增强 Windows Defender 对漏洞驱动的防护能力

显示全部楼层 · 发表于 2022-10-30 12:51:16

本帖最后由 uu005 于 2022-11-2 11:49 编辑

本帖是对微软官方文档的精简。建议读者多阅读 Windows Defender 官方文档，了解并追踪其技术体系。

本帖不普及驱动知识，预设读者对漏洞驱动的攻防原理和手段有一定了解。

Microsoft vulnerable driver blocklist 是 Windows Defender 缓解漏洞驱动问题的机制。
此功能在 Windows 11 默认开启 ⸺ 默认开启 memory integrity，就会开启 Microsoft vulnerable driver blocklist，参见此链接。

然而，虽然此功能默认开启，但更新频率不高（只有发版大版本时才更新，每年一到两次）。
Microsoft 推荐有需人士手工更新黑名单驱动列表。步骤：

Download the WDAC policy refresh tool
Download and extract the vulnerable driver blocklist binaries
Select either the audit only version or the enforced version and rename the file to SiPolicy.p7b
Copy SiPolicy.p7b to %windir%\system32\CodeIntegrity
Run the WDAC policy refresh tool you downloaded in Step 1 above to activate and refresh all WDAC policies on your computer

以上。

显示全部楼层 · 发表于 2022-10-30 12:57:00

看不到是哪些驱动
不知道有没有咱家mhyprot2

显示全部楼层 · 发表于 2022-10-30 13:07:26

pal家族发表于 2022-10-30 04:57
看不到是哪些驱动
不知道有没有咱家mhyprot2

查了一下，有喔。
好意外，我本以为对付米哈游这种「特色环境」下的产物，得靠社区维护规则。
没想到官方规则里居然有，看来这玩意真是臭名昭著。

显示全部楼层 · 发表于 2022-11-2 21:00:43

然而现在黑产人手一个WHQL驱动

显示全部楼层 · 发表于 2022-11-12 17:17:42

这个“Select either the audit only version or the enforced version ”里面两个版本，有什么区别嘛？

显示全部楼层 · 发表于 2022-11-13 16:13:25

本帖最后由 uu005 于 2022-11-13 14:35 编辑

RTHR 发表于 2022-11-12 09:17
这个“Select either the audit only version or the enforced version ”里面两个版本，有什么区别嘛？

前者仅审计，即记录在日志中⸺可在「事件查看器」中检查，不拦截运行；
后者会拦截运行。

显示全部楼层 · 发表于 2022-11-13 20:54:03

uu005 发表于 2022-11-13 16:13
前者仅审计，即记录一条日志，可在「事件查看器」中检查，不拦截运行；
后者会拦截运行。

我在用refresh tool之后似乎没看到文档中说的事件，重启之后也没有和驱动有关的事件

显示全部楼层 · 发表于 2023-1-1 20:25:07

看来win11，还是有增强的地方啊

[技术探讨] 增强 Windows Defender 对漏洞驱动的防护能力