搜索

[12625] 2018-04-24_微软发布WindowsDefenderSystemGuard运行时认证技术

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-04-24_微软发布WindowsDefenderSystemGuard运行时认证技术 微 软 发 布 W i n d o w s   D e f e n d e r   S y s t e m   G u a r d 运 行 时 认 证 技 术 A n g e l a Y   F r e e B u f   2 0 1 8 - 0 4 - 2 4 上 周 ， 微 软 推 出 了 一 项 新 的 上 周 ， 微 软 推 出 了 一 项 新 的   W i n d o w s   平 台 安 全 技 术 ： 平 台 安 全 技 术 ： W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 。 这 项 技 术 运 行 时 认 证 。 这 项 技 术 主 要 用 于 应 对 软 件 中 的 攻 击 ， 与 主 要 用 于 应 对 软 件 中 的 攻 击 ， 与   C r e d e n t i a l   G u a r d   一 样 ， 利 用 基 于 虚 拟 化 安 全 中 涉 及 的 源 于 硬 件 的 安 全 技 术 。 一 样 ， 利 用 基 于 虚 拟 化 安 全 中 涉 及 的 源 于 硬 件 的 安 全 技 术 。 微 软 表 示 ， 希 望 用 户 能 够 控 制 自 己 的 设 备 ， 了 解 设 备 的 安 全 健 康 状 况 。 如 果 重 要 的 安 全 功 能 失 效 ， 用 户 可 以 及 时 注 意 到 并 及 时 应 对 。 而   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 这 项 新 的   W i n d o w s   平 台 安 全 技 术 就 可 以 满 足 这 些 需 求 。 在   W i n d o w s   1 0   F a l l   C r e a t o r s   更 新 中 ， 微 软 工 作 人 员 将 所 有 系 统 完 整 性 功 能 重 新 组 织 到   W i n d o w s   D e f e n d e r   S y s t e m G u a r d   中 。 内 置 于 核 心   W i n d o w s   操 作 系 统 中 的 W i n d o w s   D e f e n d e r   S y s t e m   G u a r d 运 行 时 认 证 将 逐 步 适 用 于   W i n d o w s   的 所 有 版 本 。 很 多 漏 洞 利 用 都 会 针 对 安 全 技 术 发 起 攻 击 ， 以 便 在 相 同 信 任 域 中 运 行 。 例 如 ， 特 权 进 程 就 是 用 于 提 供 （ 至 少 是 代 码 和 数 据 层 面 的 ） 隔 离 环 境 ， 与 普 通 的 用 户 模 式 进 程 隔 离 开 来 。 N T   内 核 根 据 执 行 进 程 对 象 中 保 存 的 某 些 值 确 定 进 程 是 否 受 到 保 护 ， 通 过 内 核 漏 洞 或 驱 动 程 序 （ 例 如   M i m i k a t z ） 篡 改 这 些 值 就 能 有 效 地 破 坏 进 程 保 护 。 因 此 ， 将 与 篡 改 相 关 的 安 全 决 策 移 至 单 独 的 信 任 域 会 增 加 攻 击 者 的 攻 击 复 杂 程 度 。 运 行 时 认 证 适 用 于 多 个 场 景 ： 运 行 时 认 证 适 用 于 多 个 场 景 ： 为 端 点 检 测 和 响 应 （ E D R ） 以 及 杀 软 供 应 商 提 供 补 充 信 号 （ 包 括 与   W i n d o w s   D e f e n d e r   高 级 威 胁 防 护 堆 栈 的 完 全 集 成 ） ； 检 测 内 核 篡 改 、 R o o t k i t 和 漏 洞 等 问 题 ； 受 保 护 的 游 戏 反 作 弊 方 案 （ 例 如 ， 检 测 可 导 致 游 戏 状 态 修 改 的 进 程 保 护 旁 路 ） ； 敏 感 交 易 （ 银 行 应 用 程 序 、 交 易 平 台 ） 有 条 件 访 问 （ 启 用 和 增 强 基 于 设 备 安 全 的 访 问 策 略 ） 第 一 阶 段 的   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 将 在 下 一 次   W i n d o w s   1 0   更 新 中 推 出 ， 为 未 来 的 创 新 奠 定 基 础 。 