Microsoft Kwetsbare Driver Blocklist: Volledige Gids

In de wereld van cyberbeveiliging is de bescherming van de Windows -kernel een topprioriteit voor zowel thuisgebruikers als bedrijven. Microsoft heeft in de loop der jaren steeds geavanceerdere mechanismen geïmplementeerd om de kernel te beschermen tegen bedreigingen, maar aanvallers blijven zoeken naar manieren om geprivilegieerde code uit te voeren. Een van de gevaarlijkste – en steeds vaker voorkomende – methoden is het misbruiken van kwetsbaarheden in de stuurprogramma's die op het systeem worden geladen. Veel van deze stuurprogramma's zijn legitiem en digitaal ondertekend, maar ze bevatten beveiligingslekken die kunnen worden uitgebuit.

Om dit probleem aan te pakken, heeft Microsoft de Vulnerable Driver Blocklist ontwikkeld, die tot doel heeft de uitvoering van gevaarlijke stuurprogramma's in de Windows-kernel te voorkomen. Deze functie, die steeds vaker voorkomt en standaard is ingeschakeld in de nieuwste versies van het besturingssysteem, is een belangrijk onderdeel van het beveiligingssysteem dat Windows Defender en andere geavanceerde beveiligingsbeleidsregels omvat.

Wat is de Microsoft Vulnerable Driver Blocklist?

De Microsoft Vulnerable Driver Block List is een beveiligingsmechanisme dat is ontworpen om te voorkomen dat bepaalde stuurprogramma's, die als potentieel onveilig of direct gevaarlijk voor de systeemintegriteit worden beschouwd, op de Windows-kernel worden uitgevoerd. Hoewel deze stuurprogramma's meestal correct zijn ondertekend en gedistribueerd door legitieme fabrikanten, hebben ze op een bepaald moment kwetsbaarheden vertoond die door kwaadwillende software kunnen worden misbruikt om verhoogde privileges te verkrijgen, beveiligingssystemen te omzeilen of de normale werking van de computer te verstoren.

Microsoft onderhoudt en actualiseert deze lijst in samenwerking met hardwarefabrikanten (IHV's en OEM's) en de beveiligingsgemeenschap, zodat deze altijd stuurprogramma's bevat waarvan de exploitatie een reële bedreiging vormt. De primaire functie is het automatisch blokkeren van de uitvoering van deze stuurprogramma's om privilege-escalatie, de introductie van rootkits of manipulatie van antimalwareprogramma's te voorkomen.

Waarom is een driver-blokkeringslijst nodig?

Aanvallers weten al een tijdje dat het niet altijd nodig is om malware helemaal vanaf nul te ontwikkelen om controle over een systeem op laag niveau te krijgen. De techniek die bekend staat als Bring Your Own Vulnerable Driver (BYOVD) maakt gebruik van het bestaan ​​van legitieme stuurprogramma's met beveiligingslekken om geavanceerde bedreigingen te verspreiden . Cybercriminelen kunnen een kwetsbaar stuurprogramma (vaak oud maar nog steeds ondertekend) installeren en laden en dit vervolgens misbruiken om toegang te krijgen tot interne systeembronnen, antivirussoftware uit te schakelen, inloggegevens te bemachtigen of rootkits te installeren.

Deze manoeuvres zijn zelfs waargenomen bij ransomware-aanvallen en gerichte aanvallen op grote bedrijven. Microsoft heeft het systematische gebruik van deze techniek gedetecteerd door zowel geavanceerde cybercriminelen als ontwikkelaars van eenvoudige malware , wat de noodzaak benadrukt van een mechanisme om te controleren en te beperken welke stuurprogramma's in de meest kritieke omgeving van het systeem kunnen worden uitgevoerd.

