KB4457951: smjernice sustava Windows za zaštitu od slabih točaka bočnog kanala spekulativnog izvršavanja

Pribavite i primijenite najnovija ažuriranja za Windows

Primijenite sva dostupna ažuriranja operacijskog sustava Windows, uključujući mjesečna sigurnosna ažuriranja za Windows. Tablicu zahvaćenih proizvoda možete vidjeti na stranici Microsoft Security Advisory | ADV 180018 za L1TF, Savjetnik za sigurnost | ADV 190013 za MDS, Savjetnik za sigurnost | ADV220002 za MMIO i sigurnosnu ranjivost | CVE-2019-11135 za ranjivost otkrivanja informacija jezgre sustava Windows.

Nabavite i primijenite najnovija ažuriranja mikrokoda ili programske opreme

Osim instaliranja najnovijih sigurnosnih ažuriranja za Windows, možda će biti potrebno i ažuriranje mikrokoda procesora ili opreme. Preporučujemo da nabavite i primijenite najnovije ažuriranje mikrokoda koje je prikladno za vaš uređaj iz OEM-a uređaja. Dodatne informacije o ažuriranjima mikrokoda ili programske opreme potražite u sljedećim referencama:

• KB4093836: Sažetak izvješća Intel Microcode Ažuriranja

• Demystifying Microcode Ažuriranja za članak zajednice intel i AMD Processors

• Upozorenja za Intel Product Security Center

• Sigurnost proizvoda tvrtke AMD

Napomena: Ako koristite ugniježđenu virtualizaciju (uključujući pokrenute spremnike hyper-V u virtualnom računalu gosta), novom mikrokodu morate izložiti gost VM-u. To može zahtijevati nadogradnju konfiguracije VM-a na verziju 8. Verzija 8 po zadanom obuhvaća prosvijetljenje mikrokoda. Dodatne informacije i potrebne korake potražite u sljedećem članku Microsoftova dokumentacija članku:

Pokretanje značajke Hyper-V na virtualnom računalu s ugniježđenom virtualizacijom

Trebam li onemogućiti hyper-threading (HT)?

Slabe točke L1TF i MDS uvode rizik da bi povjerljivost virtualnih računala Hyper-V i tajni koje održava Microsoft Virtualization Based Security (VBS) mogla biti ugrožena pomoću napada bočnog kanala. Kada Hyper-Threading (HT), sigurnosna ograničenja koja pružaju Hyper-V i VBS slabe su.

Planer jezgre hyper-V (dostupan počevši od sustava Windows Server 2016 i Windows 10 verzije 1607) umanjuje vektore napada L1TF i MDS na virtualnim računalima Hyper-V, ali i dalje dopušta da Hyper-Threading ostane omogućen. To pruža minimalan utjecaj na performanse.

Planer jezgre hyper-V ne umanji vektore napada L1TF ili MDS protiv sigurnosnih značajki zaštićenih VBS-om. Slabe točke L1TF i MDS uvode rizik da bi povjerljivost VBS tajni mogla biti ugrožena napadom u bočnom kanalu kada je omogućen Hyper-Threading (HT), što slabi sigurnosnu granicu koju pruža VBS. Čak i uz taj povećani rizik, VBS i dalje pruža vrijedne sigurnosne prednosti i umanji raspon napada s omogućenim HT-om. Stoga preporučujemo da se VBS i dalje koristi u sustavima s omogućenim HT-om. Korisnici koji žele ukloniti potencijalni rizik od slabih točaka L1TF i MDS-a na povjerljivost VBS-a trebali bi onemogućiti HT da bi ublažili taj dodatni rizik.

Korisnici koji žele ukloniti rizik da slabe točke L1TF i MDS predstavljaju, bez obzira na povjerljivost verzija hyper-V koje su starije od sustava Windows Server 2016 ili VBS sigurnosnih mogućnosti, moraju ocijenite odluku i onemogućiti HT da bi ublažili rizik. Općenito govoreći, ta se odluka može temeljiti na sljedećim smjernicama:

• Za Windows 10 1607, Windows Server 2016 i novije sustave koji ne koriste Hyper-V i ne koriste sigurnosne značajke zaštićene VBS-om, korisnici ne bi trebali onemogućiti HT.

• Za Windows 10 1607, Windows Server 2016 i novije sustave koji koriste Hyper-V s core Scheduler, ali ne koriste sigurnosne značajke zaštićene VBS-om, korisnici ne bi trebali onemogućiti HT.

