KB4457951: Navodila sistema Windows za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

Pridobite in uporabite najnovejše posodobitve sistema Windows

Uporabite vse razpoložljive posodobitve operacijskega sistema Windows, vključno z mesečnimi varnostnimi posodobitvami sistema Windows. Tabelo prizadetih izdelkov si lahko ogledate na spletnem mestu Microsoft Security Advisory | ADV 180018 za L1TF, Security Advisory | ADV 190013 za MDS, Security Advisory | ADV220002 za MMIO in varnostno ranljivost | CVE-2019-11135 za ranljivost razkritja informacij v sistemu Windows.

Pridobite in uporabite najnovejše posodobitve mikro kode ali vdelane programske opreme

Poleg nameščanja najnovejših varnostnih posodobitev sistema Windows boste morda morali posodobiti tudi mikrokod ali vdelano programsko opremo procesorja. Priporočamo, da od proizvajalca strojne opreme pridobite in uporabite najnovejšo posodobitev mikro kode, kot je primerno za vašo napravo. Če želite več informacij o posodobitvah mikrokod ali vdelane programske opreme, glejte te sklice:

• KB4093836: Povzetek intelovih mikrokodnih Posodobitve

• Razlaga članka skupnosti »Mikrokod Posodobitve za Intel in AMD Processors«

• Nasveti za Intelov varnostni center za izdelke

• AMD Product Security

Opomba: Če uporabljate ugnezdeno virtualizacijo (vključno z izvajanjem vsebnikov Hyper-V v gostujočem navideznem računalniku), morate novi razsvetljenju mikro kode razkriti gostujoči navidezni računalnik. Za to boste morda morali nadgraditi konfiguracijo na različico 8. Različica 8 privzeto vključuje razsvetljenstva mikrokod. Če želite več informacij in zahtevane korake, preberite ta članek Microsoftovo gradivo članku:

Zagon funkcije Hyper-V v navideznem računalniku z ugnezdeno virtualizacijo

Ali naj onemogočim hipernitni niz (HT)?

Ranljivosti L1TF in MDS lahko ogrozijo zaupnost navideznih računalnikov Hyper-V in skrivnosti, ki jih vzdržuje varnost Microsoft Virtualization Based Security (VBS). Ko Hyper-Threading (HT), se omejitve varnosti, ki jih zagotavljata Hyper-V in VBS, oslabijo.

Core scheduler Hyper-V (na voljo od windows Server 2016 in Windows 10 različica 1607) ublaži vektorji napada L1TF in MDS na navidezne računalnike Hyper-V, hkrati pa storitvi Hyper-Threading omogoča, da ostane omogočena. To zagotavlja minimalen vpliv na učinkovitost delovanja.

Osnovni razporejevalnik Hyper-V ne ublaži vektorjev napadov L1TF ali MDS pred varnostnimi funkcijami, ki so zaščitene s VBS. Ranljivosti sklada L1TF in MDS predstavljata tveganje, da bi bila zaupnost skrivnosti VBS ogrožena z napadom stranskega kanala, ko je omogočenA Hyper-Threading (HT), kar oslabi varnostno mejo, ki jo zagotavlja sistem VBS. Tudi s tem povečanega tveganja VBS še vedno zagotavlja dragocene prednosti varnosti in ublaži nabor napadov z omogočenim HT-jem. Zato priporočamo, da se VBS še naprej uporablja v sistemih, ki podpirajo HT. Stranke, ki želijo odpraviti morebitno tveganje ranljivosti L1TF in MDS pri zaupnosti sistema VBS, morajo premisliti o onemogočanju HT, da zmanjšajo to dodatno tveganje.

Stranke, ki želijo odpraviti tveganje, da bosta ranljivosti sklada L1TF in MDS, ali zaupnosti različic Hyper-V, ki so starejše od sistema Windows Server 2016, ali varnostnih zmogljivosti VBS, morajo upoštevati odločitev in premisliti o onemogočanju HT, da zmanjšajo tveganje. Na splošno lahko ta odločitev temelji na naslednjih smernicah:

• Za Windows 10 različico 1607, Windows Server 2016 in novejšo različico sistemov, ki ne uporabljajo funkcije Hyper-V in ne uporabljajo varnostnih funkcij, zaščitenih s VBS, stranke ne smejo onemogočiti funkcije HT.

• Za Windows 10 različico 1607, Windows Server 2016 in novejšo različico sistemov, v katerih se izvaja Hyper-V z core Scheduler, vendar ne uporabljajo varnostnih funkcij, zaščitenih s VBS, stranke ne smejo onemogočiti funkcije HT.