Samenwerking tussen Microsoft en fabrikanten om gevaarlijke drivers te identificeren

Een van de sterkste punten van Microsofts verdediging is de directe samenwerking met grote hardwarefabrikanten en onafhankelijke softwareleveranciers. Wanneer een kwetsbaarheid in een driver wordt ontdekt, werkt Microsoft samen met de fabrikant om zo snel mogelijk op de hoogte te worden gesteld, de driver indien nodig aan de blokkeerlijst toe te voegen en de release van een update of patch te coördineren om het probleem op te lossen . Hierdoor kunnen ze gebruikers beschermen door te voorkomen dat de kwetsbare driver wordt uitgevoerd en ervoor zorgen dat de gecorrigeerde versies veilig worden verspreid binnen het Windows-ecosysteem.

Ontwikkelaars en fabrikanten kunnen verdachte stuurprogramma's rechtstreeks bij Microsoft indienen voor beveiligingsanalyse, of herzieningen en wijzigingen aanvragen als een stuurprogramma na een update is gepatcht. Het bedrijf biedt speciale hulpmiddelen en kanalen voor het melden van problemen, wat de detectie en snelle toevoeging van nieuwe stuurprogramma's aan de lijst versnelt.

Welke soorten bestuurders crashen?

Het beleid van Microsoft voor het bepalen welke drivers in deze lijst moeten worden opgenomen, is gebaseerd op het detecteren van drivers die aan ten minste één van de volgende criteria voldoen:

• Ze vertonen bekende beveiligingskwetsbaarheden die kunnen worden misbruikt om privileges te verhogen of de integriteit van de Windows-kernel in gevaar te brengen.
• Ze vertonen kwaadaardig gedrag, zoals het verspreiden van malware, rootkits of schadelijke software.
• Ze omvatten digitale handtekeningcertificaten die worden gebruikt om malware te ondertekenen of gereedschappen van hacking.
• Ze hanteren praktijken die het Windows-beveiligingsmodel omzeilen, hoewel niet strikt schadelijk, kan door aanvallers worden misbruikt om buitensporige controle over het systeem te krijgen.

Dankzij deze aanpak beschermt de lijst niet alleen tegen actieve kwetsbaarheden, maar ook tegen de volledige keten van aanvallen die gebaseerd zijn op verouderde of onvoldoende beveiligde stuurprogramma's . De aanwezigheid van een stuurprogramma op de lijst betekent dat het besturingssysteem het laden en uitvoeren ervan blokkeert, waardoor malware er geen misbruik van kan maken.

Blocklist Evolution: Integratie en Updates

De lijst met kwetsbare stuurprogramma's van Microsoft is geleidelijk aan geïntegreerd in alle moderne versies van Windows. Vanaf Windows 10 versie 1809 was het aanvankelijk een optionele functie voor gebruikers en omgevingen die geavanceerde technologieën zoals Hypervisor Protected Code Integrity (HVCI) of S-modus ondersteunden. Met de release van Windows 11 , en met name met de 22H2-update, is deze functie echter standaard ingeschakeld op alle compatibele apparaten.

Dit betekent dat alle gebruikers van Windows 11 22H2 (en latere versies) automatisch geblokkeerde apps hebben, zonder dat daarvoor extra configuratie nodig is . Voor eerdere versies of Windows 10 is de activering van de blokkeerlijst afhankelijk van de ingeschakelde beveiligingsfunctie, zoals Smart App Control, S-modus of HVCI, hoewel deze ook handmatig kan worden toegevoegd via optionele Windows- updates.

Hoe vaak wordt de blokkeerlijst bijgewerkt en hoe worden nieuwe functies verspreid?

Microsoft werkt de lijst met geblokkeerde stuurprogramma's bij met elke nieuwe belangrijke versie van Windows , meestal één of twee keer per jaar, maar kan ook aanvullende updates uitbrengen via standaard onderhoud van het besturingssysteem. De nieuwste versies van de lijst met geblokkeerde stuurprogramma's worden tegelijkertijd verspreid als optionele Windows-updates voor Windows 10-gebruikers (vanaf versie 20H2) en Windows 11-gebruikers (21H2 en later).