• Za Windows 10 verziju 1511, Windows Server 2012 R2 i starije sustave koji koriste Hyper-V korisnici moraju onemogućiti HT da bi ublažili rizik.

Koraci potrebni za onemogućivanje ht-a razlikuju se od OEM-a do OEM-a. No obično su dio BIOS-a ili alata za postavljanje opreme i konfiguraciju.

Microsoft je uveo i mogućnost onemogućivanja tehnologije Hyper-Threading putem softverske postavke ako je teško ili nemoguće onemogućiti HT u BIOS-u ili alatima za postavljanje opreme i konfiguraciju. Softverska postavka za onemogućivanje HT-a sekundarna je postavki BIOS-a ili opreme i po zadanom je onemogućena (što znači da će HT pratiti vaš BIOS ili postavku opreme). Dodatne informacije o toj postaci i načinu onemogućivanja ht-a pomoću te postavke potražite u sljedećem članku:

4072698 Smjernice za Windows Server za zaštitu od slabih točaka bočnog kanala spekulativnog izvršavanja

Kada je to moguće, preporučuje se da onemogućite HT u BIOS-u ili firmveru za najjače jamstvo da je HT onemogućen.

Napomena: Onemogućivanjem hiperthreadinga smanjit će se jezgre procesora. To može utjecati na značajke koje zahtijevaju minimalne jezgre procesora za funkcioniranje. Primjerice, Windows Defender Application Guard (WDAG).

Omogućite planer jezgre hyper-V i postavite broj hardverskih niti VM-a po jezgri na 2

Napomena: Ti se koraci ublažavanja primjenjuju samo na windows Server 2016 i Windows 10 verzije prije verzije 1809. Osnovni planer po zadanom je omogućen u sustavima Windows Server 2019 i Windows 10 1809.

Korištenje jezgrenog planera postupak je u dvije faze koji zahtijeva da najprije omogućite planer na glavnom računalu za Hyper-V, a zatim konfigurirate svako virtualno računalo da biste ga iskoristili postavljanjem broja hardverskih niti po jezgri na dva (2).

Planer jezgre hyper-V koji je uveden u sustavima Windows Server 2016 i Windows 10 verzija 1607 nova je alternativa klasičnoj logici planera. Osnovni planer nudi smanjenu varijabilnost performansi za radna opterećenja unutar VM-ova koja se izvode na glavnom računalu hyper-V s omogućenim HT-om.

Detaljno objašnjenje jezgrenog planera za Hyper-V i korake za omogućivanje potražite u sljedećem članku o sustavu Windows IT Pro Center:

Objašnjenje i korištenje vrsta planera hipervizora hypervisora

Da biste omogućili planer jezgre hyper-V u sustavu Windows Server 2016 ili Windows 10, unesite sljedeću naredbu:

bcdedit /set HypervisorSchedulerType core

Zatim odlučite želite li konfigurirati broj hardverskih niti vm-a po jezgri na dva (2). Ako izlažete činjenicu da su virtualni procesori hiper-niti na gost virtualnom računalu, omogućite planer u VM operacijskom sustavu, kao i radna opterećenja VM-a, da biste koristili HT u vlastitom zakazivanju rada. Da biste to učinili, unesite sljedeću naredbu komponente PowerShell u kojoj <VMName> naziv virtualnog računala:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Omogući ublažavanja za savjetnike CVE-2017-5715, CVE-2017-5754 i CVE-2019-11135

Napomena: Ta su ublažavanja po zadanom omogućena u operacijskim sustavima Windows Server 2019 i Windows client.

Da biste omogućili ublažavanje rizika za savjetnike CVE-2017-5715, CVE-2017-5754 i CVE-2019-11135, koristite smjernice u sljedećim člancima:

4072698 smjernice za Windows Server za zaštitu od slabih točaka bočnog kanala spekulativnog izvršavanja

4073119 smjernice klijenta sustava Windows za IT profesionalce radi zaštite od slabih točaka bočnog kanala spekulativnog izvršavanja

Napomena: Ta ublažavanja obuhvaćaju i automatski omogućuju ublažavanje bitova sigurnog okvira stranice za jezgru sustava Windows i ublažavanja opisana u cve-2018-3620. Za detaljno objašnjenje sigurnog okvira stranica bitova ublažavanja, pogledajte sljedeće Security Research & Defense Blog članak:

Analiza i ublažavanje pogreške terminala L1 (L1TF)