Apa itu Keamanan Berbasis Virtualisasi (VBS) dan bagaimana cara kerjanya di Windows?

La keamanan berbasis virtualisasi, atau VBS, telah menjadi salah satu bagian kunci dari ekosistem keamanan Windows 10, Windows 11 dan Windows Server modern. Ini adalah salah satu fitur yang tidak dilihat oleh sebagian besar pengguna, tetapi fitur ini dapat membuat perbedaan antara serangan kernel yang berhasil dan sistem yang mampu bertahan bahkan melawan serangan tersebut. malware sangat canggih.

Pada saat bersamaan, VBS dan HCCI menimbulkan kekhawatiran tentang dampaknya terhadap kinerja.khususnya pada PC gaming atau sistem dengan perangkat keras lebih berpengalaman. Oleh karena itu, banyak pengguna bertanya-tanya apa sebenarnya fungsi teknologi ini, untuk apa, bagaimana cara mengaktifkan (atau menonaktifkannya), dan apa implikasi nyatanya terhadap keamanan, FPS, latensi, dan penggunaan CPU.

Apa itu Keamanan Berbasis Virtualisasi (VBS) di Windows?

La Keamanan Berbasis Virtualisasi (VBS) Ini adalah fitur keamanan Microsoft yang bergantung pada virtualisasi perangkat keras dan Hypervisor Windows untuk menciptakan lingkungan eksekusi terisolasi di dalam sistem itu sendiri. Lingkungan virtual ini menjadi semacam akar kepercayaan yang darinya diasumsikan skenario terburuk: bahwa kernel Windows dapat disusupi dan sumber daya penting tetap perlu dilindungi.

Dalam praktek, VBS merakit sebuah “mini-sistem” kecil yang terlindungi. menggunakan kemampuan virtualisasi CPU (Intel VT-x, AMD-V, dll.) dan menggunakannya untuk menjalankan berbagai solusi keamanan: integritas memori, Credential Guard, perlindungan terhadap bootAntara lain. Karena terpisah dari kernel normal, lingkungan ini jauh lebih sulit untuk diserang, bahkan dengan kerentanan zero-day pada sistem operasi.

Mekanisme ini memungkinkan bahwa sistem dan sumber daya keamanan yang sangat sensitif (seperti kredensial, kunci kriptografi, atau struktur kernel internal) tetap berada di luar jangkauan kode yang berjalan dalam mode kernel "normal", yang justru merupakan target favorit malware canggih.

Poin penting lainnya adalah itu VBS memberlakukan batasan yang sangat ketat tentang bagaimana memori kernel dikelola.Wilayah tertentu hanya dapat dieksekusi setelah melewati pemeriksaan integritas dalam lingkungan yang aman, dan setelah ditandai sebagai dapat dieksekusi, wilayah tersebut tidak dapat dimodifikasi. Dengan demikian, kerentanan buffer overflow atau kerusakan memori dapat memungkinkan penulisan ke memori, tetapi tidak mengubah memori tersebut menjadi kode yang dapat dieksekusi yang membahayakan seluruh sistem.

Saat VBS diaktifkan di dalam mesin virtual, varian dari Hyper-V di dalam sistem tamu itu sendiri Kemudian Windows berjalan di partisi root dari hypervisor internal tersebut. Seolah-olah sistem operasi membungkus dirinya sendiri di dalam lapisan virtualisasi untuk memperkuat pertahanannya.

Integritas memori mode kernel dan integritas kode (HVCI)

Dalam lingkup VBS (Sekolah Alkitab Liburan), salah satu bagian yang paling relevan adalah... integritas memori, Juga dikenal sebagai Integritas Kode yang Diberlakukan oleh Hypervisor (HVCI) atau integritas kode yang dilindungi oleh hypervisor. Fungsi ini memperkuat sistem dengan memverifikasi bahwa semua kode yang berjalan dalam mode kernel mematuhi aturan penandatanganan dan kepercayaan yang ketat.

