KB4457951: Windowsin ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

Hanki ja ota käyttöön uusimmat Windows-päivitykset

Ota käyttöön kaikki saatavilla olevat Windows-käyttöjärjestelmäpäivitykset, mukaan lukien kuukausittaiset Windowsin suojauspäivitykset. Voit tarkastella kyseisten tuotteiden taulukkoa Microsoft security advisoryssa | ADV-180018 L1TF:lle, suojaustiedote | MDS:n ADV-190013 , suojaustiedote | ADV220002 MMIO:lle ja tietoturva-aukolle | CVE-2019-11135 Windows-ytimen tietojen paljastumisen haavoittuvuudelle.

Hanki ja ota käyttöön uusimmat mikrokoodi- tai laiteohjelmistopäivitykset

Uusimpien Windows-suojauspäivitysten asentamisen lisäksi saatetaan tarvita myös suorittimen mikrokoodi- tai laiteohjelmistopäivitys. Suosittelemme, että hankit ja otat käyttöön laitteen alkuperäisen laitevalmistajan uusimman mikrokoodipäivityksen. Lisätietoja mikrokoodi- tai laiteohjelmistopäivityksistä on seuraavissa viittauksissa:

• KB4093836: Intel Microcode -Päivitykset yhteenveto

• Intel- ja AMD-suorittimien microcode-Päivitykset -yhteisön artikkeli

• Intel Product Security Centerin tiedotteet

• AMD-tuotesuojaus

Huomautus: Jos käytät sisäkkäistä virtualisointia (mukaan lukien Hyper-V-säilöjen suorittaminen vieraskäyttökoneessa), sinun on tuotava uudet mikrokoodivalistukset vieraan virtuaalikoneen käyttöön. Tämä saattaa edellyttää virtuaalikoneen määrityksen päivittämistä versioon 8. Versio 8 sisältää oletusarvoisesti mikrokoodin valaistumisen. Lisätietoja ja tarvittavat vaiheet on seuraavassa Microsoft Docs artikkelissa:

Hyper-V:n suorittaminen virtuaalikoneessa sisäkkäisen virtualisoinnin avulla

Pitäisikö hypersäikeiden (HT) poistaa käytöstä?

L1TF- ja MDS-haavoittuvuudet saattavat vaarantaa Hyper-V-virtuaalikoneiden luottamuksellisuuden ja Microsoft Virtualization Based Securityn (VBS) ylläpitämät salaisuudet käyttämällä sivukanavahyökkäystä. Kun Hyper-Threading (HT) on käytössä, sekä Hyper-V:n että VBS:n tarjoamat suojausrajat heikkenevät.

Hyper-V core scheduler (saatavilla Windows Server 2016:sta ja Windows 10 versiosta 1607) vähentää L1TF- ja MDS-hyökkäysvektoreita Hyper-V-virtuaalikoneita vastaan ja sallii silti Hyper-Threading säilymisen käytössä. Tämä tarjoaa mahdollisimman vähän suorituskykyvaikutuksia.

Hyper-V-ydinajastin ei lievennä L1TF- tai MDS-hyökkäysvektoreita VBS-suojattuja suojausominaisuuksia vastaan. L1TF- ja MDS-haavoittuvuudet saattavat vaarantaa VBS-salaisuuksien luottamuksellisuuden sivukanavahyökkäyksen kautta, kun Hyper-Threading (HT) otetaan käyttöön, mikä heikentää VBS:n tarjoamaa turvallisuusrajaa. Tästä suuremmasta riskistä huolimatta VBS tarjoaa silti arvokkaita suojausetuja ja lieventää useita HT-käyttöön otettuja hyökkäyksiä. Siksi suosittelemme, että VBS:ää käytetään edelleen HT-järjestelmissä. Asiakkaiden, jotka haluavat poistaa L1TF- ja MDS-haavoittuvuuksien mahdollisen riskin VBS:n luottamuksellisuudesta, tulisi harkita HT:n poistamista käytöstä tämän lisäriskin vähentämiseksi.

Asiakkaiden, jotka haluavat poistaa L1TF- ja MDS-haavoittuvuuksien aiheuttaman riskin joko Windows Server 2016:ta aiempien Hyper-V-versioiden tai VBS-suojausominaisuuksien luottamuksellisuuden vuoksi, on punnittava päätöstä ja harkittava HT:n poistamista käytöstä riskien vähentämiseksi. Yleisesti ottaen tämä päätös voi perustua seuraaviin ohjeisiin:

• Windows 10 versiossa 1607, Windows Server 2016:ssa ja uusimmissa järjestelmissä, joissa ei ole Hyper-V:tä ja jotka eivät käytä VBS-suojattuja suojausominaisuuksia, asiakkaiden ei pitäisi poistaa HT:tä käytöstä.

• Windows 10 versiossa 1607, Windows Server 2016:ssa ja uudemmissa järjestelmissä, joissa hyper-V on käytössä Core Scheduler -toiminnolla mutta jotka eivät käytä VBS-suojattuja suojausominaisuuksia, asiakkaiden ei pitäisi poistaa HT-yhteyttä käytöstä.

