KB4074629: Tìm hiểu đầu ra tập lệnh SpeculationControl PowerShell

Phương pháp 1: Xác minh PowerShell bằng cách sử dụng Bộ sưu tập PowerShell (Windows Server 2016 hoặc WMF 5.0/5.1)

Cài đặt mô-đun PowerShell

PS> Install-Module SpeculationControl

Chạy mô-đun SpeculationControl PowerShell để xác minh rằng đã bật các tùy chọn bảo vệ

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> Import-Module SpeculationControl

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Phương pháp 2: Xác minh PowerShell bằng cách sử dụng bản tải xuống từ TechNet (phiên bản HĐH cũ hơn/các phiên bản WMF cũ hơn)

Cài đặt mô-đun PowerShell từ TechNet ScriptCenter

1. Đi tới https://aka.ms/SpeculationControlPS.

2. Tải SpeculationControl.zip xuống thư mục cục bộ.

3. Trích xuất nội dung vào thư mục cục bộ, ví dụ: C:\ADV180002

Chạy mô-đun PowerShell để xác minh rằng đã bật tính năng bảo vệ

Khởi động PowerShell, rồi (sử dụng ví dụ ở trên) sao chép và chạy các lệnh sau:

PS> # Save the current execution policy so it can be reset

PS> $SaveExecutionPolicy = Get-ExecutionPolicy

PS> Set-ExecutionPolicy RemoteSigned -Scope Currentuser

PS> CD C:\ADV180002\SpeculationControl

PS> Import-Module .\SpeculationControl.psd1

PS> Get-SpeculationControlSettings

PS> # Reset the execution policy to the original state

PS> Set-ExecutionPolicy $SaveExecutionPolicy -Scope Currentuser

Ra

Giải thích

Cài đặt điều khiển suy đoán cho CVE-2017-5715 [branch target injection]

Phần này cung cấp trạng thái hệ thống cho phiên bản 2, CVE-2017-5715, branch target injection.

Hỗ trợ phần cứng cho giảm thiểu tiêm đích chi nhánh có mặt

Bản đồ tới BTIHardwarePresent. Dòng này cho bạn biết liệu các tính năng phần cứng có mặt để hỗ trợ giảm nhẹ mục tiêu chi nhánh. OEM thiết bị chịu trách nhiệm cung cấp BIOS/vi chương trình cập nhật có chứa vi mã do nhà sản xuất CPU cung cấp. Nếu dòng này là True, các tính năng yêu cầu phần cứng có mặt. Nếu dòng là False, các tính năng yêu cầu phần cứng không có mặt. Vì vậy, các chi nhánh mục tiêu tiêm mitigation không thể được kích hoạt.

Lưu ý BTIHardwarePresent sẽ là True trong máy ảo khách nếu bản cập nhật OEM được áp dụng cho máy chủ và hướng dẫn đượctheo sau.

Hiện có hỗ trợ HĐH Windows để giảm thiểu tiêm đích chi nhánh

Bản đồ tới BTIWindowsSupportPresent. Dòng này cho bạn biết liệu hỗ trợ hệ điều hành Windows có mặt để giảm thiểu mục tiêu chi nhánh hay không. Nếu đó là True, hệ điều hành sẽ hỗ trợ kích hoạt biện pháp giảm thiểu branch target injection (và do đó đã cài đặt bản cập nhật tháng 1 năm 2018). Nếu đó là False, bản cập nhật tháng 1 năm 2018 không được cài đặt trên thiết bị và không thể bật biện pháp giảm nhẹ branch target injection.

Lưu ý Nếu một máy ảo khách không thể phát hiện bản cập nhật phần cứng máy chủ, BTIWindowsSupportEnabled sẽ luôn là False.

Đã bật hỗ trợ HĐH Windows cho biện pháp giảm nhẹ branch target injection

Bản đồ tới BTIWindowsSupportEnabled. Dòng này cho bạn biết liệu hỗ trợ hệ điều hành Windows có được kích hoạt cho biện pháp giảm nhẹ mục tiêu chi nhánh hay không. Nếu đó là True, hỗ trợ phần cứng và hỗ trợ hệ điều hành cho biện pháp giảm nhẹ đích nhánh được bật cho thiết bị, do đó, bảo vệ chống lại CVE-2017-5715. Nếu là False, một trong các điều kiện sau đây là đúng:

• Hỗ trợ phần cứng không có mặt.

• Hỗ trợ hệ điều hành không có mặt.

