Segurança assistida por silício

Diagrama contendo uma lista de recursos de segurança.

Além de uma raiz de confiança de hardware moderna, existem vários recursos nos chips mais recentes que protegem o sistema operacional contra ameaças. Esses recursos protegem o processo de inicialização, protegem a integridade da memória, isolam a lógica de computação sensível à segurança e muito mais.

Kernel protegido

Para proteger o kernel, use dois recursos principais: segurança baseada em virtualização (VBS) e integridade de código protegida por hipervisor (HVCI). Todos os dispositivos Windows 11 oferecem suporte a HVCI e vêm com a proteção VBS e HVCI ativada por padrão na maioria ou em todos os dispositivos.

Segurança baseada em virtualização (VBS)

A segurança baseada em virtualização (VBS), também conhecida como isolamento de núcleo, é um bloco de construção crítico em um sistema seguro. A VBS usa recursos de virtualização de hardware para hospedar um kernel seguro separado do sistema operacional. Essa separação significa que, mesmo que o sistema operacional seja comprometido, o kernel seguro permanecerá protegido. O ambiente isolado da VBS protege processos, como soluções de segurança e gerenciadores de credenciais, de outros processos em execução na memória. Mesmo que o malware obtenha acesso ao kernel principal do sistema operacional, o hipervisor e o hardware de virtualização ajudam a impedir que o malware execute código não autorizado ou acesse segredos da plataforma no ambiente VBS. A VBS implementa o VTL1 (nível de confiança virtual) 1, que tem privilégios mais altos do que o VTL0 (nível de confiança virtual) implementado no kernel principal.

Diagrama da arquitetura VBS.

Como os níveis de confiança virtual (VTLs) mais privilegiados podem impor suas próprias proteções de memória, as VTLs mais altas podem proteger efetivamente áreas de memória de VTLs mais baixas. Na prática, essa proteção permite que uma VTL inferior proteja regiões de memória isoladas contando com uma VTL mais alta. Por exemplo, VTL0 pode armazenar um segredo na VTL1, momento em que apenas VTL1 pode acessá-lo. Mesmo que VTL0 esteja comprometido, o segredo permanece seguro.

Saiba mais

Integridade de código protegida por hipervisor (HVCI)

A HVCI (integridade de código protegida por hipervisor), também chamada de integridade de memória, aproveita a VBS para mover as decisões de integridade de código do kernel para um ambiente protegido por hipervisor, reduzindo a dependência do kernel do Windows para impor a confiança, enquanto todo o código do kernel continua a ser executado no kernel normal. Esse recurso ajuda a evitar ataques que tentam modificar o código do modo kernel para coisas como drivers. A KMCI verifica se todo o código do kernel está assinado corretamente e não foi adulterado antes de ser executado. A HVCI garante que apenas o código validado possa ser executado no modo kernel. O hipervisor usa extensões de virtualização do processador para impor proteções de memória que impedem que o software no modo kernel execute código que o subsistema de integridade de código não valida primeiro. A HVCI protege contra ataques comuns, como o WannaCry, que dependem da capacidade de injetar código mal-intencionado no kernel. A HVCI pode impedir a injeção de código de modo kernel mal-intencionado mesmo quando drivers e outros softwares de modo kernel têm bugs.

Com novas instalações do Windows 11, o sistema operacional ativa o suporte para VBS e HVCI por padrão para todos os dispositivos que atendem aos pré-requisitos.

Saiba mais

HVPT (Tradução de Paginação Imposta por Hipervisor)

A HVPT (Conversão de Paginação Imposta por Hipervisor) é um aprimoramento de segurança que reforça a integridade do endereço virtual convidado para traduções de endereços físicos de convidado para ajudar a proteger dados críticos do sistema contra ataques write-what-where, em que o invasor pode gravar um valor arbitrário em um local arbitrário, geralmente como resultado de um estouro de buffer. O HVPT ajuda a proteger tabelas de páginas que configuram estruturas de dados críticas do sistema.

