KB4457951: Windows vodič za zaštitu od spekulativnih ranjivosti na bočnom kanalu izvršavanja

Nabavite i primenite najnovije ispravke za Windows

Primenite sve dostupne ispravke operativnog sistema Windows, uključujući mesečne bezbednosne ispravke za Windows. Tabelu proizvoda na koje ovo utiče možete da vidite u savetu za Microsoft bezbednost | ADV 180018 za L1TF, savet za bezbednost | ADV 190013 za MDS, savet za bezbednost | ADV220002 za MMIO i bezbednosnu ranjivost | CVE-2019-11135 za ranjivost otkrivanja windows jezgra informacija.

Nabavite i primenite najnovije ispravke mikrokoda ili firmvera

Pored instaliranja najnovijih windows bezbednosnih ispravki, može biti potrebna i ispravka mikrokodora ili firmvera. Preporučujemo da nabavite i primenite najnoviju ispravku mikrokoda po potrebi za uređaj sa OEM uređaja. Više informacija o ispravkama mikrokoda ili firmvera potražite u sledećim referencama:

• KB4093836: Rezime koda Intel Microcode Novosti

• Demystifying Microcode Novosti for Intel and AMD Processors community article

• Saveti centra za bezbednost intel proizvoda

• AMD Bezbednost proizvoda

Beleška: Ako koristite ugnežđene virtuelizacije (uključujući pokretanje Hyper-V kontejnera na virtuelnoj mašini gosta), morate da izložite novo prosvetljenje mikro koda virtuelnoj mašini za goste. Ovo može zahtevati nadogradnju konfiguracije virtuelne mašine na verziju 8. Verzija 8 podrazumevano uključuje prosvetljenje mikro koda. Dodatne informacije i potrebne korake potražite u sledećem članku Microsoft Docs članku:

Pokrenite Hyper-V u virtuelnoj mašini sa ugnežđenom virtuelizom

Da li treba da onemogućim hipervezu (HT)?

Ranjivosti L1TF i MDS uvode rizik da bi poverljivost Hyper-V virtuelnih mašina i tajni koje održava bezbednost zasnovana na Microsoft virtuelizacijama (VBS) mogli biti ugroženi korišćenjem napada na bočne kanale. Kada Hyper-Threading (HT), oslabljene su bezbednosne granice koje pružaju i Hyper-V i VBS.

Hyper-V core planer (dostupan počevši od operativnog sistema Windows Server 2016 Windows 10 verzija 1607) umanjiće L1TF i MDS vektore napada na Hyper-V virtuelne mašine, a da i dalje omogućava da Hyper-Threading ostane omogućen. To pruža minimalan uticaj na performanse.

Planer jezgra Hyper-V ne umanjiva vektore L1TF ili MDS napada u odnosu na bezbednosne funkcije koje štiti VBS. Ranjivosti L1TF i MDS uvode rizik da bi poverljivost VBS tajni mogla biti ugrožena putem napada na bočne kanale kada se omogući Hyper-Threading (HT), što oslabi bezbednosnu granicu koju pruža VBS. Čak i sa ovim povećanim rizikom, VBS i dalje pruža vredne bezbednosne pogodnosti i ulaže veliki broj napada sa omogućenim HT-om. Zato preporučujemo da VBS nastavi da se koristi na sistemima omogućenim za HT. Klijenti koji žele da eliminišu potencijalni rizik ranjivosti L1TF i MDS-a na poverljivost VBS-a trebalo bi da razmotriju onemogućavanje HT-a da bi smanjili taj dodatni rizik.

Klijenti koji žele da eliminišu rizik koji predstavljaju ranjivosti L1TF i MDS, bilo na poverljivost Hyper-V verzija koje su starije od Windows Server 2016 ili VBS bezbednosnih mogućnosti, moraju da odmere odluku i da razmotriju onemogućavanje HT-a da ublaži rizik. Uopšte uzev, ova odluka može biti zasnovana na sledećim smernicama:

• Za Windows 10 verzije 1607, Windows Server 2016 i novije sisteme koji ne rade pod operativnim sistemom Hyper-V i ne koriste bezbednosne funkcije koje štiti VBS, klijenti ne bi trebalo da onemoguće HT.

• Za Windows 10 verzije 1607, Windows Server 2016 i novije sisteme koji koriste Hyper-V sa funkcijom Core Scheduler, ali ne koriste bezbednosne funkcije koje štiti VBS, klijenti ne bi trebalo da onemoguće HT.

