מצב וירטואלי מאובטח (VSM) ב- Windows 10 Enterprise

ב- Windows 10 Enterprise (רק במהדורה זו), הופיע רכיב Hyper-V חדש - מצב מאובטח וירטואלי (VSM). VSM הוא גורם מכיל מוגן (מחשב וירטואלי) הפועל ב- Hypervisor ומופרד ממארח Windows 10 המארח ומהליבה שלו. חיוני מנקודת מבט של אבטחה, רכיבי מערכת פועלים בתוך מיכל וירטואלי מוגן זה. לא ניתן לבצע קוד של צד שלישי ב- VSM, ותקינות הקוד נבדקת כל הזמן לשינוי. ארכיטקטורה זו מאפשרת להגן על נתונים ב- VSM, גם אם הליבה של אלמנות המארח 10 נפגעת, מכיוון שאפילו הליבה אינה יכולה לגשת ישירות ל- VSM.

גורם מכיל VSM לא יכול להיות מחובר לרשת ואף אחד לא יכול לקבל הרשאות ניהול בו. מפתחות הצפנה, נתוני אימות משתמשים ומידע חיוני אחר מנקודת מבט של פשרה יכולים להיות מאוחסנים בגורם מכיל של מצב מאובטח וירטואלי. לפיכך, האקר לא יוכל לחדור למבנה הארגוני באמצעות נתונים המאוחסנים במטמון מקומי של חשבונות המשתמש של הדומיין.

רכיבי המערכת הבאים יכולים לפעול בתוך VSM:

  1. LSASS (Local Security Subsystem Service) הוא רכיב האחראי על אימות ובידוד של משתמשים מקומיים. (לכן, המערכת מוגנת מפני התקפות מסוג "להעביר את הגיבוב" וכלים כאלה, כמו קישור mimikatz). משמעות הדבר היא שהסיסמאות (ו/או קודי hash) של המשתמש הרשום במערכת אינם יכולים להיות זמינים אפילו עבור משתמש בעל הרשאות מנהל מקומיות.

  2. Virtual TPM (vTPM) הוא התקן TPM סינתטי עבור מחשבים אורחים הדרוש להצפנת תוכן דיסק

  3. המערכת לניטור שלמות קוד מערכת ההפעלה מגנה על הקוד מפני שינוי

הערה. טכנולוגיות אבטחה כאלה, כמו מכונות וירטואליות מוגנות ו- Device Guard פועלות גם ב- VSM. מערכות הפעלה מארחות ואורחות יכולות גם לקיים אינטראקציה עם גורם מכיל של מצב מאובטח וירטואלי באמצעות ממשקי API.

כדי להשתמש ב- VSM, הסביבה צריכה לעמוד בדרישות החומרה הבאות:

  • תמיכה ב-UEFI, אתחול מאובטח ומודול פלטפורמה מהימנה (TPM) לאחסון מפתחות מאובטח

  • תמיכה בווירטואליזציה של חומרה (VT-x, AMD-V ואילך)

כיצד להפעיל מצב מאובטח וירטואלי (VSM) ב- Windows 10

בואו נראה כיצד להפעיל מצב מאובטח וירטואלי Windows 10.

  • אתחול מאובטח של UEFI חייב להיות מופעל.

  • Windows 10 חייב להיכלל בתחום. (VSM מגן רק על חשבונות משתמשי תחום, לא חשבונות מקומיים.)

  • יש להתקין את תפקיד Hyper-V ב- Windows 10. (במקרה שלנו, היינו צריכים להתקין תחילה את פלטפורמת Hyper-V ולאחר מכן התקנו כלי ניהול Hyper-V)

  • יש להפוך את Virtual Secure Mode (VSM) לזמין במדיניות מיוחדת בעורך המדיניות הקבוצתית (gpedit.msc): תצורת מחשב -> תבניות ניהוליות -> מערכת -> Device Guard -> הפעל אבטחה מבוססת וירטואליזציה. הפוך מדיניות זו לזמינה ובחר באפשרות אתחול מאובטח תחת בחר רמת אבטחה של פלטפורמה. בדוק גם את Enable Credential Guard (בידוד LSA) כאן. 

  • bcdedit /set vsmlaunchtype auto

  • הפעל מחדש את המחשב

כיצד לוודא שה- VSM מופעל

באפשרותך לוודא שה- VSM פעיל אם קיים תהליך מערכת מאובטחת במנהל המשימות.

לחלופין, אם קיים האירוע "Credential Guard (Lsalso.exe) הופעל ויגן על אישורי LSA " ביומן המערכת.

כיצד לבדוק את אבטחת VSM

היכנס באמצעות חשבון תחום למחשבים כאשר VSM מופעל והפעל את הפקודה mimikatz הבאה עם הרשאות מנהל המערכת המקומי:

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

אנו יכולים לראות כי LSA פועל בסביבה מבודדת ולא ניתן להשיג קודי hash של סיסמת משתמש.

אם אתה עושה את אותו הדבר במחשב עם VSM מושבת, אנחנו יכולים לקבל hash NTLM של סיסמת משתמש, אשר ניתן להשתמש בו בהתקפות pass-the-hash.

מספר נכס: הפעלת מצב וירטואלי מאובטח (VSM) ב- Windows 10 Enterprise Build 10130