KB4074629: Objašnjenje izlaza skripte SpeculationControl PowerShell

1. način: provjera valjanosti ljuske PowerShell pomoću galerije ljuske PowerShell (Windows Server 2016 ili WMF 5.0/5.1)

Instalacija modula PowerShell

PS> Install-Module SpeculationControl

Pokrenite modul SpeculationControl PowerShell da biste provjerili jesu li omogućene zaštite

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Drugi način: provjera valjanosti ljuske PowerShell pomoću preuzimanja s web-mjesta TechNet (starijih verzija OS-a/starijih WMF verzija)

Instalacija modula PowerShell iz techNet ScriptCenter

1. Idite na https://aka.ms/SpeculationControlPS.

2. Preuzmite SpeculationControl.zip u lokalnu mapu.

3. Izdvajanje sadržaja u lokalnu mapu, na primjer C:\ADV180002

Pokrenite modul PowerShell da biste provjerili jesu li omogućene zaštite

Pokrenite PowerShell, a zatim (u prethodnom primjeru) kopirajte i pokrenite sljedeće naredbe:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Izlaz

Objašnjenje

Postavke kontrole spekulacije za CVE-2017-5715 [branch target injection]

U ovom se odjeljku navodi status sustava za varijantu 2, CVE-2017-5715, ciljnu injekciju grane.

Postoji hardverska podrška za ublažavanje ciljane injekcije grane

Karte na BTIHardwarePresent. Ovaj redak govori vam postoje li hardverske značajke za podršku ublažavanju ciljane injekcije grane. OEM uređaj odgovoran je za pružanje ažuriranog BIOS-a/firmvera koji sadrži mikrokod koji pružaju proizvođači procesora. Ako je taj redak True, postoje potrebne hardverske značajke. Ako je redak False, potrebne hardverske značajke ne postoje. Stoga se ne može omogućiti ublažavanje ciljne injekcije grane.

Napomena BTIHardwarePresent će biti True u gost VM-ima ako se ažuriranje OEM-a primijeni na glavno računalo i slijedesmjernice.

Postoji podrška os-a sustava Windows za ublažavanje ciljane injekcije grane

Karte na BTIWindowsSupportPresent. Ovaj redak govori vam je li podrška za operacijski sustav Windows prisutna za ublažavanje ciljane injekcije grane. Ako je true, operacijski sustav podržava omogućivanje ublažavanja ciljane injekcije grane (i stoga je instalirano ažuriranje za siječanj 2018.). Ako je false, na uređaju nije instalirano ažuriranje za siječanj 2018. i ne može se omogućiti ciljno ublažavanje ubrizgavanja grane.

Napomena Ako gost VM ne može otkriti ažuriranje glavnog računala hardvera, BTIWindowsSupportEnabled će uvijek biti False.

Omogućena je podrška os-a sustava Windows za ublažavanje ciljane injekcije grane

Karte na BTIWindowsSupportEnabled. Ovaj redak govori vam je li podrška za operacijski sustav Windows omogućena za ublažavanje ciljane injekcije grane. Ako je true, podrška za hardver i podrška OS-a za ublažavanje ciljane injekcije grane omogućena je za uređaj, čime se štiti od CVE-2017-5715. Ako je false, vrijedi jedan od sljedećih uvjeta:

• Hardverska podrška nije prisutna.

• Podrška os-a nije prisutna.

• Ublažavanje je onemogućeno pravilnikom sustava.

Podrška os-a sustava Windows za ublažavanje ciljane injekcije ogranka onemogućena je pravilnikom sustava

Karte na BTIDisabledBySystemPolicy. Ovaj redak govori vam je li ublažavanje ciljne injekcije grane onemogućeno pravilnikom sustava (kao što je administratorski definirani pravilnik). Pravilnik sustava odnosi se na kontrole registra kao što je dokumentirano u ažuriranju KB4072698. Ako je true, pravila sustava odgovorna su za onemogućivanje ublažavanja. Ako je false, ublažavanje je onemogućeno drugim uzrokom.