Proteção de pilha aplicada por hardware

A proteção de pilha imposta por hardware integra software e hardware para uma defesa moderna contra ameaças cibernéticas, como corrupção de memória e explorações de dia zero. Com base na CET (Tecnologia de Imposição de Fluxo de Controle) da Intel e AMD Shadow Stacks, a proteção de pilha imposta por hardware foi projetada para proteger contra técnicas de exploração que tentam sequestrar endereços de retorno na pilha.

O código do aplicativo inclui uma pilha de processamento de programa que os hackers procuram corromper ou interromper em um tipo de ataque chamado quebra de pilha. Quando defesas como proteção de espaço executável começaram a impedir esses ataques, os hackers recorreram a novos métodos, como a programação orientada para o retorno. A programação orientada a retorno, uma forma de esmagamento avançado de pilha, pode contornar as defesas, sequestrar a pilha de dados e, por fim, forçar um dispositivo a realizar operações prejudiciais. Para se proteger contra esses ataques de sequestro de fluxo de controle, o kernel do Windows cria uma pilha de sombra separada para endereços de retorno. O Windows 11 estende os recursos de proteção de pilha para fornecer suporte ao modo de usuário e ao modo kernel.

Saiba mais

Proteção de DMA (acesso direto à memória) do kernel

O Windows 11 protege contra ameaças físicas, como ataques direcionados por DMA (acesso direto à memória). Os dispositivos hot-pluggable da PCIe (Interconexão de Componentes Periféricos), incluindo Thunderbolt, USB4 e CFexpress, permitem que os usuários conectem uma ampla variedade de periféricos externos a seus PCs com a mesma conveniência plug-and-play que o USB. Esses dispositivos abrangem placas gráficas e outros componentes PCI. Como as portas de hot-plug PCIe são externas e facilmente acessíveis, os PCs são suscetíveis a ataques direcionados por DMA. A proteção de acesso à memória (também conhecida como Proteção de DMA do Kernel) protege contra esses ataques, impedindo que periféricos externos obtenham acesso não autorizado à memória. Ataques direcionados por DMA geralmente acontecem rapidamente enquanto o proprietário do sistema não está presente. Os ataques usam ferramentas de ataque simples a moderadas, criadas com hardware e software acessíveis e prontos para uso que não exigem a desmontagem do computador. Por exemplo, o proprietário de um computador pode deixar um dispositivo para uma rápida pausa para o café. Enquanto isso, um invasor conecta uma ferramenta externa a uma porta para roubar informações ou injetar código que dá ao invasor controle remoto sobre os computadores, incluindo a capacidade de ignorar a tela de bloqueio. Com a proteção de acesso à memória integrada e habilitada, o Windows 11 ajuda a proteger contra ataques físicos, não importa onde as pessoas trabalhem.

Saiba mais

Computador de núcleo seguro e Secured-Core Edge

O relatório de sinais de segurança de março de 2021 descobriu que mais de 80% das empresas sofreram pelo menos um ataque de firmware nos últimos dois anos. Para clientes em setores sensíveis a dados, como serviços financeiros, governo e saúde, a Microsoft trabalhou com parceiros OEM para oferecer uma categoria especial de dispositivos chamados SCPCs (PCs de núcleo seguro) e uma categoria equivalente de dispositivos IoT incorporados chamada ESc (Edge Secured-Core). Os dispositivos são fornecidos com mais medidas de segurança habilitadas na camada de firmware, ou núcleo do dispositivo, que sustenta o Windows.

Os PCs de núcleo seguro e os dispositivos de borda ajudam a evitar ataques de malware e a minimizar as vulnerabilidades de firmware, iniciando em um estado limpo e confiável na inicialização com uma raiz de confiança imposta por hardware. A segurança baseada em virtualização vem habilitada por padrão. A HVCI (integridade de código protegida por hipervisor) integrada protege a memória do sistema, garantindo que todo o código executável do kernel seja assinado apenas por autoridades conhecidas e aprovadas. Os PCs de núcleo seguro e os dispositivos de borda também protegem contra ameaças físicas, como ataques direcionados por DMA (acesso direto à memória) com proteção de DMA do kernel.