Secara sederhana, HVCI memvalidasi setiap driver dan biner mode kernel. sebelum dimuat. Jika driver tidak ditandatangani dengan benar, telah diubah, atau berasal dari sumber yang tidak tepercaya, pemuatannya ke dalam memori akan diblokir. Ini menghilangkan salah satu vektor serangan klasik: menyusupkan driver berbahaya dengan hak akses yang lebih tinggi.

Selain itu, integritas memori Hal ini secara agresif membatasi bagaimana alokasi memori kernel dapat dilakukan.Halaman memori yang ditujukan untuk kode kernel yang dapat dieksekusi hanya menjadi dapat dieksekusi setelah melewati pemeriksaan integritas di lingkungan VBS dan tidak pernah dikembalikan ke halaman yang dapat ditulis. Hal ini mencegah teknik eksploitasi umum di mana kode disuntikkan ke dalam memori kernel dan dibuat dapat dieksekusi secara langsung.

HCCI juga melindungi struktur penting seperti bitmap dari Pelindung Aliran Kontrol (CFG) untuk driver kernel dan proses integritas kode itu sendiri yang memverifikasi komponen lain. Dengan cara ini, Kemampuan malware untuk memanipulasi alur eksekusi berkurang secara drastis. dari proses-proses istimewa.

Namun, semua perlindungan ini ada harganya: Hal ini menimbulkan beban tambahan pada CPU.yang mungkin lebih tinggi atau lebih rendah tergantung pada apakah prosesor tersebut menyertakan akselerasi perangkat keras seperti MBEC (Kontrol Eksekusi Berbasis Mode) atau yang setara, dan jenis beban kerja (game, rendering, dll.).

Persyaratan perangkat keras dan firmware untuk menggunakan VBS

Agar keamanan berbasis virtualisasi dapat diaktifkan sepenuhnya dan secara stabil, Windows membutuhkan serangkaian persyaratan perangkat keras dan firmware minimum.Memiliki sistem operasi modern saja tidak cukup; platform tersebut harus menyediakan kemampuan tertentu bagi sistem.

Pertama, wajib memiliki CPU 64-bit dengan ekstensi virtualisasiDalam dunia x86, itu berarti dukungan untuk Intel VT-x atau AMD-V. Tanpa hypervisor, tidak ada VBS, karena semua perlindungan dibangun di atas lapisan virtualisasi tersebut.

Kompatibilitas dengan terjemahan alamat tingkat kedua (SLAT)Di Intel, hal ini diimplementasikan melalui EPT (Extended Page Tables), dan di AMD melalui RVI atau NPT (Rapid Virtualization Indexing). SLAT mengurangi penalti kinerja tipikal dari virtualisasi dan memungkinkan VBS beroperasi dengan overhead yang dapat diterima.

Komponen kunci lainnya adalah memiliki IOMMU atau SMMU (Intel VT-d, AMD-Vi, atau SMMU pada platform Arm64). Unit-unit ini memungkinkan kontrol akses DMA ke perangkat I/O, sehingga tidak dapat menulis ke memori secara sembaranganSemua perangkat yang mendukung DMA harus berada "di belakang" IOMMU agar sistem dapat mengurangi serangan akses memori langsung.

Selain itu, VBS sangat bergantung pada TPM 2.0 (Modul Platform Tepercaya)Chip ini, yang terintegrasi pada motherboard atau diimplementasikan melalui firmware, menyimpan kredensial, kunci enkripsi, dan pengukuran boot secara aman. VBS dapat menggunakan kembali ruang memori yang dilindungi TPM untuk menyimpan informasi yang sangat sensitif seperti kredensial atau data otentikasi.

Firmware juga memiliki tanggung jawab: UEFI harus mematuhi pedoman alokasi dan pelaporan memori tertentu. agar sistem operasi mengetahui wilayah mana yang dapat digunakan untuk lingkungan sandbox. Demikian pula, Anda harus menerapkan perlindungan untuk Mode Manajemen Sistem (SMM), dideklarasikan melalui tabel ACPI dari Tabel Mitigasi Keamanan SMM Windows (WMST/WSMT), yang menunjukkan bahwa hal tersebut memenuhi persyaratan yang diharapkan Windows untuk mengaktifkan fitur VBS.