• Windows 10 versiossa 1511, Windows Server 2012 R2:ssa ja aiemmissa Hyper-V-järjestelmissä asiakkaiden on harkittava HT:n poistamista käytöstä riskien vähentämiseksi.

HT:n käytöstä poistamiseen tarvittavat vaiheet vaihtelevat alkuperäisestä laitevalmistajasta alkuperäiseen laitevalmistajaan. Ne ovat kuitenkin yleensä osa BIOS- tai laiteohjelmiston määritys- ja määritystyökaluja.

Microsoft on myös ottanut käyttöön mahdollisuuden poistaa Hyper-Threading tekniikasta käytöstä ohjelmistoasetuksen avulla, jos HT:n poistaminen käytöstä biosissa tai laiteohjelmiston asennus- ja määritystyökaluissa on vaikeaa tai mahdotonta. Ohjelmistoasetus, joka poistaa HT:n käytöstä, on toissijainen BIOS- tai laiteohjelmistoasetukseen nähden, ja se on oletusarvoisesti poissa käytöstä (eli HT noudattaa BIOS- tai laiteohjelmistoasetusta). Lisätietoja tästä asetuksesta ja HT:n käytöstä poistamisesta sen avulla on seuraavassa artikkelissa:

4072698 Windows Serverin ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

Mahdollisuuksien mukaan on suositeltavaa poistaa HT käytöstä BIOSissa tai laiteohjelmistossa, jotta HT on poistettu käytöstä.

Huomautus: Hyperthreadingin poistaminen käytöstä vähentää suoritinytimien määrää. Tämä voi vaikuttaa ominaisuuksiin, jotka edellyttävät suorittimen vähimmäisytimiä toimiakseen. Esimerkiksi Windows Defender Sovellussuoja (WDAG).

Ota Käyttöön Hyper-V core scheduler ja määritä VM-laitteiston säikeiden määrä ydintä kohti arvoksi 2

Huomautus: Nämä lievennysvaiheet koskevat vain Windows Server 2016:ta ja Windows 10 versiota 1809 edeltäviä versioita. Perusaikataulun ajoitus on oletusarvoisesti käytössä Windows Server 2019:ssä ja Windows 10 versiossa 1809.

Ydinajastin on kaksivaiheinen prosessi, joka edellyttää, että otat ensin aikataulun käyttöön Hyper-V-isännässä ja määrität sitten kunkin virtuaalikoneen hyödyntämään sitä määrittämällä laitteistoketjun määrän ydintä kohti kahdeksi (2).

Windows Server 2016:ssa ja Windows 10 1607:ssä esitelty Hyper-V-ydinaikataulun ajoitus on uusi vaihtoehto perinteiselle ajoituslogiikalle. Ydinajoittimen suorituskyky vaihtelee HT-yhteensopivassa Hyper-V-isännässä suoritettavien työkuormien osalta.

Lisätietoja Hyper-V:n perusaikataulun ajoituksesta ja sen käyttöönoton vaiheista on seuraavassa WindowsIN IT Pro Center -artikkelissa:

Hyper-V hypervisor scheduler -tyyppien ymmärtäminen ja käyttäminen

Voit ottaa Hyper-V core schedulerin käyttöön Windows Server 2016:ssa tai Windows 10 kirjoittamalla seuraavan komennon:

bcdedit /set HypervisorSchedulerType core

Päätä seuraavaksi, määritetäänkö tietyn virtuaalikoneen laitteiston säikeiden määrä ydintä kohti kahteen (2). Jos huomaat, että virtuaaliprosessorit ovat hypersäikeisiä vierasvirtuaalisen koneen kanssa, otat VM-käyttöjärjestelmän aikatauluttajan ja myös virtuaalikoneen työkuormat käyttöön HT:n omassa työaikataulussaan. Voit tehdä tämän kirjoittamalla seuraavan PowerShell-komennon, jossa <VMName -> on virtuaalikoneen nimi:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Ota käyttöön lievennykset ohjeissa CVE-2017-5715, CVE-2017-5754 ja CVE-2019-11135

Huomautus: Nämä lievennykset ovat oletusarvoisesti käytössä Windows Server 2019- ja Windows-asiakaskäyttöjärjestelmissä.

Voit ottaa lievennykset käyttöön CVE-2017-5715-, CVE-2017-5754- ja CVE-2019-11135 -artikkeleissa seuraavien artikkelien ohjeiden avulla:

4072698 Windows Serverin ohjeet spekulatiivisen suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

4073119 IT-ammattilaisten Windows-asiakasohjeita spekulatiivisilta suorituspuolen kanavan haavoittuvuuksilta suojautumiseen

Huomautus: Näihin lievennyksiin sisältyy windows-ytimen turvallisten sivukehysbittien lieventäminen ja niiden automaattinen käyttöönotto sekä CVE-2018-3620 -päivityksessä kuvatut lievennykset. Lisätietoja turvallisten sivukehysten bittien lieventämisestä on seuraavassa Security Research & Defense Blog -artikkelissa:

L1 Terminal Fault (L1TF) -päätevirheen analysointi ja lieventäminen