KB4457951: Windowsi suunised külgmise kanali spekulatiivsete käivitamise nõrkuste eest kaitsmiseks

Hankige ja rakendage uusimad Windowsi värskendused

Rakendage kõik saadaolevad Windowsi operatsioonisüsteemi värskendused, sh igakuised Windowsi turbevärskendused. Mõjutatud toodete tabelit näete Microsofti turbenõuandla | ADV 180018 L1TF-i jaoks, turbenõuandla | ADV 190013 MDS-i jaoks, turbenõuandla | ADV220002 MMIO ja turbenõrkuse jaoks | CVE-2019-11135 For the Windows Kernel Information Disclosure Vulnerability.

Hankige ja rakendage uusimad mikrokoodi- või püsivaravärskendused

Lisaks uusimate Windowsi turbevärskenduste installimisele võidakse nõuda ka protsessori mikrokoodi või püsivara värskendust. Soovitame hankida seadme OEM-i kaudu uusima mikrokoodi värskenduse ja rakendada selle jaoks vastavalt vajadusele. Lisateavet mikrokoodi või püsivara värskenduste kohta leiate järgmistest viidetest.

• KB4093836: Intel Microcode'i Teabevärskendused kokkuvõte

• Inteli ja AMD protsessorite kogukonnaartikli mikrokoodi Teabevärskendused demystifying

• Inteli tooteturbekeskuse nõuandvad nõuanded

• AMD tooteturve

Märkus. Kui kasutate pesastatud virtualiseerimist (sh külalisvirtuaalarvutis Hyper-V ümbriste käitamist), peate uued mikrokoodi valgustid kuvama külalisvirtuaalarvutis. See võib nõuda VM-i konfiguratsiooni üleviimist versioonile 8. Versioon 8 sisaldab vaikimisi mikrokoodi valgustust. Lisateavet ja nõutavaid juhiseid leiate Microsoft Docs artiklist.

Hyper-V käivitamine virtuaalarvutis pesastatud virtualiseerimisega

Kas hüperlõimede (HT) tuleks keelata?

L1TF-i ja MDS-i nõrkused võivad põhjustada riski, et Hyper-V virtuaalarvutite konfidentsiaalsus ja Microsofti virtualiseerimispõhise turbe (VBS) hallatavad saladused võivad külgkanali rünnakuga ohtu sattuda. Kui Hyper-Threading (HT) on lubatud, nõrgenevad nii Hyper-V kui ka VBS-i turbepiirid.

Hyper-V tuumaajasti (saadaval alates Windows Server 2016 ja Windows 10 versioonist 1607) leevendab L1TF-i ja MDS-i rünnaku vektoreid Hyper-V virtuaalarvutite vastu, lubades samal ajal Hyper-Threading jääda lubatuks. See mõjutab jõudlust minimaalselt.

Hyper-V tuumaajasti ei leevenda L1TF-i ega MDS-i ründevektoreid VBS-kaitsega turbefunktsioonide vastu. L1TF-i ja MDS-i nõrkused ohustavad VBS-i saladuste konfidentsiaalsust külgkanali rünnaku kaudu, kui Hyper-Threading (HT) on lubatud, nõrgestab VBS-i turvapiiri. Isegi suurenenud riski korral pakub VBS endiselt väärtuslikke turbeeeliseid ja leevendab mitmesuguseid rünnakuid, kus HT on lubatud. Seetõttu soovitame VBS-i jätkuvalt kasutada HT-toega süsteemides. Kliendid, kes soovivad kõrvaldada L1TF-i ja MDS-i nõrkuste võimaliku ohu VBSi konfidentsiaalsuse osas, peaksid kaaluma HT keelamist, et seda täiendavat riski vähendada.

Kliendid, kes soovivad kõrvaldada L1TF-i ja MDS-i nõrkuste ohu, olgu see siis Windows Server 2016-st varasemate Hyper-V versioonide konfidentsiaalsus või VBS-i turbefunktsioonide konfidentsiaalsus, peavad kaaluma otsust ja kaaluma riski leevendamiseks HT keelamist. Üldiselt võib käesolev otsus põhineda järgmistel suunistel:

• Windows 10 versiooni 1607, Windows Server 2016 ja uuemate süsteemide puhul, mis ei tööta Hyper-V ja ei kasuta VBS-kaitsega turbefunktsioone, ei tohiks kliendid HT-i keelata.

• Windows 10 versiooni 1607, Windows Server 2016 ja uuemate süsteemide puhul, kus töötab Hyper-V koos tuumplaanuriga, kuid ei kasuta VBS-kaitsega turbefunktsioone, ei tohiks kliendid HT-i keelata.