Als een beheerder er echter zeker van wil zijn dat hij altijd beschermd is met de nieuwste versie van de blokkeerlijst, kan hij tools zoals App Control for Business gebruiken . Hiermee kan de beheerder de bijgewerkte lijst met geblokkeerde stuurprogramma's toepassen, zelfs voordat deze via een standaardupdate beschikbaar komt. Microsoft publiceert ook handmatige downloads van het bijgewerkte bestand, samen met gedetailleerde instructies voor de implementatie ervan.

Hoe gebruikersbescherming werkt: integratie met Windows Defender en App Control

De blokkeerlijst integreert zijn functionaliteit met andere beveiligingsmaatregelen van Windows, met name Windows Defender en App Control. In het geval van Defender voert het systeem een ​​grondige controle uit op stuurprogramma's die worden geïnstalleerd, beoordeelt of ze op de blokkeerlijst staan ​​en blokkeert, indien nodig, de uitvoering ervan en geeft waarschuwingen weer in het Windows Beveiligingscentrum.

Met App Control for Business kunnen beheerders de blokkeerlijst van Microsoft afdwingen met behulp van beveiligingsbeleidsrichtlijnen . Hoewel dit een geavanceerde optie is die is gericht op bedrijfs- en professionele omgevingen, is het zeer nuttig voor het handhaven van consistente beveiliging in de gehele IT-infrastructuur. Sterker nog, als het niet mogelijk is om bepaalde functies zoals S-modus of HVCI in te schakelen, raadt Microsoft specifiek aan om de lijst met potentieel gevaarlijke stuurprogramma's te blokkeren met App Control . Wel adviseert Microsoft om het beleid eerst in de auditmodus te testen om incompatibiliteiten te voorkomen of te voorkomen dat kritieke apparaten per ongeluk worden geblokkeerd.

Stap voor stap: handmatig de blokkeringslijst downloaden en toepassen

Voor gebruikers of beheerders die er zeker van willen zijn dat ze de meest recente versie van het blokkeerlijstbestand hebben, biedt Microsoft een handmatige procedure. Deze procedure omvat doorgaans het downloaden van de App Control Policy Update Tool, het verkrijgen van de binaire bestanden van de blokkeerlijst, het hernoemen van het beleidsbestand naar SiPolicy.p7b , het kopiëren ervan naar de map %windir%\system32\CodeIntegrity en het uitvoeren van de update om het nieuwe beleid te activeren. Dit voorkomt automatisch elke poging om een ​​stuurprogramma te laden dat als kwetsbaar is aangemerkt.

Om te controleren of het beleid actief is, opent u de Logboeken (Event Viewer), gaat u naar Microsoft – Windows – CodeIntegrity – Operationeel logboek en filtert u op gebeurtenis-ID 3099. Daar kunt u de details van het toegepaste beleid bekijken en controleren of het overeenkomt met de meest recente versie.

Kan het blokkeren van drivers compatibiliteitsproblemen veroorzaken?

Een van de meest gestelde vragen over deze beveiligingsfunctie is of deze noodzakelijke stuurprogramma's kan blokkeren en systeemstoringen kan veroorzaken. Het antwoord is dat, hoewel de lijst zorgvuldig is samengesteld om conflicten te minimaliseren, er een mogelijkheid bestaat dat het blokkeren van een stuurprogramma in zeer specifieke gevallen kan leiden tot storingen in bepaalde hardware of software , of zelfs tot een blauw scherm ( BSOD ).

Daarom raadt Microsoft systeembeheerders aan het beleid toe te passen en te testen, met name in de auditmodus, voordat het volledig wordt ingeschakeld. Controleer blokkerende gebeurtenissen om verstoring van essentiële werkcomponenten uit te sluiten.

