KB4457951: Windows-vägledning för skydd mot spekulativ exekvering

Hämta och tillämpa de senaste Windows-uppdateringarna

Tillämpa alla tillgängliga uppdateringar av Windows-operativsystemet, inklusive de månatliga Windows-säkerhetsuppdateringarna. Du kan se tabellen med berörda produkter i Microsoft Security Advisory | ADV-180018 för L1TF, säkerhetsmeddelande | ADV-190013 för MDS, säkerhetsmeddelande | ADV220002 för MMIO och säkerhetsrisker | CVE-2019-11135 för Säkerhetsrisk med information om Windows kernel.

Hämta och tillämpa de senaste uppdateringarna av mikrokod eller inbyggd programvara

Förutom att installera de senaste Windows-säkerhetsuppdateringarna kan det också krävas en processormikrokod eller uppdatering av inbyggd programvara. Vi rekommenderar att du hämtar och tillämpar den senaste mikrokoduppdateringen som är lämplig för din enhet från enhets-OEM-tillverkaren. Mer information om uppdateringar av mikrokod eller inbyggd programvara finns i följande referenser:

• KB4093836: Sammanfattning av Intel Microcode Uppdateringar

• Artikel om att avmystifiera mikrokod Uppdateringar för Intel- och AMD-processorer

• Intel Product Security Center Advisories

• AMD-produktsäkerhet

Obs! Om du använder kapslad virtualisering (inklusive att köra Hyper-V-behållare i en virtuell gäst-VM) måste du exponera de nya mikrokodsupplysningarna för den virtuella gästdatorn. Det kan kräva att konfigurationen av den virtuella datorn uppgraderas till version 8. Version 8 innehåller mikrokodsupplysningar som standard. Mer information och de steg som krävs finns i följande artikel Microsoft Docs artikel:

Köra Hyper-V på en virtuell dator med kapslad virtualisering

Ska jag inaktivera hypertrådning (HT)?

L1TF- och MDS-sårbarheterna medför risk för att konfidentialiteten för virtuella Hyper-V-datorer och hemligheterna som underhålls av Microsoft Virtualization Based Security (VBS) kan äventyras med hjälp av en sidokanalattack. När Hyper-Threading (HT) är aktiverad försvagas säkerhetsgränserna som tillhandahålls av både Hyper-V och VBS.

Hyper-V-schemaläggaren (tillgänglig från och med Windows Server 2016 och Windows 10 version 1607) minimerar L1TF- och MDS-attackvektorerna mot virtuella Hyper-V-datorer samtidigt som Hyper-Threading förblir aktiverade. Detta ger minimal prestandapåverkan.

Hyper-V-schemaläggaren minimerar inte L1TF- eller MDS-attackvektorerna mot VBS-skyddade säkerhetsfunktioner. L1TF- och MDS-sårbarheterna medför risk för att konfidentialiteten av VBS-hemligheter kan äventyras via en sidokanalattack när Hyper-Threading (HT) aktiveras, vilket försvagar säkerhetsgränsen som tillhandahålls av VBS. Även med denna ökade risk ger VBS fortfarande värdefulla säkerhetsfördelar och minimerar en rad attacker med HT aktiverat. Därför rekommenderar vi att VBS fortsätter att användas på HT-aktiverade system. Kunder som vill eliminera den potentiella risken för L1TF- och MDS-sårbarheterna för konfidentialitet för VBS bör överväga att inaktivera HT för att minska denna ytterligare risk.

Kunder som vill eliminera risken som L1TF- och MDS-sårbarheterna utgör, oavsett om det gäller konfidentialiteten för Hyper-V-versioner som är tidigare än Windows Server 2016 eller VBS-säkerhetsfunktioner, måste väga beslutet och överväga att inaktivera HT för att minska risken. I allmänhet kan detta beslut baseras på följande riktlinjer:

• För Windows 10 version 1607, Windows Server 2016 och nyare system som inte kör Hyper-V och inte använder VBS-skyddade säkerhetsfunktioner bör kunderna inte inaktivera HT.

• För Windows 10 version 1607, Windows Server 2016 och nyare system som kör Hyper-V med Core Scheduler, men inte använder VBS-skyddade säkerhetsfunktioner, bör kunderna inte inaktivera HT.

