-V

Για να ενεργοποιήσετε το βασικό χρονοδιάγραμμα Hyper-V στον Windows Server 2016 ή Windows 10, πληκτρολογήστε την ακόλουθη εντολή:

bcdedit /set HypervisorSchedulerType core

Στη συνέχεια, αποφασίστε αν θα ρυθμίσετε το πλήθος νημάτων υλικού μιας δεδομένης εικονικής μηχανής ανά πυρήνα σε δύο (2). Εάν αποκαλύψετε το γεγονός ότι οι εικονικοί επεξεργαστές είναι υπερ-νήματα σε μια φιλοξενούμενη εικονική μηχανή, ενεργοποιείτε το χρονοδιάγραμμα στο λειτουργικό σύστημα VM, καθώς και τους φόρτους εργασίας της εικονικής μηχανής, για να χρησιμοποιήσετε HT στον δικό τους προγραμματισμό εργασίας. Για να το κάνετε αυτό, πληκτρολογήστε την ακόλουθη εντολή PowerShell, στην οποία <> VMName είναι το όνομα της εικονικής μηχανής:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Ενεργοποίηση μετριασμάτων για προειδοποιήσεις CVE-2017-5715, CVE-2017-5754 και CVE-2019-11135

Σημείωση: Αυτοί οι μετριασμούς ενεργοποιούνται από προεπιλογή στα λειτουργικά συστήματα υπολογιστή-πελάτη Windows 2019 και Windows.

Για να ενεργοποιήσετε μετριασμούς για προειδοποιήσεις CVE-2017-5715, CVE-2017-5754 και CVE-2019-11135, χρησιμοποιήστε τις οδηγίες στα ακόλουθα άρθρα:

4072698 οδηγίες για τον Windows Server για προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

4073119 οδηγίες προγράμματος-πελάτη Windows για επαγγελματίες IT για προστασία από ευπάθειες υποθετικής εκτέλεσης πλευρικού καναλιού

Σημείωση: Αυτοί οι μετριασμούς περιλαμβάνουν και ενεργοποιούν αυτόματα τον μετριασμό bit ασφαλούς πλαισίου σελίδας για τον πυρήνα των Windows, καθώς και για τους μετριασμούς που περιγράφονται στο CVE-2018-3620. Για μια λεπτομερή επεξήγηση του μετριασμού bit του πλαισίου ασφαλούς σελίδας, ανατρέξτε στο ακόλουθο άρθρο ιστολογίου Έρευνας ασφάλειας & Άμυνας:

Ανάλυση και μετριασμός σφάλματος τερματικού L1 (L1TF)