Mobilné Správy, Gadgety, Blogy's Secenziami

Varför du behöver Windows-servrar med säkra kärnor

Obs: Följande artikel hjälper dig med: Varför du behöver Windows-servrar med säkra kärnor

Microsoft har fokuserat på hårdvarubaserad säkerhet nyligen, med Windows 11 som kräver användning av TPM och andra säkerhetssystem för att säkerställa att din programvara är säker och att ditt operativsystem inte har äventyrats. Den hårdvarubaserade strategin för säkerhet är inte bara för stationära och personliga system; Windows Server 2022 ger många av dessa verktyg till ditt datacenter.

SER: Programvaruinstallationspolicy (TechRepublic)

Hårdvarubaserad säkerhet är en viktig del av att säkra moderna system, eftersom tekniker som behållare och virtualisering tar bort dina arbetsbelastningar från det underliggande värdoperativsystemet. Ju mer vi ignorerar värdoperativsystemet, desto mer måste det vara säkert, eftersom det är styrenheten för alla dina applikationer och tjänster. De kan alla vara isolerade från varandra, men de är alla synliga för värden. En kompromiss på den nivån riskerar inte en applikation, den riskerar att allt körs på servern, speciellt om du kör ett privat eller hybridmoln.

Vad är säker kärna i Windows-servrar?

Det är där den säkrade kärnservern kommer in, med hjälp av hårdvarubaserade säkerhetsverktyg för att skydda dina servrar direkt från det ögonblick de börjar starta. Avsikten är att försvara dina system genom att förhindra att skadlig kod körs, antingen genom att kontrollera koden när den körs eller genom att använda digitala signaturer för att autentisera applikationer och drivrutiner. Secured-core bygger på hårdvarusäkerhetsfunktionerna inbyggda i moderna processorer, som AMD:s ASP-säkra processor, som hjälper till att hantera och låsa den betrodda exekveringsmiljön som används för säker uppstart.

Microsoft fokuserar på att använda en root-of-trust för att hantera sin säkrade kärnplattform, med början med välbekanta TPM-baserade system. Trusted Platform Module är antingen hårdvaru- eller firmware-baserad, och tillhandahåller en säker miljö för att lagra krypteringsnycklar, certifikat och andra digitala signaturer samt kontrollsummor och hash. Den behöver inte vara särskilt stor; det behöver bara vara säkert. Säkrade kärnsystem behöver en andra generationens TPM.

Den första och mest uppenbara uppgiften är att använda TPM för att säkerställa integriteten hos en servers BIOS och firmware, med hjälp av pro-laddade signaturer. Dessa konfigureras när hårdvaran byggs och beror på servertillverkaren. Att ha detta på plats redan innan operativsystemet är installerat ger dig ett sätt att kontrollera att din server inte har manipulerats innan den börjar starta. Detta leder sedan till en liknande säker starttjänst som den som används av Windows.

Genom att använda TPM för att hantera signaturer kan vi använda det som en del av vad Microsoft beskriver som en dynamisk rot av förtroende för mätning. Sättet som system startar på förändras över tiden, eftersom programuppdateringar och nya tjänster installeras. Det innebär att mäta hur de olika komponenterna lastar och lagra och kontrollera dessa mätningar. DRTM ger dig ett annat sätt att säkerställa att din miljö startar upp korrekt, vilket minskar risken för dina servrar av root-kit och annan skadlig programvara på låg nivå.

Använder virtualiseringsbaserad säkerhet

En viktig aspekt av säker kärna är virtualiseringsbaserad säkerhet. Här drar Windows Server fördel av hypervisorfunktionaliteten inbyggd i moderna processorer för att isolera nyckelprocesser från resten av Windows. Så, till exempel, kör den en hårt fokuserad miljö under inloggning som hjälper till att skydda dina administratörsuppgifter. Program som körs i bakgrunden kan inte interagera med den virtualiserade inloggningsmiljön, så skadlig programvara kan inte snoka på dina tangenttryckningar och fånga lösenord och ID:n.