• Stranke Windows 10 različico 1511, Windows Server 2012 R2 in starejše sisteme, v katerih se izvaja Hyper-V, razmislijo o onemogočanju HT, da zmanjšajo tveganje.

Koraki, potrebni za onemogočanje HT, se od proizvajalca strojne opreme do proizvajalca strojne opreme razlikujejo. Vendar pa so običajno del BIOS-a ali orodja za nastavitev vdelane programske opreme in konfiguracijo.

Microsoft je predstavil tudi možnost onemogočanja tehnologije Hyper-Threading prek nastavitve programske opreme, če je težko ali nemogoče onemogočiti HT v vašem BIOS-u ali orodjih za nastavitev vdelane programske opreme in konfiguracijo. Nastavitev programske opreme za onemogočanje HT je sekundarna nastavitev BIOS-a ali vdelane programske opreme in je privzeto onemogočena (kar pomeni, da HT sledi biosu ali nastavitvi vdelane programske opreme). Če želite izvedeti več o tej nastavitvi in o tem, kako onemogočite HT pri uporabi, glejte ta članek:

4072698 Navodila za Windows Server za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

Če je mogoče, priporočamo, da HT onemogočite v BIOS-u ali vdelani programski opremi in tako zagotovite, da je HT onemogočen.

Opomba: Če onemogočite hiperthreading, se bodo jedra PROCESORJA zmanjšale. To lahko vpliva na funkcije, ki za delovanje zahtevajo minimalno število jeder CPE. Na primer, Windows Defender Application Guard (WDAG).

Omogočanje osnovnega razporejevalnika Hyper-V in nastavitev števila niti strojne opreme na jedro na 2

Opomba: Ti koraki za ublažitev posledic veljajo le za Windows Server 2016 in Windows 10 različice, starejše od različice 1809. Osnovni razporejevalnik je privzeto omogočen v sistemu Windows Server 2019 in Windows 10 različici 1809.

Uporaba osnovnega razporejevalnika je proces v dveh korakih, ki zahteva, da najprej omogočite razporejevalnik v gostitelju Hyper-V, nato pa konfigurirate vsak navidezni računalnik tako, da ga izkoristi tako, da svoje število niti strojne opreme na jedro nastavite na dva (2).

Osnovni razporejevalnik Hyper-V, ki je bil uveden v sistemih Windows Server 2016 in Windows 10 različica 1607, je nova alternativa klasični logiki razporejevalnika. Osnovni razporejevalnik zagotavlja zmanjšano spremenljivost učinkovitosti delovanja za delovne obremenitve v navideznih računalnikih, ki se izvajajo v gostitelju Hyper-V, ki omogoča HT.

Za podrobno razlago osnovnega razporejevalnika za Hyper-V in korake za omogočanje glejte ta članek središča za strokovnjake za IT za Windows:

Razumevanje in uporaba vrst hipervizorja Hyper-V

Če želite omogočiti osnovni razporejevalnik Hyper-V v sistemu Windows Server 2016 ali Windows 10, vnesite ta ukaz:

bcdedit /set HypervisorSchedulerType core

Nato se odločite, ali želite konfigurirati število niti niti strojne opreme na jedro danega na dva računalnika (2). Če razkrijete dejstvo, da so navidezni procesorji hipernitni za gostujoči navidezni računalnik, omogočite razporejevalnik v operacijskem sistemu navideznega računalnika in tudi delovne obremenitve navideznega računalnika za uporabo funkcije HT pri svojem načrtovanju dela. To naredite tako, da vnesete ta ukaz PowerShell, v katerem <VMName> ime navideznega računalnika:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Omogočanje ublažitev posledic za opozorila CVE-2017-5715, CVE-2017-5754 in CVE-2019-11135

Opomba: Te ublažitve posledic so privzeto omogočene v odjemalskih operacijskih sistemih Windows Server 2019 in Windows.

Za omogočanje ublažitve posledic smernic CVE-2017-5715, CVE-2017-5754 in CVE-2019-11135 uporabite navodila v naslednjih člankih:

4072698 navodila za Windows Server za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

4073119 navodila za odjemalce sistema Windows za strokovnjaki za IT za zaščito pred ranljivostmi stranskega kanala zaradi špekulativnega izvajanja

Opomba: Te ublažitve posledic vključujejo in samodejno omogočajo ublažitev varnih bitov okvirja strani za jedro sistema Windows in tudi za ublažitev posledic, ki so opisane v CVE-2018-3620. Če želite podrobno razlago o ublažitvi bitov okvirja varne strani, glejte naslednji članek o varnostnih raziskavah & Defense Blog:

Analiza in ublažitev napake terminala L1 (L1TF)