• För Windows 10 version 1511, Windows Server 2012 R2 och tidigare system som kör Hyper-V, måste kunderna överväga att inaktivera HT för att minimera risken.

De steg som krävs för att inaktivera HT skiljer sig från OEM till OEM. De ingår dock vanligtvis i KONFIGURATIONs- och konfigurationsverktygen för BIOS eller inbyggd programvara.

Microsoft har också introducerat möjligheten att inaktivera Hyper-Threading teknik via en programvaruinställning om det är svårt eller omöjligt att inaktivera HT i bios- eller inbyggda programvarans konfigurationsverktyg. Programvaruinställningen för att inaktivera HT är sekundär till BIOS- eller firmwareinställningen och är inaktiverad som standard (vilket innebär att HT följer BIOS- eller firmwareinställningen). Mer information om den här inställningen och hur du inaktiverar HT med hjälp av den finns i följande artikel:

4072698 Windows Server-vägledning för skydd mot spekulativ exekvering

När det är möjligt rekommenderar vi att du inaktiverar HT i BIOS eller inbyggd programvara för att garantera att HT är inaktiverat.

Obs! Om du inaktiverar hyperthreading minskas cpu-kärnorna. Detta kan påverka funktioner som kräver minsta cpu-kärnor för att fungera. Till exempel Windows Defender Application Guard (WDAG).

Aktivera Hyper-V core scheduler och ange antalet vm-maskinvarutrådar per kärna till 2

Obs! De här åtgärdsstegen gäller endast för Windows Server 2016 och Windows 10 versioner som är tidigare än version 1809. Huvudschemaläggaren är aktiverad som standard i Windows Server 2019 och Windows 10 version 1809.

Att använda den grundläggande schemaläggaren är en tvåstegsprocess som kräver att du först aktiverar schemaläggaren på Hyper-V-värden och sedan konfigurerar varje virtuell dator att dra nytta av den genom att ange deras maskinvarutrådantal per kärna till två (2).

Hyper-V core scheduler som introducerades i Windows Server 2016 och Windows 10 version 1607 är ett nytt alternativ till den klassiska scheduler-logiken. Den grundläggande schemaläggaren erbjuder minskad prestandavariation för arbetsbelastningar i virtuella datorer som körs på en HT-aktiverad Hyper-V-värd.

En detaljerad beskrivning av Hyper-V:s huvudschemaläggare och hur du aktiverar det finns i följande artikel i Windows IT Pro Center:

Förstå och använda hypervisorschemaläggningstyper för Hyper-V

Om du vill aktivera Hyper-V core scheduler på Windows Server 2016 eller Windows 10 anger du följande kommando:

bcdedit /set HypervisorSchedulerType core

Bestäm sedan om du vill konfigurera antalet maskinvarutrådar för en viss virtuell dator per kärna till två (2). Om du visar att virtuella processorer är hypertrådade till en virtuell gästdator kan du aktivera schemaläggaren i operativsystemet för den virtuella datorn och även vm-arbetsbelastningarna för att använda HT i sina egna schemaläggningar. Det gör du genom att ange följande PowerShell-kommando, där <VMName -> är namnet på den virtuella datorn:

Set-VMProcessor -VMName <VMName> -HwThreadCountPerCore 2

Aktivera lösningar för rådgivare CVE-2017-5715, CVE-2017-5754 och CVE-2019-11135

Obs! De här lösningarna är aktiverade som standard på Windows Server 2019- och Windows-klientoperativsystem.

Använd anvisningarna i följande artiklar för att aktivera lösningar för rådgivare CVE-2017-5715, CVE-2017-5754 och CVE-2019-11135:

4072698 Windows Server-vägledning för skydd mot spekulativ exekvering

4073119 Windows-klientvägledning för IT-proffs som skyddar mot spekulativ exekvering

Obs! Dessa lösningar omfattar och aktiverar automatiskt begränsningen av säkra sidramar för Windows kernel och även för de åtgärder som beskrivs i CVE-2018-3620. En detaljerad beskrivning av hur du åtgärdar säkra sidramar finns i följande artikel i Security Research & Defense Blog:

Analys och begränsning av L1 Terminal Fault (L1TF)