• Za Windows 10 verzije 1511, Windows Server 2012 R2 i starijih sistema koji koriste Hyper-V, klijenti moraju razmotriti onemogućavanje HT-a radi ublažavanja rizika.

Koraci neophodni za onemogućavanje HT-a razlikuju se od OEM-a do OEM-a. Međutim, oni su obično deo BIOS-a ili alatki za podešavanje firmvera i konfiguraciju.

Microsoft je uveo i mogućnost onemogućavanja Hyper-Threading putem softverske postavke ako je teško ili nemoguće onemogućiti HT u BIOS-u ili firmveru i alatkama za podešavanje i konfiguraciju. Postavka softvera za onemogućavanje HT-a sekundarna je postavki BIOS-a ili firmvera i podrazumevano je onemogućena (što znači da će HT pratiti postavku BIOS-a ili firmvera). Da biste saznali više o ovoj po postavki i o tome kako da onemogućite HT koristeći je, pogledajte sledeći članak:

4072698 Uputstva za Windows Server za zaštitu od spekulativnih ranjivosti na bočnom kanalu izvršavanja

Kada je to moguće, preporučuje se da onemogućite HT u BIOS-u ili firmveru radi najjače garancije da je HT onemogućen.

Beleška:  Onemogućavanje hiperthreadinga će smanjiti CPU jezgra. Ovo može da utiče na funkcije koje zahtevaju minimalne CPU jezgra da bi funkcionisale. Na primer, Windows zaštitnik Application Guard (WDAG).

Omogućite Hyper-V core planer i podesite broj hardverskih niti VM hardvera po jezgru na 2

Beleška: Ovi koraci umanjivanja primenjuju se samo na Windows Server 2016 Windows 10 verzije starije od verzije 1809. Core planer je podrazumevano omogućen u sistemu Windows Server 2019 i Windows 10 verziji 1809.

Korišćenje osnovnog planera je proces iz dve faze koji zahteva da prvo omogućite planer na Hyper-V hostu, a zatim da konfigurišete svaku virtuelnu mašinu da ga koristi tako što ćete podesiti broj hardverskih niti po jezgru na dva (2).

Hyper-V core planer koji je predstavljen u sistemu Windows Server 2016 Windows 10 verziji 1607 predstavlja novu alternativu klasičnoj logici planera. Planer jezgra nudi smanjenu promenljivost performansi za radna opterećenja unutar virtuelnih mašina koje rade na Hyper-V hostu omogućenom za HT.

Detaljno objašnjenje osnovnog planera usluge Hyper-V i korake za omogućavanje potražite u sledećem članku Windows IT Pro centra:

Razumevanje i korišćenje tipova hipervizora hipervizora

Da biste omogućili Hyper-V core planer u sistemu Windows Server 2016 ili Windows 10, unesite sledeću komandu:

bcdedit /set HypervisorSchedulerType core

Zatim odlučite da li želite da konfigurišete datu hardversku nit virtuelne mašine po jezgru do dve (2). Ako izlažete činjenicu da su virtuelni procesori hipervezni niti za virtuelnu mašinu gosta, omogućavate planer u operativnom sistemu VM, kao i virtuelna radna opterećenja, da biste koristili HT u sopstvenom zakazivanju posla. Da biste to uradili, unesite sledeću PowerShell komandu u kojoj <VMName> ime virtuelne mašine:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Omogućavanje umanjivanja za savete CVE-2017-5715, CVE-2017-5754 i CVE-2019-11135

Beleška: Ova umanjivanja su podrazumevano omogućena na Windows Server 2019 i Windows klijentskim operativnim sistemima.

Da biste omogućili umanjivanja za savete CVE-2017-5715, CVE-2017-5754 i CVE-2019-11135, koristite uputstva u sledećim člancima:

4072698 Windows Server smernica za zaštitu od spekulativnih ranjivosti bočnog kanala izvršavanja

4073119 Windows klijenta za IT stručnjake u zaštiti od spekulativnih ranjivosti na strani kanala izvršavanja

Beleška: Ova umanjivanja uključuju i automatski omogućavaju umanjivanje bitova bezbednog okvira stranice za Windows jezgro, kao i za umanjivanja opisana u CVE-2018-3620. Detaljno objašnjenje bita bezbednog okvira stranice potražite u sledećem članku Bezbednosna istraživanja & Blog o odbrani:

Analiza i umanjivanje greške L1 terminala (L1TF)