你为什么应该开启基于虚拟化的安全（VBS）？

zwl2828

本文翻译自 Michal Poslušny 于 WeLiveSecurity 上发布的 Signed kernel drivers – Unguarded gateway to Windows’ core | WeLiveSecurity 文章中的部分内容。

请勿转载本文。

正文如下：

基于虚拟化的安全（VBS）是 Windows 10 中引入的一项功能，它利用硬件虚拟化，使内核被管理程序沙盒化，以便用各种保护措施来保护操作系统。

VBS 提供了几种保护功能，其中最突出的是 Hypervisor-Protected Code Integrity（HVCI），它也是一个独立的功能。HVCI 在内核中执行代码完整性，并只允许执行经过签名的代码。它还采用了封锁名单（blocklisting）功能，具备特定的、有效的签名签署的已知代码可被封锁、不允许运行或允许加载。已通过这种方法被封锁的驱动程序之一是 RWEverything 工具。

HVCI 有效防止了脆弱的驱动程序被滥用于执行未签名的内核代码或加载恶意的驱动程序（无论使用何种开发方法），看来恶意软件滥用脆弱的驱动程序加载恶意代码是微软实现这一功能的主要动机之一。

VBS 对实际的攻击提供了显著的安全收益，包括我们去年看到的几种攻击，即 RobbinHood 等人为操作的勒索软件攻击和 Trickbot 等复杂的恶意软件攻击，这些攻击采用的内核驱动和技术可以通过 HVCI 来缓解。我们的研究表明，与没有 HVCI 的系统相比，启用 HVCI 的 PC 向 Microsoft 365 Defender 报告检测的活动恶意软件报告减少了60%。

除了强制执行内核代码的完整性，VBS还保护重要的 MSRs，不允许对其进行任何修改。不出所料，这种保护也影响了 LSTAR MSR，并减轻了上述所有的利用可能性。

虽然 VBS 是对 MSR 利用和在内核中运行恶意代码的有效保护，但这种新功能的采用相当有限，因为它有几个硬件要求，只有较新的机器可以满足。也有一些缺点，最明显的是对性能的影响，取决于工作负载，有的时候会相当明显。虽然一些基准测试表明在特定视频、游戏中的 VBS 对性能的影响高达25%，但 Tom's Hardware 在基准测试中估计性能冲击仅为约 5%，当然这取决于特定的基准和硬件配置。这些性能损失可能导致一些用户关闭这个功能。此外，还可能存在一些与传统驱动和软件的兼容性问题。不过，随着 Windows 11 的发布，微软已经决定对所有兼容设备默认启用 HVCI（Surface Book 3、Surface Laptop Go 默认启用了 VBS）。

结论

漏洞驱动已经是一个众所周知的问题，并被游戏外{过}{滤}挂、作弊工具社区和恶意软件作者所滥用，虽然大家已经做出了一些努力来减轻影响，但这仍然是一场持续的战斗。似乎所有的责任方都想解决这个问题，即：在安全问题被披露的过程中，供应商都非常积极主动，急于修复被发现的漏洞。而微软也正试图从内部加强操作系统的安全性，第三方安全厂商正试图想出巧妙的方法来检测和缓解此类驱动程序本身。

然而，似乎还缺少一块，即：处理这些问题的共同、统一的方式，包括对驱动程序进行更彻底地“缴械”，无论是通过撤销或封锁其证书，还是安全公司采用的一些公共、共享的封锁名单。

写在文末

1、如何开启 HVCI：
核心隔离 (microsoft.com)

2、更深入地了解 VBS：
Virtualization-based Security (VBS) | Microsoft Docs
Virtualization-Based Security: Enabled by Default - Microsoft Tech Community

dongbingtuo

我x3950 x570开启有问题

zwl2828

dongbingtuo 发表于 2022-1-18 21:11
我x3950 x570开启有问题

试试看升级驱动？

遨游宇宙

这玩意和其他虚拟化软件兼容性太差了

a8855942

dongbingtuo 发表于 2022-1-18 21:11
我x3950 x570开启有问题

AMD有些问题，我都想换12代酷睿了。

正在缓冲

嗯……我想开都开不了

提示硬件不兼容

dongbingtuo

a8855942 发表于 2022-1-18 21:38
AMD有些问题，我都想换12代酷睿了。

是啊，而且拖着一直没解决。我想换个intel的迷你主机。

64998970

dongbingtuo 发表于 2022-1-18 22:04
是啊，而且拖着一直没解决。我想换个intel的迷你主机。

微软不配合的话没办法解决

syswow64

性能还是个很大的问题，我这8750H本来性能都不够用了，开完更卡

a8855942

dongbingtuo 发表于 2022-1-18 22:04
是啊，而且拖着一直没解决。我想换个intel的迷你主机。

是的，后悔了