• Giảm nhẹ bị vô hiệu hóa bởi chính sách hệ thống.

Chính sách hệ thống đã vô hiệu hóa hỗ trợ HĐH Windows cho biện pháp giảm thiểu branch target injection

Bản đồ đến BTIDisabledBySystemPolicy. Dòng này cho bạn biết nếu giảm thiểu mục tiêu chi nhánh bị vô hiệu hóa bởi chính sách hệ thống (chẳng hạn như một chính sách do người quản trị xác định). Chính sách hệ thống đề cập đến các điều khiển sổ đăng ký như được ghi trong KB4072698. Nếu đó là True, chính sách hệ thống chịu trách nhiệm vô hiệu hóa các biện pháp giảm nhẹ. Nếu đó là False, biện pháp giảm nhẹ sẽ bị vô hiệu hóa bởi một nguyên nhân khác.

Hỗ trợ HĐH Windows dành cho giảm nhẹ branch target injection bị vô hiệu hóa do không có hỗ trợ phần cứng

Bản đồ đến BTIDisabledByNoHardwareSupport. Dòng này cho bạn biết liệu giảm thiểu mục tiêu chi nhánh bị vô hiệu hóa do sự vắng mặt của hỗ trợ phần cứng. Nếu đó là True, sự vắng mặt của hỗ trợ phần cứng có trách nhiệm vô hiệu hóa các giảm nhẹ. Nếu đó là False, biện pháp giảm nhẹ sẽ bị vô hiệu hóa bởi một nguyên nhân khác.

Lưu ýNếu máy ảo khách không thể phát hiện bản cập nhật phần cứng máy chủ, BTIDisabledByNoHardwareSupport sẽ luôn là True.

Thiết đặt điều khiển suy đoán cho CVE-2017-5754 [tải bộ đệm ẩn dữ liệu giả định]

Phần này cung cấp trạng thái hệ thống tóm tắt cho phiên bản 3, CVE-2017-5754, tải bộ đệm ẩn dữ liệu giả định. Biện pháp giảm nhẹ cho điều này được gọi là đổ bóng địa chỉ ảo nhân (VA) hoặc giảm nhẹ tải bộ đệm ẩn dữ liệu mơ hồ.

Phần cứng dễ bị tải bộ đệm ẩn dữ liệu lừa đảo

Bản đồ tới RdclHardwareProtected. Dòng này cho bạn biết liệu phần cứng có dễ bị tấn công trong CVE-2017-5754 hay không. Nếu đó là True, phần cứng được cho là dễ bị tấn công bởi CVE-2017-5754. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương bởi CVE-2017-5754.

Hiện có hỗ trợ hệ điều hành Windows cho việc giảm nhẹ tải bộ đệm ẩn dữ liệu lừa đảo

Bản đồ tới KVAShadowWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ tính năng đổ bóng VA nhân hay không.

Hỗ trợ HĐH Windows để giảm nhẹ tải bộ đệm ẩn dữ liệu giả định được bật

Bản đồ đến KVAShadowWindowsSupportEnabled. Dòng này cho bạn biết liệu tính năng đổ bóng VA nhân có được bật hay không. Nếu đó là True, phần cứng được cho là dễ gặp phải CVE-2017-5754, hiện có hỗ trợ hệ điều hành Windows và tính năng này được bật.

Phần cứng yêu cầu kernel VA shadowing

Bản đồ đến KVAShadowRequired. Dòng này cho bạn biết liệu hệ thống của bạn có yêu cầu kernel VA shadowing để giảm thiểu một lỗ hổng hay không.

Hiện có hỗ trợ HĐH Windows cho nhân VA shadow

Bản đồ tới KVAShadowWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ tính năng đổ bóng VA nhân hay không. Nếu đó là True, bản cập nhật tháng 1 năm 2018 được cài đặt trên thiết bị và đổ bóng VA nhân được hỗ trợ. Nếu đó là False, bản cập nhật tháng 1 năm 2018 sẽ không được cài đặt và hỗ trợ đổ bóng VA nhân không tồn tại.

Hỗ trợ HĐH Windows cho nhân VA shadow được bật

Bản đồ đến KVAShadowWindowsSupportEnabled. Dòng này cho bạn biết liệu tính năng đổ bóng VA nhân có được bật hay không. Nếu đó là True, hỗ trợ hệ điều hành Windows sẽ xuất hiện và tính năng này được bật. Tính năng Đổ bóng Kernel VA hiện được bật theo mặc định trên các phiên bản máy khách của Windows và bị vô hiệu hóa theo mặc định trên các phiên bản Windows Server. Nếu đó là False, hỗ trợ hệ điều hành Windows không có mặt hoặc tính năng này không được bật.

