Što je jezgrena izolacija?
U originalnom izdanju sustava Windows 10, značajke virtualizacije temeljene na virtualizaciji (VBS) bile su dostupne samo na Enterprise izdanjima sustava Windows 10 kao dio "Device Guard". Ažuriranjem travnja 2018, Core Isolation donosi neke sigurnosne značajke zasnovane na virtualizaciji za sve izdanja sustava Windows 10.
Neke značajke Core Isolation omogućene su prema zadanim postavkama na Windows 10 računalima koja zadovoljavaju određene zahtjeve hardvera i firmwarea, uključujući 64-bitni CPU i TPM 2.0 čip. Također zahtijeva da vaše računalo podržava tehnologiju virtualizacije Intel VT-x ili AMD-V te da je omogućeno u UEFI postavkama računala.
Kada su ove značajke omogućene, sustav Windows koristi značajke virtualizacije hardvera kako bi stvorio sigurno područje memorije sustava koja je izdvojena od uobičajenog operativnog sustava. Windows može pokrenuti procese sustava i sigurnosni softver na ovom sigurnom području. To štiti važne procese operacijskog sustava od toga da se neovlašteno pokreće bilo što što radi izvan sigurnog područja.
Čak i ako zlonamjerni softver radi na vašem računalu i zna eksploataciju koja bi joj trebala omogućiti da ispadne te procese u sustavu Windows, sigurnost zasnovana na virtualizaciji predstavlja dodatni sloj zaštite koji će ih izolirati od napada.
Što je integritet memorije?
Značajka poznata kao "Memorija integriteta" u sučelju sustava Windows 10 poznata je i kao "Htv kodirani integritet koda" (HvCI) u dokumentaciji tvrtke Microsoft.
Memorija integriteta je onemogućena prema zadanim postavkama na računalima koja su nadograđena na ažuriranje za travanj 2018., ali je možete omogućiti. To će biti omogućeno prema zadanim postavkama na novim instalacijama sustava Windows 10 koja ide dalje.
Ova je značajka podskup Core izolacije. Windows obično zahtijeva digitalne potpise za upravljačke programe uređaja i drugi kod koji radi u niskom nivou kernela u sustavu Windows. To osigurava da nisu zlonamjerni. Kada je omogućen "Memory Integrity", usluga "integriteta koda" u sustavu Windows pokreće se unutar kontejnera zaštićenog hypervisorom koju je izradila Core Isolation. To bi trebalo učiniti gotovo nemoguće da zlonamjerni softver poništi provjeru integriteta koda i dobije pristup kernelu sustava Windows.
Problemi s virtualnim strojem
Budući da Memory Integrity koristi virtualizacijski hardver sustava, on nije kompatibilan s programima virtualnog stroja kao što su VirtualBox ili VMware. Samo jedan program može koristiti ovaj hardver u isto vrijeme.
Možda ćete vidjeti poruku koja kaže da je Intel VT-X ili AMD-V nije omogućen ili dostupan ako instalirate program virtualnog stroja na sustav s mogućnošću uključivanja memorije. U VirtualBoxu možete vidjeti poruku o pogrešci "Raw-mode je nedostupna zahvaljujući Hyper-V" dok je omogućena zaštita memorije.
U svakom slučaju, ako naiđete na problem s softverom za virtualni stroj, morate ga onemogućiti da biste ga koristili.
Zašto je onemogućen prema zadanim postavkama?
Glavna značajka Osnovne izolacije ne bi trebala uzrokovati nikakve probleme. Omogućeno je na svim računalima sa sustavom Windows 10 koje ga mogu podržati, a nema sučelja za onemogućivanje.
Međutim, zaštita memorije integriteta može uzrokovati probleme s nekim upravljačkim programima za uređaje ili drugim aplikacijama sustava Windows niske razine, zbog čega je standardno onemogućen na nadogradnjama. Microsoft i dalje gura programere i proizvođače uređaja kako bi svoje upravljačke programe i softver kompatibilan, zbog čega je omogućeno prema zadanim postavkama na novim računalima i novim instalacijama sustava Windows 10.
Ako jedan od upravljačkih programa koje računalo zahtijeva za podizanje nije kompatibilno s memorijom zaštite, Windows 10 će tiho isključiti zaštitu memorije kako bi se osiguralo da vaše računalo može dignuti i raditi ispravno. Dakle, ako pokušate omogućiti i ponovno pokrenuti samo da biste pronašli da je još uvijek onemogućen, to je razlog zašto.
Ako naiđete na probleme s drugim uređajima ili neispravan softver nakon omogućivanja zaštite memorije, Microsoft preporučuje provjeru ažuriranja s određenim programom ili upravljačkim programom. Ako nema dostupnih ažuriranja, isključite zaštitu memorije.
Kao što smo već spomenuli, Memory Integrity neće biti kompatibilan s nekim programima koji zahtijevaju ekskluzivan pristup virtualizacijskom hardveru sustava, kao što su programi virtualnog stroja. Drugi alati, uključujući i neke debuggere, također zahtijevaju ekskluzivan pristup tom hardveru i neće raditi s omogućenom integracijom memorije.
Kako omogućiti integritet memorije jezgrene izolacije
Možete vidjeti je li vaše računalo omogućeno značajkama Core Isolation i uključili ili isključili zaštitu memorije od programa Windows Defender Security Center. (Ovaj će alat biti preimenovan u "Windows Security" u sklopu ažuriranja za listopad 2018.)
Da biste ga otvorili, potražite "Centar za sigurnost sustava Windows Defender" na izborniku Start ili prijeđite na Postavke> Ažuriranje i sigurnost> Sigurnost sustava Windows> Otvorite Centar za sigurnost sustava Windows Defender.
Da biste omogućili (ili onemogućili) zaštitu memorije, kliknite vezu "Pojedinosti osnovne izolacije".
Da biste omogućili integraciju memorije, okrenite prekidač na "Uključeno". Ako naiđete na probleme s programima ili uređajima i trebate onemogućiti Memory Integrity, vratite se ovdje i okrenite prekidač na "Isključeno".
Više značajki zaštite sustava Windows Defender
Izolacija jezgre i integritet memorije neke su od mnogih novih sigurnosnih značajki koje je Microsoft dodao kao dio sustava Windows Defender Exploit Guard. Ovo je zbirka značajki osmišljenih da osiguraju Windows od napada.
Iskorištavanje zaštite, koja štiti vaš operativni sustav i aplikacije od mnogih vrsta iskorištavanja, omogućeno je prema zadanim postavkama. To zamjenjuje stari Microsoftov alat tvrtke Microsoft i uključuje značajke za sprječavanje eksploatacije koje smo prethodno preporučili za instalaciju zlonamjernog softvera za zaštitu od zlonamjernih programa. Svi korisnici Windowsa 10 sada imaju zaštitu od iskorištavanja.
Tu je i kontrolirani pristup mapama, koji štiti vaše datoteke od otkupnine. Prema zadanim postavkama nije omogućen jer zahtijeva određenu konfiguraciju. Ako omogućite ovu značajku, morat ćete dopustiti pristup aplikacijama prije nego što mogu pristupiti datotekama u vašim osobnim mapama datoteka.
Napredovanje Memory Integrity bit će omogućeno prema zadanim postavkama na svim novim računalima, pružajući dodatnu zaštitu od napada. Moraju ga onemogućiti samo napredni korisnici koji koriste softver virtualnog stroja i druge alate koji zahtijevaju pristup hardveru virtualizacije sustava.