这 项 技 术 有 助 于 构 建 新 的 操 作 系 统 功 能 ， 以 便 在 系 统 遭 遇 完 全 入 侵 的 情 况 下 （ 例 如 通 过 内 核 级 漏 洞 利 用 ） 检 测 入
侵 行 为 ， 并 有 效 沟 通 。 认 证 与 建 议 信 任 认 证 与 建 议 信 任 要 在 技 术 层 面 上 引 入   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 ， 最 好 从 最 明 显 的 层 级 开 始 ， 例 如 最 终 可 以 向 依 赖 方 公 开 的 客 户 端   A P I 。 因 此 ， 微 软 也 正 在 开 发 可 使 用 运 行 时 认 证 的 客 户 端   A P I 。 这 个   A P I   将 提 供 一 份 运 行 时 报 告 ， 详 细 说 明   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 时 系 统 的 安 全 状 态 ， 具 体 包 括 敏 感 系 统 属 性 的 运 行 时 间 测 量 。 为 了 使 运 行 时 报 告 真 正 实 现 重 要 意 义 ， 必 须 以 提 供 合 理 阻 止 篡 改 方 案 的 方 式 生 成 运 行 时 报 告 。 这 就 要 求 ： 运 行 时 报 告 生 成 必 须 与 攻 击 者 隔 离 ； 这 种 隔 离 必 须 是 可 以 证 明 的 ； 运 行 时 报 告 必 须 以 在 隔 离 环 境 之 外 无 法 再 现 的 方 式 进 行 加 密 签 名 运 行 时 认 证 技 术 还 涉 及 到 运 行 时 认 证 技 术 还 涉 及 到   V B S   围 圈 （ 围 圈 （ e n c l a v e s ） 的 概 念 ， ） 的 概 念 ， V B S   围 圈 是 指 基 于 虚 拟 化 安 全 的 内 存 中 受 保 护 执 行 围 圈 是 指 基 于 虚 拟 化 安 全 的 内 存 中 受 保 护 执 行 区 域 。 区 域 。 在 启 用 虚 拟 安 全 模 式 （ V S M ） 的 设 备 上 ， 采 用 底 层 指 令 集 架 构 （ I S A ） 的 虚 拟 化 扩 展 将 会 从 逻 辑 上 把 系 统 划 分 为 两 个 （ 理 论 上 更 多 ） 独 立 的 区 域 ： 常 见 的 运 行   N T   内 核 的 “ 正 常 ” 世 界 和 运 行 安 全 内 核 （ S K ） 的 独 立 ’ 安 全 ’ 世 界 。 这 两 个 独 立 区 域 就 称 作 “ 虚 拟 信 任 级 别 ” （ V T L ） ， 其 中   N T   是   V T L - 0 ， S K   是   V T L - 1 。 V B S   围 圈 使 得 “ 正 常 ” V T L - 0   用 户 模 式 过 程 的 孤 立 部 分 成 为 可 能 。 这 个 孤 立 部 分 所 有 代 码 和 数 据 都 存 在 于   V T L - 1   中 。 一 个 围 圈 内 外 的 事 务 都 通 过 一 个 定 义 良 好 的 、 由   V S L   调 用 （ N T   和   S K   用 于 通 信 的 机 制 ） 支 持 的   A P I   来 完 成 。 结 果 就 是 ， 从   W i n d o w s   F a l l   C r e a t o r s   U p d a t e （ 1 7 0 9 ） 开 始 ， 可 以 在 一 个 区 域 内 执 行 代 码 并 保 存 数 据 ， 从 而 导 致 整 个   V T L - 0   “ 正 常 ” 模 式 （ 包 括 用 户 模 式 和 内 核 模 式 ） 在 执 行 过 程 中 和 保 持 在 围 圈 内 （ 在   V T L - 1   中 ） 时 ， 不 能 直 接 作 用 于 孤 立 代 码 和 数 据 。 