Berkaitan dengan hal ini, berikut ini perlu diperhatikan: Permintaan Penimpaan Memori (MOR) v2, yang menggunakan variabel UEFI yang aman untuk melindungi konfigurasi penguncian penimpaan memori, membantu melindungi dari serangan canggih yang mencoba menggunakan kembali isi memori setelah reboot.

Terakhir, sangat penting bahwa Semua driver yang terpasang kompatibel dengan integritas memori.Microsoft menyediakan pengujian khusus di Windows Driver Kit dan Driver Verifier untuk memvalidasi bahwa driver tidak melanggar aturan HVCI. Hasil tipikalnya adalah:

• Jalankan Pemeriksa Driver dengan pemeriksaan kompatibilitas integritas kode diaktifkan.
• Lulus uji kesiapan integritas kode hypervisor pada Windows HLK.
• Uji driver pada sistem dengan VBS dan integritas memori runtime diaktifkan.

Banyak implementasi perusahaan juga mensyaratkan agar sistem melakukan booting dalam mode boot. Secure Bootsehingga hanya firmware dan bootloader yang telah ditandatangani yang dimuat, sehingga melengkapi rantai kepercayaan dari UEFI ke lingkungan VBS.

VBS, HCCI, dan integrasinya ke dalam Hyper-V dan lingkungan virtual.

VBS bukan hanya tentang peralatan fisik; Ini juga dapat digunakan di dalam mesin virtualDi sinilah Hyper-V dan hypervisor lain seperti VMware ESXi berperan, karena mereka sudah menawarkan dukungan khusus untuk fitur keamanan ini.

Di lingkungan Hyper-V, fitur ini dapat diaktifkan. Tamu VSM sehingga mesin virtual Windows memiliki lingkungan VBS sendiri di dalam guest. Di Azure, misalnya, Mesin virtual generasi 2 mengaktifkannya secara default. di banyak seri produknya, dan virtualisasi bertingkat juga didukung di beberapa keluarga produk.

Beberapa seri Azure yang mendukung virtualisasi bertingkat dan/atau VSM tamu mencakup keluarga seperti Av2, Dsv2/Dv2/Dv3, Esv3/Edsv3, Fsv2, Lsv2 dan generasi yang lebih baru seperti Dv4/Dv5, ESv5, dan lain-lain. Detail spesifiknya bervariasi tergantung pada generasi (1 atau 2) dan ukurannya, tetapi idenya adalah bahwa Sebagian besar katalog Azure modern dapat menjalankan VBS di dalam VM..

Di VMware, dari vSphere 6.7 dan versi yang lebih baru dengan CPU Intel (dan sejak vSphere 7 Update 2 untuk CPU AMD yang didukung) mengaktifkan VBS di mesin virtual tamu Windows diperbolehkan. Hal ini mensyaratkan penggunaan versi perangkat keras VM terbaru (misalnya, perangkat keras 14 atau lebih tinggi pada Intel y 18 atau lebih tinggi pada AMD) dan sistem operasi tamu seperti Windows 10 64-bit, Windows Server 2016 atau 2019.

Pada klien VMware (VMware Host Client), Anda dapat memilih opsi "Aktifkan Keamanan Berbasis Virtualisasi Windows" saat membuat VM. atau mengaktifkannya nanti pada VM yang sudah ada. Ini secara otomatis mengaktifkan:

• Firmware UEFI dengan Secure Boot.
• Demonstrasi virtualisasi dengan bantuan perangkat keras kepada sistem tamu.
• IOMMU dan mekanisme lain yang dibutuhkan.

Saat mengaktifkan VBS pada VM yang sudah ada, Anda perlu memastikan bahwa Perangkat ini sudah menggunakan firmware UEFI.Perubahan selanjutnya dari BIOS Mewarisi EFI bisa jadi rumit dan memerlukan langkah tambahan untuk menghindari agar sistem tamu tidak gagal untuk memulai.