• Windows 10 versiooni 1511, Windows Server 2012 R2 ja varasemate Hyper-V süsteemide puhul peavad kliendid riski leevendamiseks kaaluma HT keelamist.

HT keelamiseks vajalikud toimingud erinevad OEM-ist OEM-iks. Kuid need on tavaliselt BIOS-i või püsivara häälestus- ja konfiguratsioonitööriistade osa.

Microsoft on ka kasutusele võtnud võimaluse keelata Hyper-Threading tehnoloogia tarkvarasätte kaudu, kui HT-i keelamine BIOS-i või püsivara häälestamise ja konfigureerimise tööriistades on raske või võimatu. HT keelamise tarkvarasäte on teie BIOS-i või püsivara sätte teisene säte ja see on vaikimisi keelatud (HT järgib teie BIOS-i või püsivara sätet). Lisateavet selle sätte ja selle kasutamise keelamise kohta leiate järgmisest artiklist.

4072698 Windows Serveri suunised külgmise kanali spekulatiivsete käivitamise nõrkuste eest kaitsmiseks

Võimaluse korral on soovitatav HT oma BIOS-is või püsivaras keelata, et HT oleks keelatud.

Märkus. Hüperthreadingu keelamine vähendab protsessori tuumasid. See võib mõjutada funktsioone, mis nõuavad toimimiseks minimaalseid protsessorituumasid. Näiteks Windows Defender Application Guard (WDAG).

Lubage Hyper-V tuumaajasti ja määrake VM-i riistvara lõimede arv tuuma kohta väärtuseks 2

Märkus. Need leevendustoimingud kehtivad ainult Windows Server 2016 ja Windows 10 versioonile 1809 varasemates versioonides. Tuumajasti on Windows Server 2019-s ja Windows 10 versioonis 1809 vaikimisi lubatud.

Tuumajasti kasutamine on kaheetapiline protsess, mis nõuab esmalt Scheduleri lubamist Hyper-V hostis ja seejärel konfigureerida iga virtuaalarvuti seda ära kasutama, määrates nende riistvara lõimede arvu tuuma kohta kaheks (2).

Hyper-V tuumaajasti, mis võeti kasutusele Windows Server 2016 ja Windows 10 versioonis 1607, on uus alternatiiv klassikalisele ajastiloogikale. Tuumplaanur pakub HT-toega Hyper-V hostis töötavate virtuaalarvutite töökoormuste puhul jõudluse vähenemist.

Hyper-V põhiplaanuri ja selle lubamise kohta leiate üksikasjalikku selgitust järgmisest Windows IT-spetsialistide keskuse artiklist:

Hyper-V hüperviisoriajasti tüüpide mõistmine ja kasutamine

Hyper-V tuumajasti lubamiseks windows Server 2016-s või Windows 10 sisestage järgmine käsk:

bcdedit /set HypervisorSchedulerType core

Järgmiseks otsustage, kas konfigureerida konkreetse VM-i riistvara lõimede arv tuuma kohta kahele (2). Kui paljastate asjaolu, et virtuaalprotsessorid on külalisvirtuaalarvutis hüperlõimestatud, lubate VM-i operatsioonisüsteemis ja ka VM-i töökoormustes HT-i oma tööplaanis kasutada. Selleks sisestage järgmine PowerShelli käsk, milles virtuaalarvuti nimi on <VMName>:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Nõuandvate CVE-2017-5715, CVE-2017-5754 ja CVE-2019-11135 leevenduste lubamine

Märkus. Need leevendused on Windows Server 2019 ja Windowsi klientarvutite operatsioonisüsteemides vaikimisi lubatud.

Nõustajate CVE-2017-5715, CVE-2017-5754 ja CVE-2019-11135 leevenduste lubamiseks kasutage järgmistes artiklites toodud juhiseid.

4072698 Windows Serveri juhised külgmise kanali spekulatiivsete käivitamise nõrkuste eest kaitsmiseks

4073119 Windowsi kliendisuunised IT-spetsialistidele, et kaitsta külgmise kanali spekulatiivsete käivitamise nõrkuste eest

Märkus. Need leevendused hõlmavad windowsi tuuma jaoks turvaliste paneeli bittide leevendusi ja lubavad need automaatselt ning CVE-2018-3620 kirjeldatud leevendusi. Turvalise lehe kaadri bittide leevenduse üksikasjaliku selgituse leiate järgmisest turbeuuringute & kaitse ajaveebiartiklist:

L1 terminali vea (L1TF) analüüs ja leevendamine