Hoe u de blokkeerlijst in Windows-beveiliging in- of uitschakelt

In de nieuwste versies van het besturingssysteem is het beheren van deze functie eenvoudiger dan ooit. Open de Windows Beveiliging-app, ga naar 'Apparaatbeveiliging' en open het gedeelte 'Kernelisolatie'.

Daar ziet de gebruiker de optie om de blokkeerlijst voor kwetsbare stuurprogramma's van Microsoft in of uit te schakelen . Wijzig de status naar wens en herstart uw apparaat om de wijzigingen door te voeren. Deze procedure is identiek in Windows 11 22H2 en latere versies; in eerdere versies is het mogelijk dat u daarnaast ook de functie Geheugenintegriteit of HVCI moet inschakelen om de bescherming te activeren.

Link naar aanvalsoppervlakreductie (ASR)

Kernelbeveiliging is niet alleen gebaseerd op de blokkeerlijst van stuurprogramma's, maar maakt deel uit van een breder raamwerk genaamd Attack Surface Reduction (ASR) . Dit omvat een reeks regels die zijn ontworpen om de mogelijkheden voor misbruik door malware en hackers te minimaliseren. Een van de meest aanbevolen ASR-regels, en een die in veel omgevingen standaard is ingeschakeld, is precies de regel die misbruik van kwetsbare, ondertekende stuurprogramma's blokkeert.

Het ASR-regelsysteem is geïntegreerd in Microsoft Defender voor Endpoint en stelt u in staat beleidsregels in te stellen om eindgebruikers te blokkeren, te controleren of te waarschuwen. Elke regel heeft een eigen unieke identificatiecode (GUID) en kan afzonderlijk worden geconfigureerd vanuit het beheerderscentrum of met behulp van tools zoals PowerShell.

Lijst met ASR-regels met betrekking tot bestuurders en andere veelvoorkomende risico's

Naast de regel die kwetsbare bestuurders blokkeert, bevat het ASR-regelpakket nog veel meer maatregelen die relevant zijn voor de veiligheid van bedrijven en personen:

• Voorkom dat Adobe Reader onderliggende processen aanmaakt.
• Voorkom dat Office-toepassingen onderliggende processen maken of code in andere processen injecteren.
• Blokkeer de uitvoering van mogelijk verborgen scripts.
• Voorkom dat JavaScript of VBScript gedownloade uitvoerbare inhoud start.
• Blokkeer ongetekende processen van eenheden USB of gekopieerde/nagemaakte systeemtools.
• Blokkeer het maken van gevaarlijke WebShells of API-aanroepen vanuit Office-macro's.
• Gebruik geavanceerde bescherming tegen ransomware en andere geavanceerde aanvallen.

Voor elke regel kunt u specificeren of deze in de blokkeer-, controle- of waarschuwingsmodus moet staan, zodat deze kan worden aangepast aan de behoeften van elke organisatie . Deze flexibiliteit is essentieel om de beveiliging te waarborgen zonder in te boeten aan compatibiliteit of de dagelijkse workflow.

Hoe worden ASR-regels toegepast en beheerd?

ASR-regels kunnen via verschillende mechanismen worden toegepast:

• Vanaf de console Microsoft Defender voor Endpoint, het instellen van beleid op bedrijfs-, groeps- of apparaatniveau.
• gebruik Microsoft Intune, waarmee alle regels en hun distributie per profiel centraal beheerd kunnen worden.
• Lokaal, met behulp van PowerShell om een ​​specifieke regel op een computer te activeren of te controleren.

Elke regel wordt geïdentificeerd door een unieke GUID en er kunnen statuscombinaties worden ingesteld:
niet geconfigureerd, geblokkeerd, audit of waarschuwing. De waarschuwingsmodus is vooral handig in omgevingen waarin u de gebruiker wilt informeren over het risico zonder de actie automatisch te blokkeren, zodat de gebruiker na de waarschuwing een beslissing kan nemen.