Podrška os-a sustava Windows za ublažavanje ciljane injekcije ogranka onemogućena je izostanak hardverske podrške

Karte na BTIDisabledByNoHardwareSupport. Ovaj redak govori vam je li ublažavanje ciljne injekcije grane onemogućeno zbog nedostatka hardverske podrške. Ako je true, nedostatak hardverske podrške odgovoran je za onemogućivanje ublažavanja. Ako je false, ublažavanje je onemogućeno drugim uzrokom.

NapomenaAko gost VM ne može otkriti ažuriranje hardvera glavnog računala, BTIDisabledByNoHardwareSupport uvijek će biti True.

Postavke kontrole spekulacije za CVE-2017-5754 [učitavanje predmemorije odbjeglih podataka]

Ovaj odjeljak sadrži sažeti status sustava za varijantu 3, CVE-2017-5754, učitavanje odbjeglog predmemorije podataka. Ublažavanje tog problema poznato je kao sjena virtualne adrese jezgre (VA) ili ublažavanje opterećenja predmemorije podmetača podataka.

Hardver je izložen odmetnutim opterećenjem predmemorije podataka

Karte na RdclHardwareProtected. Ovaj redak govori vam je li hardver izložen CVE-2017-5754. Ako je true, smatra se da je hardver izložen CVE-2017-5754. Ako je false, poznato je da hardver nije izložen CVE-2017-5754.

Prisutna je podrška os-a sustava Windows za ublažavanje opterećenja predmemorije odbjeglih podataka

Karte na KVAShadowWindowsSupportPresent. Ovaj redak govori vam je li prisutna podrška operacijskog sustava Windows za značajku sjene jezgre VA.

Omogućena je podrška os-a sustava Windows za ublažavanje opterećenja predmemorije odbjeglih podataka

Karte na KVAShadowWindowsSupportEnabled. Ovaj redak govori vam je li omogućena značajka sjene jezgre VA. Ako je true, smatra se da je hardver izložen CVE-2017-5754, postoji podrška za operacijski sustav Windows i značajka je omogućena.

Za hardver je potrebno sjene jezgre VA

Karte na KVAShadowRequired. Ovaj redak govori vam je li za vaš sustav potrebno sjene jezgre VA da bi se smanjila ranjivost.

Postoji podrška operacijskog sustava Windows za sjenku jezgre VA

Karte na KVAShadowWindowsSupportPresent. Ovaj redak govori vam je li prisutna podrška operacijskog sustava Windows za značajku sjene jezgre VA. Ako je true, na uređaju je instalirano ažuriranje za siječanj 2018. i podržana je sjena jezgre VA. Ako je false, ažuriranje za siječanj 2018. nije instalirano, a podrška za sjene va jezgre ne postoji.

Omogućena je podrška os-a sustava Windows za sjenku jezgre VA

Karte na KVAShadowWindowsSupportEnabled. Ovaj redak govori vam je li omogućena značajka sjene jezgre VA. Ako je true, postoji podrška za operacijski sustav Windows i značajka je omogućena. Značajka sjene jezgre VA trenutno je omogućena prema zadanim postavkama u klijentskim verzijama sustava Windows i po zadanom je onemogućena u verzijama sustava Windows Server. Ako je false, podrška za operacijski sustav Windows nije prisutna ili značajka nije omogućena.

Omogućena je podrška os-a sustava Windows za optimizaciju performansi PCID-ja

NapomenaPCID nije potreban za sigurnost. To samo označava je li omogućeno poboljšanje performansi. PCID nije podržan u sustavu Windows Server 2008 R2

Karte na KVAShadowPcidEnabled. Ovaj redak govori vam je li omogućena dodatna optimizacija performansi za sjene jezgre VA. Ako je true, omogućena je sjena jezgre VA, postoji hardverska podrška za PCID, a omogućena je optimizacija PCID-a za sjene jezgre VA. Ako je false, hardver ili OS možda ne podržavaju PCID. To nije sigurnosna slabost za PCID optimizacija nije omogućena.