Di dalam VM, proses mengaktifkan VBS biasanya melibatkan penginstalan peran Hyper-V (dalam kasus Windows Server) dan selanjutnya mengkonfigurasi kebijakan keamanan (misalnya, dengan gpedit.msc di Device Guard > Aktifkan Keamanan Berbasis Virtualisasi), memilih level seperti Secure Boot dan DMA Protection, HVCI diaktifkan dengan penguncian UEFI dan konfigurasi Credential Guard.

VBS sebagai alat keamanan dalam mesin virtual dan infrastruktur.

Di luar aspek teknis semata, VBS terintegrasi ke dalam Strategi keamanan untuk lingkungan virtualisasidi mana VM menangani informasi yang sama berharganya dengan host fisik itu sendiri, atau bahkan lebih berharga.

Di banyak organisasi, mesin virtual bukan hanya lingkungan pengujian: Mereka menyediakan layanan untuk aplikasi produksi, database dan sistem yang memproses data sensitif.Hal ini menjadikan mereka target utama bagi para penyerang, yang berupaya membahayakan baik VM maupun, jika memungkinkan, beralih ke host dan seluruh jaringan.

VBS berguna di sini karena mengisolasi VM dari host fisik Berkaitan dengan akses ke perangkat keras, antarmuka jaringan, dan, dalam skenario tertentu, bahkan manajemen identitas. Bila digunakan bersamaan dengan manajemen identitas Active Directory, akses ke VM tertentu dapat dibuat bergantung langsung pada kredensial perusahaan, bukan nama pengguna/kata sandi lokal.

Pendekatan ini memungkinkan segera mencabut akses ke VM sensitif Jika seorang karyawan meninggalkan perusahaan, aktivitas mencurigakan terdeteksi, atau terjadi pelanggaran keamanan, alih-alih mengubah kata sandi satu per satu di setiap mesin, cukup dengan menyesuaikan izin di Active Directory dan kebijakan yang terkait dengan sumber daya virtual tersebut.

Selain itu, VBS membantu membatasi dampak serangan yang berasal dari dalam VM itu sendiri. Bahkan jika penyerang berhasil meningkatkan hak akses di dalam guest, Lapisan VBS dapat terus melindungi kredensial dan kode kernel yang penting.Hal ini membuat pencurian rahasia atau penggunaan teknik pergerakan lateral berdasarkan driver jahat menjadi jauh lebih sulit.

Integritas memori, khususnya, memperkuat model ini, karena mencegah driver yang tidak andal untuk dimuat dan memblokir beberapa vektor peningkatan hak akses umum dalam sistem Windows yang tervirtualisasi.

VBS dan HCCI dalam game Windows: dampak performa dan kapan harus menonaktifkannya

Perubahan yang cukup signifikan dalam film ini terletak pada area berikut: Game PCMicrosoft telah mengaktifkan VBS dan integritas memori secara default pada instalasi bersih Windows 10 tertentu dan, terutama, Windows 11, yang telah memicu banyak perdebatan karena potensi penurunan performa dalam permainan.

Kenyataannya adalah itu Dampak yang ditimbulkan sangat bergantung pada perangkat keras dan jenis beban.Pada prosesor yang relatif modern, dengan dukungan MBEC atau mitigasi perangkat keras lainnya, overhead dapat berkisar antara 3-5% dalam banyak tugas umum. Dalam skenario khusus atau dengan CPU tanpa MBEC (misalnya, platform AMD Zen+), penalti dari pengaktifan HVCI dapat mencapai sekitar 10-12% dalam benchmark sintetis.

Pada komputer lama atau komputer dengan prosesor Intel dan AMD generasi tertentu, kami telah melihat kasus ekstrem kerugian mendekati 25-28% dalam beberapa game atau pengujian sintetis tertentu, terutama ketika menggabungkan VBS, HVCI, dan lapisan perlindungan lainnya, dan ketika judul game sangat bergantung pada kinerja CPU single-threaded.

Beberapa pembuat konten dan pakar kinerja telah menunjukkan bahwa, pada PC tertentu, Menonaktifkan integritas memori dapat menyebabkan hypervisor mengembalikan jumlah FPS yang signifikan.Hal ini terutama terlihat pada judul game yang sangat bergantung pada CPU (game strategi dengan banyak perhitungan, simulator kompleks, game yang optimasinya buruk, dll.).