Os computadores de núcleo seguro e os dispositivos de borda fornecem várias camadas de proteção robusta contra ataques de hardware e firmware. Ataques sofisticados de malware geralmente tentam instalar bootkits ou rootkits no sistema para evitar a detecção e obter persistência. Esse software mal-intencionado pode ser executado no nível do firmware antes do Windows ser carregado ou durante o próprio processo de inicialização do Windows, permitindo que o sistema seja iniciado com o nível mais alto de privilégio. Como os subsistemas críticos no Windows usam segurança baseada em virtualização, proteger o hipervisor se torna cada vez mais importante. Para garantir que nenhum firmware ou software não autorizado possa ser iniciado antes do carregador de inicialização do Windows, os computadores Windows contam com o padrão de inicialização segura UEFI (Unified Extensible Firmware Interface), um recurso de segurança de linha de base de todos os computadores com Windows 11. A Inicialização Segura ajuda a garantir que somente firmware e software autorizados com assinaturas digitais confiáveis possam ser executados. Além disso, as medições de todos os componentes de inicialização são armazenadas com segurança no TPM para ajudar a estabelecer um log de auditoria não repudiável da inicialização chamado SRTM (Raiz Estática de Confiança para Medição).

Milhares de fornecedores de OEM produzem vários modelos de dispositivos com diversos componentes de firmware UEFI, o que, por sua vez, cria um número incrivelmente grande de assinaturas e medições SRTM na inicialização. Como a Inicialização Segura confia inerentemente nessas assinaturas e medidas, pode ser um desafio restringir a confiança apenas ao que é necessário para inicializar em qualquer dispositivo específico. Tradicionalmente, listas de bloqueio e listas de permissão eram as duas principais técnicas usadas para restringir a confiança e continuam a se expandir se os dispositivos dependerem apenas de medições SRTM.

DRTM (Raiz dinâmica de confiança para medição)

Em computadores de núcleo seguro e dispositivos de borda, o Lançamento Seguro do System Guard protege a inicialização com uma tecnologia conhecida como DRTM (Raiz Dinâmica de Confiança para Medição). Com o DRTM, o sistema segue inicialmente o processo normal de Inicialização Segura da UEFI. No entanto, antes de iniciar, o sistema entra em um estado confiável controlado por hardware que força a CPU a seguir um caminho de código protegido por hardware. Se um rootkit ou bootkit de malware ignorar a Inicialização Segura UEFI e residir na memória, o DRTM o impedirá de acessar segredos e códigos críticos protegidos pelo ambiente de segurança baseado em virtualização. A tecnologia de redução da superfície de ataque do firmware (FASR) pode ser usada em vez da DRTM em dispositivos compatíveis, como o Microsoft Surface.

O isolamento do Modo de Gerenciamento do Sistema (SMM) é um modo de execução em processadores baseados em x86 que é executado em um privilégio efetivo mais alto do que o hipervisor. O SMM complementa as proteções fornecidas pelo DRTM ajudando a reduzir a superfície de ataque. Contando com recursos fornecidos por provedores de silício como Intel e AMD, o isolamento SMM impõe políticas que implementam restrições, como impedir que o código SMM acesse a memória do sistema operacional. A política de isolamento do SMM é incluída como parte das medidas DRTM que podem ser enviadas para um verificador como o Atestado Remoto do Microsoft Azure.

Diagrama de componentes de inicialização segura.

Saiba mais

Bloqueio de configuração

Em muitas organizações, os administradores de TI impõem políticas em seus dispositivos corporativos para proteger o sistema operacional e manter os dispositivos em um estado compatível, impedindo que os usuários alterem as configurações e criem desvios de configuração. O desvio de configuração ocorre quando usuários com direitos de administrador locais mudam as configurações e colocam o dispositivo fora de sincronização com as políticas de segurança. Dispositivos em um estado não compatível podem ficar vulneráveis até a próxima sincronização, quando a configuração for redefinida com a solução de gerenciamento de dispositivos.

O bloqueio de configuração é um recurso de núcleo seguro de computador e dispositivo de borda que impede que os usuários façam alterações indesejadas nas configurações de segurança. Com o bloqueio de configuração, o Windows monitora as chaves do Registro compatíveis e reverte para o estado desejado pela TI em segundos após detectar um desvio.

Saiba mais

  • Last updated on