Postoji podrška os-a sustava Windows za onemogućivanje spekulativnog zaobilaženje trgovine

Karte na SSBDWindowsSupportPresent. U ovom ćete retku odrediti postoji li podrška za operacijski sustav Windows za onemogućivanje spekulativnog zaobilaženje trgovine. Ako je true, na uređaju je instalirano ažuriranje za siječanj 2018. i podržana je sjena jezgre VA. Ako je false, ažuriranje za siječanj 2018. nije instalirano, a podrška za sjene va jezgre ne postoji.

Za hardver je potrebno onemogućiti spekulativno zaobilaženje spremišta

Karte na SSBDHardwareVulnerablePresent. Ovaj redak govori vam je li hardver izložen CVE-2018-3639. Ako je true, smatra se da je hardver izložen CVE-2018-3639. Ako je false, poznato je da hardver nije izložen CVE-2018-3639.

Postoji hardverska podrška za onemogućivanje spekulativnog zaobilaženje spremišta

Karte na SSBDHardwarePresent. Ovaj redak govori vam postoje li hardverske značajke za podršku spekulativnog onemogućivanja zaobilaženje spremišta. OEM uređaj odgovoran je za pružanje ažuriranog BIOS-a/firmvera koji sadrži mikrokod koji pruža Intel. Ako je taj redak True, postoje potrebne hardverske značajke. Ako je redak False, potrebne hardverske značajke ne postoje. Stoga spekulativno zaobilaženje spremišta nije moguće uključiti.

Napomena SSBDHardwarePresent će biti True u GOST VM-ima ako se ažuriranje OEM-a primijeni na glavno računalo.

Uključena je podrška os-a sustava Windows za onemogućivanje spekulativnog zaobilaženje trgovine

Karte na SSBDWindowsSupportEnabledSystemWide. Ovaj redak govori vam je li u operacijskom sustavu Windows uključeno spekulativno onemogućivanje zaobilaženje spremišta. Ako je true, hardverska podrška i podrška OS-a za onemogućivanje spekulativnog zaobilaženje pohrane uključena je za uređaj koji onemogućuje zaobilaženje spekulativnog spremišta, čime se u potpunosti eliminira sigurnosni rizik. Ako je false, vrijedi jedan od sljedećih uvjeta:

• Hardverska podrška nije prisutna.

• Podrška os-a nije prisutna.

• Spekulativno onemogućivanje zaobilaženje spremišta nije omogućeno putem ključeva registra. Upute za njihovo omogućivanje potražite u sljedećim člancima:

  • KB4073119: smjernice klijenta sustava Windows za IT profesionalce za zaštitu od mikroarhitekturnih i spekulativnih performansi bočnog kanala za silikonske ranjivosti

  • KB4072698: Smjernice za Windows Server i Azure Stack HCI za zaštitu od mikroarhitektikonskih i spekulativnih performansi bočnog kanala za silikonske ranjivosti

Postavke kontrole spekulacije za CVE-2018-3620 [L1 pogreška terminala]

Ovaj odjeljak sadrži sažeti status sustava za L1TF (operacijski sustav) na koji se odnosi CVE-2018-3620. Ovo ublažavanje osigurava da se sigurni bitovi okvira stranice koriste za unose u tablici stranice koji nisu valjani ili nisu valjani.

Napomena Ovaj odjeljak ne sadrži sažetak statusa ublažavanja za L1TF (VMM) na koji se odnosi CVE-2018-3646.