Meskipun demikian, hilangnya klaim "28% diperbaiki" yang dipopulerkan oleh beberapa judul berita Ini bukanlah kebenaran universal.Dalam banyak hal laptop Dan pada desktop terbaru, pengujian menunjukkan penurunan yang jauh lebih kecil, sekitar 3% jika hanya VBS yang aktif tanpa HVCI, dan sedikit lebih terlihat ketika integritas memori dipaksakan pada CPU yang tidak dioptimalkan untuk itu.

Jadi, apakah masuk akal untuk menonaktifkannya? Pada PC yang hampir secara eksklusif digunakan untuk bermain game dan tidak menangani data yang sangat sensitifMenonaktifkan HVCI atau bahkan VBS mungkin masuk akal jika Anda ingin memaksimalkan kinerja sistem, asalkan pengguna tetap menerapkan praktik keamanan yang baik: sistem selalu diperbarui, antivirus aktif, dan tidak ada masalah lain. perangkat lunak bajakan juga bukan file eksekusi yang "mencurigakan".

Namun, dalam lingkungan profesional, dalam tim kerja yang menangani informasi pelanggan, atau dalam posisi di mana keamanan menjadi prioritas, Bukan ide bagus untuk mengorbankan VBS demi beberapa FPS.Di sini, perlindungan terhadap malware canggih dan serangan kernel jauh lebih penting daripada peningkatan performa dalam game yang bahkan mungkin tidak dapat dijalankan di mesin tersebut.

Cara mengetahui apakah VBS aktif dan cara mengelolanya dari Windows

Untuk memeriksa apakah keamanan berbasis virtualisasi berfungsi pada komputer Windows 10 atau 11, Anda dapat menggunakan beberapa alat yang disediakan oleh sistem itu sendiri. Ini memungkinkan Anda untuk Lihat status VBS, HVCI, dan fitur terkait lainnya..

Salah satu cara paling langsung adalah dengan membuka msinfo32.exe (Informasi Sistem) Dan di ringkasan sistem, gulir ke bawah ke baris "Keamanan berbasis Virtualisasi". Di sana akan tertera dengan jelas apakah fitur tersebut dinonaktifkan, diaktifkan tetapi tidak berjalan, atau sedang berjalan.

Opsi lain yang lebih canggih adalah dengan menggunakan PowerShell dengan hak akses administrator dan melakukan kueri kelas WMI. Win32_DeviceGuard dengan perintah:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Hasil konsultasi ini menawarkan sebuah uraian yang sangat rinci: properti keamanan perangkat keras yang tersedia (hypervisor, Secure Boot, perlindungan DMA, MBEC, dll.), layanan yang dikonfigurasi dan berjalan (Credential Guard, integritas memori), status VBS, tingkat isolasi SMM, dan parameter lainnya.

untuk Mengelola VBS dan integritas memori. Di tingkat perusahaan, Microsoft merekomendasikan penggunaan kebijakan grup, templat Device Guard, atau skrip registri yang mengatur kunci seperti:

• EnableVirtualizationBasedSecurity untuk mengaktifkan/menonaktifkan VBS.
• RequirePlatformSecurityFeatures hanya memerlukan Secure Boot atau Secure Boot + perlindungan DMA.
• Mandatory sehingga proses booting gagal jika hypervisor atau kernel aman tidak dapat dimuat.
• Kunci di bawah Scenarios\HypervisorEnforcedCodeIntegrity untuk mengaktifkan HCCI dan memutuskan apakah akan memblokirnya melalui UEFI.

Anda juga dapat mengontrol visibilitas opsi integritas memori di antarmuka. Windows Defendermeredupkannya dan menampilkan pesan seperti “Pengaturan ini dikelola oleh administrator Anda” untuk mencegah pengguna mengubahnya sendiri.