在   V B S   围 圈 中 ， 运 行 时 认 证 组 件 可 以 观 察 并 证 明 报 告 中 包 含 的 一 组 安 全 属 性 。 例 如 ， 应 用 程 序 可 以 要 求   W i n d o w s D e f e n d e r   S y s t e m   G u a r d   从 硬 件 支 持 的 区 域 测 量 系 统 的 安 全 性 并 返 回 报 告 。 应 用 程 序 可 以 使 用 此 报 告 中 的 详 细 信 息 来 决 定 是 执 行 敏 感 的 金 融 交 易 还 是 显 示 个 人 信 息 。 V B S   围 圈 还 可 以 暴 露 由 特 定   V B S   签 名 密 钥 签 署 的 围 圈 认 证 报 告 。 如 果   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   可 以 获 得 主 机 系 统 在   V S M   处 于 活 动 状 态 下 运 行 的 证 据 ， 则 可 以 使 用 此 证 明 和 签 署 的 会 话 报 告 来 确 保 特 定 围 圈 正 常 运 行 。 至 于 运 行 时 报 告 本 身 的 签 名 ， 会 在 围 圈 内 生 成 一 个 不 对 称 的 公 私 密 钥 对 。 公 钥 由   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   证 明 服 务 后 端 签 署 以 创 建 会 话 证 书 。 此 外 ， W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   证 明 服 务 后 端 会 生 成 一 个 签 名 的 会 话 报 告 ， 其 中 包 含 有 关 计 算 机 的 详 细 信 息 。 这 些 详 细 信 息 包 括 启 动 安 全 属 性 ， 包 括 启 用 安 全 启 动 的 计 算 机 是 否 启 动 ， 以 确 保 核 心 操 作 系 统 未 被 越 狱 或 篡 改 。 最 后 ， 运 行 时 报 告 由 配 对 的 私 钥 在 本 地 签 名 ， 该 私 钥 永 远 不 会 离 开 围 圈 。 依 赖 方 可 根 据 会 话 证 书 验 证 报 告 签 名 、 确 保 以   M i c r o s o f t   C A   为 根 的 证 书 签 名 有 效 ， 进 而 轻 松 验 证 运 行 时 和 会 话 报 告 。 因 此 ， 建 立 必 要 的 信 任 以 确 保 运 行 时 报 告 的 真 实 性 ， 需 要 以 下 信 息 ：
证 明 机 器 的 启 动 状 态 ： 操 作 系 统 、 管 理 程 序 和 安 全 内 核 （ S K ） 二 进 制 文 件 必 须 由   M i c r o s o f t   签 名 并 根 据 安 全 策 略 进 行 配 置 绑 定   T P M   与 管 理 程 序 的 运 行 状 况 之 间 的 信 任 关 系 ， 为 测 量 的 引 导 日 志 （ M e a s u r e d   B o o t   L o g ） 建 立 信 任 ； 从 测 量 的 启 动 日 志 中 提 取   V S M   I D K ， 并 使 用 它 们 来 验 证   V B S   围 圈 签 名 ； 上 述 后 端 验 证 以 及 用 可 信 任 C A 在 围 圈 内 生 成 的 临 时 密 钥 公 共 组 件 的 签 名 签 发 会 话 证 书 ； 使 用 临 时 私 钥 为 运 行 时 报 告 签 名 围 圈 与   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   认 证 服 务 之 间 的 网 络 调 用 都 来 自   V L T - 0 。 同 时 ， 认 证 协 议 能 够 确 保 即 使 在 不 可 信 的 传 输 机 制 下 也 能 够 抵 御 篡 改 。 