Đã bật hỗ trợ HĐH Windows để tối ưu hóa hiệu suất PCID

Lưu ýPCID không bắt buộc đối với bảo mật. Nó chỉ cho biết có đang bật cải thiện hiệu năng hay không. PCID không được hỗ trợ với Windows Server 2008 R2

Bản đồ đến KVAShadowPcidEnabled. Dòng này cho bạn biết liệu một tối ưu hóa hiệu suất bổ sung có được bật cho kernel VA shadow hay không. Nếu đó là True, kernel VA shadow được bật, hỗ trợ phần cứng cho PCID và tối ưu hóa PCID cho kernel VA shadow được bật. Nếu là False, phần cứng hoặc HĐH có thể không hỗ trợ PCID. Nó không phải là một điểm yếu bảo mật để tối ưu hóa PCID không được kích hoạt.

Hiện có hỗ trợ HĐH Windows cho Speculative Store Bypass Disable

Bản đồ tới SSBDWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ Speculative Store Bypass Disable hay không. Nếu đó là True, bản cập nhật tháng 1 năm 2018 được cài đặt trên thiết bị và đổ bóng VA nhân được hỗ trợ. Nếu đó là False, bản cập nhật tháng 1 năm 2018 sẽ không được cài đặt và hỗ trợ đổ bóng VA nhân không tồn tại.

Phần cứng yêu cầu Speculative Store Bypass Disable

Bản đồ tới SSBDHardwareVulnerablePresent. Dòng này cho bạn biết liệu phần cứng có dễ bị tấn công trong CVE-2018-3639 hay không. Nếu đó là True, phần cứng được cho là dễ bị tấn công bởi CVE-2018-3639. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương bởi CVE-2018-3639.

Hỗ trợ phần cứng cho Speculative Store Bypass Disable có mặt

Bản đồ tới SSBDHardwarePresent. Dòng này cho bạn biết liệu các tính năng phần cứng có mặt để hỗ trợ Speculative Store Bypass Disable hay không. OEM thiết bị chịu trách nhiệm cung cấp BIOS/vi chương trình cập nhật có chứa vi mã do Intel cung cấp. Nếu dòng này là True, các tính năng yêu cầu phần cứng có mặt. Nếu dòng là False, các tính năng yêu cầu phần cứng không có mặt. Do đó, không thể bật Tính năng Vô hiệu hóa Bỏ qua Cửa hàng Suy đoán.

Lưu ý SSBDHardwarePresent sẽ là True trong máy ảo khách nếu bản cập nhật OEM được áp dụng cho máy chủ.

Hỗ trợ HĐH Windows cho Speculative Store Bypass Disable được bật

Bản đồ tới SSBDWindowsSupportEnabledSystemWide. Dòng này cho bạn biết tính năng Speculative Store Bypass Disable có được bật trong hệ điều hành Windows hay không. Nếu đó là True thì dịch vụ hỗ trợ phần cứng và hỗ trợ hệ điều hành cho Speculative Store Bypass Disable sẽ được bật cho thiết bị ngăn chặn sự cố Bỏ qua Cửa hàng Suy đoán, do đó loại bỏ hoàn toàn rủi ro bảo mật. Nếu là False, một trong các điều kiện sau đây là đúng:

• Hỗ trợ phần cứng không có mặt.

• Hỗ trợ hệ điều hành không có mặt.

• Speculative Store Bypass Disable không được bật thông qua khóa đăng ký. Hãy xem các bài viết sau để biết hướng dẫn về cách bật:

  • KB4073119: Hướng dẫn máy khách Windows cho Chuyên gia CNTT để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh dựa trên silicon và thực hiện suy đoán

  • KB4072698: Hướng dẫn Windows Server và Azure Stack HCI để bảo vệ chống lại lỗ hổng thực hiện suy đoán phía kênh dựa trên silicon và lỗ hổng thực hiện suy đoán phía kênh

Cài đặt điều khiển suy đoán cho CVE-2018-3620 [Lỗi thiết bị đầu cuối L1]

Mục này cung cấp trạng thái hệ thống tóm tắt cho L1TF (hệ điều hành) được tham chiếu bởi CVE-2018-3620. Biện pháp giảm nhẹ này đảm bảo rằng các bit khung trang an toàn được sử dụng cho mục nhập bảng trang không trình bày hoặc không hợp lệ.

