Virtuális biztonságos mód (VSM) a Windows 10 Enterprise rendszerben

A Windows 10 Enterprise rendszerben (csak ebben a kiadásban) egy új Hyper-V összetevő jelent meg - Virtuális Biztonságos Mód (VSM). A VSM egy védett tároló (virtuális gép), amely hipervizoron fut, és el van választva a Windows 10 gazdagéptől és kernelétől. Biztonsági szempontból kulcsfontosságú rendszerelemek futnak ebben a védett virtuális tárolóban. A VSM-ben nem lehet harmadik féltől származó kódot végrehajtani, és a kód sértetlenségét folyamatosan ellenőrzik a módosítások érdekében. Ez az architektúra lehetővé teszi az adatok védelmét a VSM-ben, még akkor is, ha a Widows 10 gazdagép kernelje sérül, mert még a kernel sem tud közvetlenül hozzáférni a VSM-hez.

A VSM-tároló nem csatlakoztatható a hálózathoz, és senki sem kaphat adminisztrátori jogosultságokat. A titkosítási kulcsok, a felhasználói hitelesítési adatok és egyéb, a kompromisszum szempontjából fontos információk tárolhatók a Virtual Secure Mode tárolóban. Így a hacker nem tud behatolni a vállalati struktúrába a tartomány felhasználói fiókjainak helyi gyorsítótárazott adataival.

A következő rendszerkomponensek működhetnek a VSM-en belül:

1. Az LSASS (Helyi biztonsági alrendszer-szolgáltatás) a helyi felhasználók hitelesítéséért és elkülönítéséért felelős összetevő. (Így a rendszer védve van a „pass the hash” típusú támadásoktól és az olyan eszközöktől, mint a mimikatz link.) Ez azt jelenti, hogy a rendszerben regisztrált felhasználók jelszavai (és/vagy hash-ei) még a felhasználó számára sem válhatnak elérhetővé. helyi rendszergazdai jogosultságokkal.

2. A Virtuális TPM (vTPM) egy szintetikus TPM-eszköz vendéggépekhez, amely a lemez tartalmának titkosításához szükséges.

3. Az operációs rendszer kódjának integritását figyelő rendszer megvédi a kódot a módosításoktól

A VSM használatához a környezetnek meg kell felelnie a következő hardverkövetelményeknek:

• UEFI, Secure Boot és Trusted Platform Module (TPM) támogatás a biztonságos kulcstároláshoz

• Hardveres virtualizáció támogatása (VT-x, AMD-V vagy újabb)

A virtuális biztonságos mód (VSM) engedélyezése a Windows 10 rendszerben

Nézzük meg, hogyan lehet engedélyezni a virtuális biztonságos módot a Windows 10 rendszerben.

• Az UEFI Secure Boot funkciót engedélyezni kell.

• A Windows 10-nek szerepelnie kell a tartományban. (A VSM csak a tartományi felhasználói fiókokat védi, a helyieket nem.)

• A Hyper-V szerepkört Windows 10-be kell telepíteni. (A mi esetünkben először a Hyper-V Platformot kellett telepíteni, majd a Hyper-V Management Tools-t)

  

• A virtuális biztonságos módot (VSM) engedélyezni kell egy speciális házirendben a Csoportházirend-szerkesztőben (gpedit.msc): Számítógép konfigurációja -> Felügyeleti sablonok -> Rendszer -> Eszközőr -> Virtualizáción alapuló biztonság bekapcsolása. Engedélyezze ezt a házirendet, és válassza a Biztonságos rendszerindítás lehetőséget a Platform biztonsági szintjének kiválasztása részben. Itt jelölje be a Credential Guard engedélyezése (LSA elkülönítés) lehetőséget is.

  

• bcdedit /set vsmlaunchtype auto

• Indítsa újra a számítógépet

Hogyan győződjön meg arról, hogy a VSM be van kapcsolva

Győződjön meg arról, hogy a VSM aktív, ha a Biztonságosrendszer folyamat megtalálható a Feladatkezelőben.

Vagy ha „Credential Guard (Lsalso.exe) elindult, és megvédi az LSA hitelesítő adatait ” esemény szerepel a rendszernaplóban.

A VSM biztonság tesztelése

Jelentkezzen be tartományi fiókkal azokra a gépekre, amelyeken engedélyezve van a VSM, és futtassa a következő mimikatz parancsot a helyi rendszergazdai jogosultságokkal:

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

Láthatjuk, hogy az LSA elszigetelt környezetben fut, és a felhasználói jelszókivonatok nem szerezhetők be.

Ha ugyanezt egy olyan gépen teszi meg, ahol a VSM le van tiltva, akkor megkaphatjuk a felhasználói jelszó NTLM-kivonatát, amelyet átengedő támadásokhoz használhatunk.

Hivatkozás: Virtuális biztonságos mód (VSM) engedélyezése a Windows 10 Enterprise Build 10130 rendszerben