Hardver je izložen kvaru terminala L1: True

Karte na L1TFHardwareVulnerable. Ovaj redak govori vam je li hardver izložen kvaru terminala L1 (L1TF, CVE-2018-3620). Ako je true, smatra se da je hardver izložen CVE-2018-3620. Ako je false, poznato je da hardver nije izložen CVE-2018-3620.

Postoji podrška os-a sustava Windows za ublažavanje pogreške terminala L1: True

Karte na L1TFWindowsSupportPresent. Ovaj redak govori vam je li podrška operacijskog sustava Windows za ublažavanje pogreške operacijskog sustava L1 terminala (L1TF) prisutna. Ako je true, na uređaju je instalirano ažuriranje za kolovoz 2018. i prisutno je ublažavanje za CVE-2018-3620 . Ako je false, ažuriranje za kolovoz 2018. nije instalirano, a ublažavanje za CVE-2018-3620 nije prisutno.

Omogućena je podrška os-a sustava Windows za ublažavanje pogreške terminala L1: True

Karte na L1TFWindowsSupportEnabled. Ovaj redak govori vam je li omogućeno ublažavanje operacijskog sustava Windows za kvar terminala L1 (L1TF, CVE-2018-3620). Ako je true, smatra se da je hardver izložen CVE-2018-3620, podrška za operacijski sustav Windows za ublažavanje je prisutna, a ublažavanje je omogućeno. Ako je false, hardver nije ranjiv, podrška za operacijski sustav Windows ne postoji ili ublažavanje nije omogućeno.

Postavke kontrole spekulacije za MDS [Uzorkovanje mikroarhitektoturnih podataka]

Ovaj odjeljak sadrži status sustava za MDS skup slabih točaka, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 i ADV220002.

Postoji podrška operacijskog sustava Windows za ublažavanje MDS-a

Karte na MDSWindowsSupportPresent. Ovaj redak govori vam je li prisutna podrška operacijskog sustava Windows za ublažavanje uzorkovanja mikroarhitektoturnih podataka (MDS). Ako je true, na uređaju je instalirano ažuriranje za svibanj 2019. i prisutno je ublažavanje ZA MDS. Ako je false, ažuriranje za svibanj 2019. nije instalirano, a ublažavanje ZA MDS nije prisutno.

Hardver je podložan MDS-u

Karte na MDSHardwareVulnerable. Ovaj redak govori vam je li hardver izložen skupu slabih točaka (CVE-2018-11091, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Ako je true, smatra se da su na hardver utjecale te slabe točke. Ako je false, poznato je da hardver nije ranjiv.

Omogućena je podrška operacijskog sustava Windows za ublažavanje MDS-a

Karte na MDSWindowsSupportEnabled. Ovaj redak govori vam je li omogućeno ublažavanje operacijskog sustava Windows za uzorkovanje mikroarhitektoturnih podataka (MDS). Ako je true, smatra se da na hardver utječe slabe točke MDS-a, postoji podrška operacijskog sustava Windows za ublažavanje i omogućeno je ublažavanje. Ako je false, hardver nije ranjiv, podrška za operacijski sustav Windows ne postoji ili ublažavanje nije omogućeno.

Postoji podrška za operacijski sustav Windows za ublažavanje SBDR-a

Karte na FBClearWindowsSupportPresent. Ovaj redak govori vam je li podrška operacijskog sustava Windows za ublažavanje SBDR operacijskog sustava prisutna. Ako je true, na uređaju je instalirano ažuriranje iz lipnja 2022. i prisutno je ublažavanje SBDR-a. Ako je false, ažuriranje za lipanj 2022. nije instalirano, a ublažavanje SBDR-a nije prisutno.

Hardver je podložan SBDR-u

Karte na SBDRSSDPHardwareVulnerable. Ovaj redak govori vam je li hardver osjetljiv na SBDR [čitanje podataka o zajedničkim međuspremnikima] skup slabih točaka (CVE-2022-21123). Ako je true, smatra se da su na hardver utjecale te slabe točke. Ako je false, poznato je da hardver nije ranjiv.