Lưu ý Phần này không cung cấp tóm tắt về trạng thái giảm nhẹ cho L1TF (VMM) được tham chiếu bởi CVE-2018-3646.

Phần cứng dễ bị lỗi thiết bị đầu cuối L1: True

Bản đồ đến L1TFHardwareVulnerable. Dòng này cho bạn biết liệu phần cứng có dễ bị lỗi Terminal L1 (L1TF, CVE-2018-3620 hay không). Nếu đó là True, phần cứng được cho là dễ bị tấn công bởi CVE-2018-3620. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương bởi CVE-2018-3620.

Hiện có hỗ trợ hệ điều hành Windows để giảm thiểu lỗi thiết bị đầu cuối L1: True

Bản đồ tới L1TFWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ biện pháp giảm nhẹ lỗi hệ điều hành L1 Terminal Fault (L1TF) hay không. Nếu đó là True, bản cập nhật tháng 8 năm 2018 được cài đặt trên thiết bị và hiện đang có biện pháp giảm nhẹ cho CVE-2018-3620 . Nếu đó là False, bản cập nhật tháng 8 năm 2018 sẽ không được cài đặt và không có biện pháp giảm nhẹ cho CVE-2018-3620.

Đã bật hỗ trợ HĐH Windows để giảm thiểu lỗi thiết bị đầu cuối L1: True

Bản đồ tới L1TFWindowsSupportEnabled. Dòng này cho bạn biết hệ điều hành Windows có được khắc phục Lỗi Thiết bị đầu cuối L1 (L1TF, CVE-2018-3620) hay không. Nếu đó là True, phần cứng được cho là dễ bị tổn thương bởi CVE-2018-3620, có hỗ trợ hệ điều hành Windows để giảm nhẹ và biện pháp giảm nhẹ được bật. Nếu đó là False, phần cứng không dễ bị tấn công, hỗ trợ hệ điều hành Windows không hiện diện hoặc không bật biện pháp giảm nhẹ.

Thiết đặt kiểm soát suy đoán cho MDS [Lấy mẫu dữ liệu vi cấu trúc]

Phần này cung cấp trạng thái hệ thống cho bộ lỗ hổng MDS, CVE-2018-11091, CVE-2018-12126, CVE-2018-12127, CVE-2018-12130 và ADV220002.

Hiện có hỗ trợ HĐH Windows để giảm nhẹ MDS

Bản đồ tới MDSWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ giảm nhẹ hệ điều hành Microarchitectural Data Sampling (MDS). Nếu đó là True, bản cập nhật tháng 5 năm 2019 được cài đặt trên thiết bị và hiện có biện pháp giảm nhẹ cho MDS. Nếu đó là False, bản cập nhật tháng 5 năm 2019 sẽ không được cài đặt và không có biện pháp giảm nhẹ cho MDS.

Phần cứng dễ bị MDS

Bản đồ đến MDSHardwareVulnerable. Dòng này cho bạn biết liệu phần cứng có dễ gặp phải các lỗ hổng (CVE-2018-11091, CVE-2018-12126, CVE-2018-12126, CVE-2018-12127, CVE-2018-12139). Nếu nó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương.

Đã bật hỗ trợ HĐH Windows để giảm nhẹ MDS

Bản đồ tới MDSWindowsSupportEnabled. Dòng này cho bạn biết liệu hệ điều hành Windows giảm nhẹ cho Microarchitectural Dữ liệu Sampling (MDS) được bật. Nếu nó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng MDS, hệ điều hành Windows hỗ trợ cho giảm nhẹ hiện nay, và giảm nhẹ được kích hoạt. Nếu đó là False, phần cứng không dễ bị tấn công, hỗ trợ hệ điều hành Windows không hiện diện hoặc không bật biện pháp giảm nhẹ.

Hiện có hỗ trợ hệ điều hành Windows để giảm nhẹ SBDR

Bản đồ tới FBClearWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ giảm nhẹ hệ điều hành SBDR hay không. Nếu đó là True, bản cập nhật tháng 6 năm 2022 được cài đặt trên thiết bị và hiện có biện pháp giảm nhẹ cho SBDR. Nếu đó là False, bản cập nhật tháng 6 năm 2022 không được cài đặt và giảm thiểu cho SBDR không có mặt.