Jika terjadi masalah stabilitas serius setelah mengaktifkan HVCI (layar biru saat startup, driver gagal, dll.), Anda dapat menggunakan cara berikut: Lingkungan Pemulihan Windows (Windows RE) Untuk masuk ke mode pemulihan, nonaktifkan kebijakan yang relevan dan sesuaikan kunci registri agar integritas memori tetap dinonaktifkan sebelum melakukan reboot.

Praktik terbaik keamanan untuk VM dan PC dengan atau tanpa VBS.

VBS (Sekolah Alkitab Liburan) membantu, tetapi Hal ini tidak menggantikan kebersihan dan keselamatan dasar.Hal ini berlaku untuk mesin fisik maupun lingkungan virtualisasi. Bahkan, banyak praktik terbaik yang tidak bergantung pada apakah lapisan ini diaktifkan atau tidak.

Salah satu pilarnya adalah menggunakan Gunakan kata sandi yang kuat dan unik untuk setiap mesin virtual dan akun sensitif.Pengelola kata sandi (atau fitur bawaan dalam solusi VPN atau direktori) sangat menyederhanakan pemeliharaan kata sandi yang kuat dan tidak digunakan kembali.

Ukuran mendasar lainnya adalah melindungi port jaringanMemblokir port yang tidak perlu dan membatasi akses hanya ke IP atau segmen jaringan yang diizinkan sangat mengurangi potensi serangan pada VM, mencegah layanan internal rentan dari mana saja.

Dalam skenario tertentu, beberapa organisasi memilih teknik seperti “Pembungkusan” atau isolasi yang diperkuat pada mesin virtualHal ini menciptakan perimeter keamanan di sekitar VM dan host-nya, mencegah interaksi langsung dari bagian jaringan lainnya. Ini memungkinkan, misalnya, mengkarantina VM yang dicurigai tanpa membahayakan seluruh infrastruktur.

Simpan semua perangkat lunak diperbarui Ini sama pentingnya. Perangkat lunak lama yang belum diperbarui merupakan lahan subur bagi eksploitasi yang sudah dikenal, jadi jika aplikasi lama harus digunakan, disarankan untuk membatasinya pada mesin virtual yang sangat terisolasi dengan akses minimal ke jaringan lainnya.

Tentu saja, jangan lupa untuk menginstalnya. solusi pencegahan malware yang terintegrasi ke dalam lingkungan virtualyang mengontrol lalu lintas, proses, dan akses jarak jauh ke VM. Lebih baik mencegah dan mencegat serangan sebelum mencapai inti sistem, meskipun VBS dapat mengurangi dampaknya.

Terakhir, strategi serius apa pun harus mencakup rencana yang matang. pencadangan dan snapshot mesin virtualJika sebuah VM disusupi, jauh lebih cepat dan aman untuk memulihkan snapshot yang diketahui daripada mencoba membersihkan sistem produksi yang disusupi, yang juga mencegah penyerang untuk bergerak lebih jauh di dalam jaringan.

Saat menyeimbangkan keamanan dan kinerja, terutama pada komputer rumahan, komputer gaming, atau komputer untuk penggunaan campuran, ada baiknya mempertimbangkan tingkat risiko yang bersedia Anda ambil, jenis tugas yang Anda lakukan, dan apakah layak untuk mempertahankan [langkah-langkah keamanan yang diperlukan]. VBS dan HCCI semuanya diaktifkan el tiempo atau hanya pada sistem dan profil di mana perlindungan kernel dan kredensial diprioritaskan di atas dampak apa pun pada FPS atau sumber daya CPU.

Artikel terkait:

VM Terlindungi pada Hyper-V: Keamanan Tingkat Lanjut untuk Lingkungan Virtual

Isaac

Penulis yang bersemangat tentang dunia byte dan teknologi secara umum. Saya suka berbagi ilmu melalui tulisan, dan itulah yang akan saya lakukan di blog ini, menunjukkan kepada Anda semua hal paling menarik tentang gadget, perangkat lunak, perangkat keras, tren teknologi, dan banyak lagi. Tujuan saya adalah membantu Anda menavigasi dunia digital dengan cara yang sederhana dan menghibur.