Omogućena je podrška operacijskog sustava Windows za ublažavanje SBDR-a

Karte na FBClearWindowsSupportEnabled. Ovaj redak govori vam je li omogućeno ublažavanje operacijskog sustava Windows za SBDR [čitanje podataka o zajedničkim međuspremnikima]. Ako je true, smatra se da na hardver utječe slabe točke SBDR-a, postoji podrška za operacijske sustave windows za ublažavanje i omogućeno je ublažavanje. Ako je false, hardver nije ranjiv, podrška za operacijski sustav Windows ne postoji ili ublažavanje nije omogućeno.

Postoji podrška za operacijski sustav Windows za ublažavanje FBSDP-a

Karte na FBClearWindowsSupportPresent. Ovaj redak govori vam je li podrška operacijskog sustava Windows za ublažavanje operacijskog sustava FBSDP prisutna. Ako je true, na uređaju je instalirano ažuriranje iz lipnja 2022. i prisutno je ublažavanje za FBSDP. Ako je false, ažuriranje za lipanj 2022. nije instalirano, a ublažavanje za FBSDP nije prisutno.

Hardver je izložen FBSDP-u

Karte na FBSDPHardwareVulnerable. Ovaj redak govori vam je li hardver osjetljiv na FBSDP [propagator zastarjelih podataka međuspremnika] skup slabih točaka (CVE-2022-21125, CVE-2022-21127 i CVE-2022-21166). Ako je true, smatra se da su na hardver utjecale te slabe točke. Ako je false, poznato je da hardver nije ranjiv.

Omogućena je podrška operacijskog sustava Windows za ublažavanje FBSDP-a

Karte na FBClearWindowsSupportEnabled. Ovaj redak govori vam je li omogućeno ublažavanje operacijskog sustava Windows za FBSDP [propagator zastarjelih podataka međuspremnika ispune]. Ako je true, smatra se da na hardver utječe slabe točke FBSDP-a, postoji podrška za operacijski sustav Windows za ublažavanje i omogućeno je ublažavanje. Ako je false, hardver nije ranjiv, podrška za operacijski sustav Windows ne postoji ili ublažavanje nije omogućeno.

Postoji podrška za operacijski sustav Windows za ublažavanje PSDP-a

Karte na FBClearWindowsSupportPresent. Ovaj redak govori vam je li prisutna podrška operacijskog sustava Windows za ublažavanje operacijskog sustava PSDP. Ako je true, na uređaju je instalirano ažuriranje iz lipnja 2022. i prisutno je ublažavanje PSDP-a. Ako je false, ažuriranje za lipanj 2022. nije instalirano, a ublažavanje PSDP-a nije prisutno.

Hardver je izložen PSDP-u

Karte na PSDPHardwareVulnerable. Ovaj redak govori vam je li hardver izložen PSDP -u [primarnom zastarjelom propagatoru podataka] skupu slabih točaka. Ako je true, smatra se da su na hardver utjecale te slabe točke. Ako je false, poznato je da hardver nije ranjiv.

Omogućena je podrška operacijskog sustava Windows za ublažavanje PSDP-a

Karte na FBClearWindowsSupportEnabled. Ovaj redak govori vam je li omogućeno ublažavanje operacijskog sustava Windows za PSDP [primarni propagator zastarjelih podataka]. Ako je true, smatra se da su slabe točke PSDP-a utjecale na hardver, postoji podrška za operacijski sustav Windows za ublažavanje i omogućeno je ublažavanje. Ako je false, hardver nije ranjiv, podrška za operacijski sustav Windows ne postoji ili ublažavanje nije omogućeno.

Ključ registra

Mapiranje

FeatureSettingsOverride – Bit 0

Karte do - Branch target injection - BTIWindowsSupportEnabled

FeatureSettingsOverride – Bit 1

Maps to - Rogue data cache load - VAShadowWindowsSupportEnabled