在 充 分 建 立 上 述 信 任 链 之 前 ， 需 要 许 多 基 础 技 术 。 为 了 让 依 赖 方 了 解 自 己 可 以 获 取 运 行 时 报 告 中 信 任 级 别 的 任 何 特 定 配 置 ， 每 个   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   证 明 服 务 签 名 的 会 话 报 告 都 会 分 配 到 一 个 安 全 级 别 。 安 全 级 别 反 映 了 平 台 上 启 用 的 底 层 技 术 ， 并 根 据 平 台 的 功 能 确 定 信 任 级 别 。 微 软 工 作 人 员 正 在 将 各 种 安 全 技 术 的 实 现 映 射 到 安 全 级 别 中 ， 并 在 发 布   A P I   供 第 三 方 使 用 时 分 享 这 一 技 术 。 最 高 级 别 的 信 任 至 少 需 要 以 下 功 能 ： 支 持   V B S   的 硬 件 +   O E M   配 置 ； 启 动 时 的 动 态 信 任 根 测 量 ； 安 全 启 动 以 验 证 虚 拟 机 管 理 程 序 、 N T 、 S K   图 像 确 保 安 全 政 策 ： 虚 拟 机 监 控 程 序 代 码 完 整 性 （ H V C I ） 和 强 制 的 内 核 模 式 代 码 完 整 性 （ K M C I ） ； 禁 用 测 试 签 名 ； 禁 用 内 核 调 试 测 量 测 量 会 话 报 告 中 的 安 全 级 别 本 身 就 是 一 个 重 要 而 有 趣 的 指 标 。 而   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   可 以 提 供 更 多 功 能 ， 对 于 运 行 时 测 量 系 统 安 全 状 态 尤 其 有 效 。 我 们 称 这 个 运 行 时 间 测 量 组 件 为 “ 断 言 引 擎 ” ， 是 在 运 行 时 不 断 测 量 （ “ 断 言 ” ） 系 统 完 整 性 ， 证 明 启 动 时 安 全 态 势 的 安 全 级 别 。 一 些 注 意 事 项 ： 一 些 注 意 事 项 ： A .   “ 断 言 断 言 ” 引 擎 在 设 计 时 考 虑 了 理 想 的 系 统 配 置 （ 即 具 有 最 高 安 全 级 别 的 系 统 配 置 ） ； 引 擎 在 设 计 时 考 虑 了 理 想 的 系 统 配 置 （ 即 具 有 最 高 安 全 级 别 的 系 统 配 置 ） ； 在 安 全 级 别 最 低 的 情 况 下 ， 业 务 需 求 需 要   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 才 能 在 系 统 上 运 行 ； 在 这 种 情 况 下 ， W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 无 法 确 保 效 果 ， 并 且 可 以 充 当 非 锁 定   W i n d o w s   版 本 上 其 他 安 全 产 品 的 信 号 ； B .   在 运 行 理 想 配 置 时 ， 由 于 虚 拟 机 监 控 程 序 代 码 完 整 性 （ H V C I ） 和 强 制 的 内 核 模 式 代 码 完 整 性 （ K M C I ） 限 制 ， 非 R O P   内 核 模 式 代 码 执 行 很 困 难 ； 在 这 种 情 况 下 ： 更 可 能 造 成 数 据 损 坏 ； 在 非 竞 争 场 景 中 很 难 篡 改 任 何 所 需 的 内 核 模 式 代 理 ； 运 行 时 断 言 主 要 针 对 可 在 最 严 格 攻 击 条 件 下 合 理 执 行 的 攻 击 ； C .   微 软 正 在 努 力 突 破 （ 当 前 ） 操 作 系 统 设 计 的 限 制 ；