VBS stöder mycket mer än Windows inloggningstjänster. Det tillhandahåller en isolerad, säker del av minnet som kan användas av Windows för att hantera olika säkerhetsverktyg och skydda dem från utnyttjande. Med det här virtuella säkra läget är det möjligt att kontrollera koden innan den körs, hantera hur Windows skapar nya minnessidor, kontrollera dem innan de tillåts köras. Som en extra försiktighetsåtgärd kan kod inte skriva till en körbar sida, vilket avsevärt minskar risken för buffertspill.

P√• liknande s√§tt l√§gger Hypervisor-skyddad kodintegritet till ytterligare ett skyddslager till Windows-k√§rnan. Kallas i Windows s√§kerhetsinst√§llningar som Memory Integrity, detta anv√§nds f√∂r att kontrollera all k√§rnl√§geskod, som drivrutiner, innan den k√∂rs, vilket g√∂r att Windows kan blockera osignerade drivrutiner. √Ąven om skadlig programvara kommer in i k√§rnan, minskar de olika niv√•erna av VBS risken f√∂r att den ska kunna komma √•t data eller den underliggande Windows-plattformen. Den h√§r funktionen √§r k√§rnan i de signerade drivrutinsverktygen som Microsoft utvecklar, s√•v√§l som dess nyligen tillk√§nnagivna smarta applikationskontrolltj√§nst.

En fördel med dessa tekniker är att de inte bara skyddar system från skadlig programvara, de kan också minska risken för buggar som påverkar dina servrar. Det är en användbar slump att många av de tekniker som används av skadlig programvara är mycket lika vanliga drivrutins- och kärnlägesfel. Att hålla systemen pålitliga är en användbar bieffekt av verktyg som HVCI och VBS.

Hantera säker kärna

Du kan hantera säkrade kärnfunktioner från Windows Admin Center, aktivera det på hårdvara som stöds utan att behöva hantera maskiner individuellt. Medan den största fördelen kommer från att köra säkrade kärnserververktyg från första uppstart på en ny server, där det är möjligt att mäta allt på ett rent system, finns det fortfarande värde i att aktivera tjänster som minnesintegritet. Det beror på att även om det kan finnas skadlig programvara som lurar på dina servrar, som en del av ett avancerat ihållande hot, ger dessa tekniker en bättre skyddsnivå än en osäkrad server.

Microsoft tillhandahåller andra hanteringsverktyg för säkrade kärnsystem, till exempel att använda det med MDM-levererade policyer för att låsa konfigurationer. Det är väldigt enkelt för alla med administratörsbehörighet att av misstag stänga av en säker kärntjänst, och därför måste vi ha ytterligare skydd som återställer ändringar så snart de har gjorts. Så, till exempel, om HVCI krävs och stängs av, kommer den automatiskt att slås på igen, så att servrarna följer din centralt tillämpade säkerhetsbaslinje.

Detta är bara den första generationen av Microsofts säkra kärnansats. Den andra generationen bygger på teknologier som dess Pluton säkerhetssamprocessor, vilket ger en mer proaktiv skyddsmodell än den relativt passiva TPM. En fördel med Pluton är att det är enkelt att hålla säkerhetsundersystemet uppdaterat, med samma verktyg som Microsoft använder för sin Azure Sphere säkra Internet of Things-plattform, uppdateringar pushas regelbundet, ungefär som Patch Tuesday, men på hårdvarunivå. Så du kommer alltid att köra den senaste versionen av din processors säkerhetsfirmware, utan att behöva hantera uppdateringar över ett helt datacenter med servrar.

Det √§r viktigt att komma ih√•g att s√§krad k√§rna bara √§r ett verktyg f√∂r att g√∂ra dina system s√§krare. √Ąven n√§r den k√∂rs b√∂r du inte sl√§ppa dina befintliga s√§kerhetsmodeller och verktyg. En dedikerad angripare har fortfarande m√∂jligheter; det √§r bara det att de nu m√•ste arbeta p√• en niv√• √∂ver Windows-k√§rnan och attackera delar av stacken.

Trots det är det naturligtvis ingen anledning att ignorera att implementera säkrade kärnservrar i ditt nätverk. Säker kärna kanske inte är ett universellt försvar, men det minskar risken avsevärt med mycket lite arbete som behövs från din sida. Och det kommer alltid att vara en vinst.

Table of Contents