Phần cứng dễ bị SBDR

Bản đồ tới SBDRSSDPHardwareVulnerable. Dòng này cho bạn biết liệu phần cứng có dễ bị SBDR [chia sẻ dữ liệu bộ đệm đọc] tập hợp các lỗ hổng (CVE-2022-21123). Nếu nó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương.

Đã bật hỗ trợ HĐH Windows để giảm nhẹ SBDR

Bản đồ tới FBClearWindowsSupportEnabled. Dòng này cho bạn biết liệu hệ điều hành Windows giảm nhẹ cho SBDR [chia sẻ bộ đệm dữ liệu đọc] được bật. Nếu đó là True, phần cứng được cho là bị ảnh hưởng bởi lỗ hổng SBDR, cửa sổ hỗ trợ hoạt động để giảm nhẹ hiện nay, và giảm nhẹ được kích hoạt. Nếu đó là False, phần cứng không dễ bị tấn công, hỗ trợ hệ điều hành Windows không hiện diện hoặc không bật biện pháp giảm nhẹ.

Hiện có hỗ trợ hệ điều hành Windows để giảm thiểu FBSDP

Bản đồ tới FBClearWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ giảm nhẹ hệ điều hành FBSDP hay không. Nếu đó là True, bản cập nhật tháng 6 năm 2022 được cài đặt trên thiết bị và có biện pháp giảm nhẹ cho FBSDP. Nếu đó là False, bản cập nhật tháng 6 năm 2022 không được cài đặt và không có biện pháp giảm nhẹ cho FBSDP.

Phần cứng dễ bị FBSDP

Bản đồ đến FBSDPHardwareVulnerable. Dòng này cho bạn biết liệu phần cứng có dễ bị tổn thương với FBSDP [điền bộ phát tán dữ liệu đệm] của các lỗ hổng (CVE-2022-21125, CVE-2022-21127 và CVE-2022-21166). Nếu nó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương.

Đã bật hỗ trợ HĐH Windows để giảm thiểu FBSDP

Bản đồ tới FBClearWindowsSupportEnabled. Dòng này cho bạn biết liệu hệ điều hành Windows giảm nhẹ cho FBSDP [điền bộ đệm cũ dữ liệu propagator] được bật. Nếu đó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng FBSDP, windows hỗ trợ hoạt động để giảm nhẹ hiện nay, và giảm nhẹ được kích hoạt. Nếu đó là False, phần cứng không dễ bị tấn công, hỗ trợ hệ điều hành Windows không hiện diện hoặc không bật biện pháp giảm nhẹ.

Hiện có hỗ trợ hệ điều hành Windows để giảm thiểu PSDP

Bản đồ tới FBClearWindowsSupportPresent. Dòng này cho bạn biết liệu hệ điều hành Windows có hỗ trợ giảm nhẹ hệ điều hành PSDP hay không. Nếu đó là True, bản cập nhật tháng 6 năm 2022 được cài đặt trên thiết bị và hiện có biện pháp giảm nhẹ cho PSDP. Nếu đó là False, bản cập nhật tháng 6 năm 2022 không được cài đặt và không có biện pháp giảm nhẹ cho PSDP.

Phần cứng dễ bị PSDP

Bản đồ đến PSDPHardwareVulnerable. Dòng này cho bạn biết liệu phần cứng có dễ bị PSDP [bộ phát tán dữ liệu stale chính] tập hợp các lỗ hổng. Nếu nó là True, phần cứng được cho là bị ảnh hưởng bởi các lỗ hổng. Nếu đó là False, phần cứng được biết là không dễ bị tổn thương.

Đã bật hỗ trợ HĐH Windows để giảm thiểu PSDP

Bản đồ tới FBClearWindowsSupportEnabled. Dòng này cho bạn biết liệu hệ điều hành Windows giảm nhẹ cho PSDP [bộ phát tán dữ liệu cũ chính] có được bật hay không. Nếu đó là True, phần cứng được cho là bị ảnh hưởng bởi lỗ hổng PSDP, cửa sổ hỗ trợ hoạt động để giảm nhẹ có mặt, và giảm nhẹ được kích hoạt. Nếu đó là False, phần cứng không dễ bị tấn công, hỗ trợ hệ điều hành Windows không hiện diện hoặc không bật biện pháp giảm nhẹ.

Khóa đăng ký

Ánh xạ

FeatureSettingsOverride – Bit 0

Bản đồ tới - Branch target injection - BTIWindowsSupportEnabled

FeatureSettingsOverride – Bit 1

Bản đồ đến - Tải bộ đệm ẩn dữ liệu Rogue - VAShadowWindowsSupportEnabled