微 软 的 多 个 团 队 在 合 力 研 究 改 善   S y s t e m   G u a r d   运 行 时 认 证 和 核 心 内 核 安 全 功 能 。 在 当 前 版 本 的 操 作 系 统 中 ， 主 要 依 靠   N T   内 核 线 程 管 理 和 获 取 到 的 安 全 内 核 原 语 。 W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 体 系 结 构 的 高 级 概 览 在 架 构 上 ， 这 个 解 决 方 案 统 称 为   W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 监 视 器 ， 由 以 下 客 户 端 组 件 组 成 ： V T L - 1   断 言 引 擎 本 身 ； V T L - 0   内 核 模 式 代 理 ； 托 管 断 言 引 擎 的   V T L - 0   进 程 ， 被 称 为 “ 代 理 ” 为 了 快 速 响 应 威 胁 ， 微 软 选 择 了 一 种 动 态 脚 本 方 式 ， 以 便 经 常 发 布 更 新 。 此 外 ， 微 软 还 采 用 了 一 个 满 足 成 熟 度 、 占 用 空 间 和 性 能 要 求 的 开 源 库 。 此 脚 本 组 件 构 成 了 在   V T L - 1   中 执 行 的 断 言 引 擎 核 心 。 如 果 不 能 以 任 何 方 式 与 系 统 进 行 交 互 ， 在 此 引 擎 中 运 行 任 意 逻 辑 将 不 会 有 效 。 为 了 让 引 擎 执 行 有 用 的 工 作 ， 可 以 通 过 “ 助 手 ” 的 形 式 提 供 本 地 帮 助 。 这 些 协 助 通 过 代 理 服 务 或 内 核 模 式 代 理 在   V T L - 0   中 执 行 。 在   W i n d o w s   的 下 一 次 更 新 中 ， 断 言 逻 辑 通 过 带 内 传 送 的 （ 在 签 名 引 擎   D L L   内 部 ） 。 未 来 ， 这 些 脚 本 可 以 实 现 带 外 传 递 ， 这 也 是 设 计 的 核 心 部 分 。 这 有 助 于 迅 速 响 应 安 全 事 件 （ 例 如 ， 发 现 新 的 攻 击 不 变 量 ） ， 而 无 需 通 过 服 务 交 付 组 件 更 新 。 应 用 程 序 和 服 务 可 以 利 用 这 种 认 证 技 术 来 确 保 系 统 不 受 篡 改 ， 并 且 让 关 键 流 程 按 照 预 期 运 行 。 这 种 基 于 硬 件 的 “ 健 康 证 明 ” 可 用 于 识 别 受 感 染 的 机 器 ， 或 识 别 对 关 键 云 服 务 的 访 问 。 运 行 时 认 证 可 用 作 各 种 高 级 安 全 应 用 程 序 的 平 台 。 新 技 术 推 动 新 安 全 进 展 新 技 术 推 动 新 安 全 进 展 微 软 认 为 ， 通 过 现 代 硬 件 和 适 当 的 安 全 策 略 ， 可 以 显 著 提 高 锁 定 平 台 的 安 全 性 。 在 直 接 特 权 代 码 执 行 难 以 实 现 的 当 代 ， 将 会 有 越 来 越 多 的 攻 击 行 为 利 用 数 据 损 坏 发 起 入 侵 。 在 当 前 的 模 型 中 ， 瞬 间 变 化 也 是 一 个 挑 战 。 但 是 ， 未 来 的 创 新 将 导 致 持 久 性 更 难 实 现 ， 短 暂 的 恶 意 变 化 也 更 加 困 难 。 W i n d o w s   D e f e n d e r   S y s t e m   G u a r d   运 行 时 认 证 技 术 致 力 于 不 断 提 升 整 个   W i n d o w s   1 0   安 全 堆 栈 的 防 御 能 力 ， 从 而 让 攻 击 者 更 改 系 统 、 影 响 安 全 状 态 的 行 为 更 容 易 检 测 。 换 句 话 说 ， 运 行 时 认 证 更 多 的 是 检 测 可 能 代 表 着 攻 击 行 为 的 微 小 痕 迹 ， 而 不 是 寻 找 明 显 的 信 号 。 微 软 对 这 项 新 技 术 充 满 期 待 ， 认 为 这 项 技 术 有 可 能 在 平 台 安 全 方 面 取 得 重 大 进 展 。 更 多 细 节 将 会 陆 续 发 布 。 * 参 考 来 源 ： M i c r o s o f t   B l o g ， A n g e l a Y   编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理