वर्चुअलाइजेशन-आधारित सुरक्षा पृथक वातावरण बनाने के लिए विंडोज हाइपरवाइजर पर निर्भर करती है। विंडोज़ में वर्चुअलाइजेशन-आधारित सुरक्षा क्या है?
<पी> माइक्रोसॉफ्ट ने सबसे पहले विंडोज डिफेंडर डिवाइस गार्ड और क्रेडेंशियल गार्ड सुविधाओं की शुरुआत के साथ विंडोज 10 में वर्चुअलाइजेशन-आधारित सुरक्षा को शामिल किया। डिवाइस गार्ड और क्रेडेंशियल गार्ड वर्चुअल सिक्योर मोड (वीएसएम) का उपयोग करते हैं, जो विंडोज 10 में वर्चुअलाइजेशन-आधारित सुरक्षा की एक विशिष्ट सुविधा है। वीएसएम विशिष्ट प्रक्रियाओं को चलाने और उनके डेटा को ऑपरेटिंग सिस्टम से स्वतंत्र रूप से संग्रहीत करने के लिए, कंप्यूटर के हार्डवेयर पर सीधे स्थापित माइक्रोसॉफ्ट हाइपर-वी हाइपरवाइजर का उपयोग करता है। <पी> डिवाइस गार्ड तीन विशेषताओं का एक सेट है - कॉन्फ़िगर करने योग्य कोड इंटीग्रिटी, वीएसएम संरक्षित कोड इंटीग्रिटी और प्लेटफ़ॉर्म और यूईएफआई सिक्योर बूट - जो अविश्वसनीय कोड को विंडोज 10 मशीन पर चलने से रोकता है। ये सुविधाएँ सुनिश्चित करती हैं कि केवल विश्वसनीय कोड और हस्ताक्षरित, सत्यापित फर्मवेयर ही कंप्यूटर पर चल सकते हैं, और वे आईटी प्रशासकों को सुरक्षा की एक अतिरिक्त परत के लिए विशिष्ट प्रक्रियाओं को अलग करने की अनुमति देते हैं। क्रेडेंशियल गार्ड मशीन और अन्य प्रणालियों तक अनधिकृत पहुंच को रोकने के लिए उपयोगकर्ता लॉगिन, पासवर्ड और अन्य प्रमाणीकरण डेटा को अलग और सुरक्षित करने के लिए वीएसएम का उपयोग करता है। <पी> वीबीएस विंडोज 10 और विंडोज सर्वर 2016 से शुरू होने वाले विंडोज के सभी संस्करणों पर समर्थित है। विंडोज 11 भी वीबीएस का समर्थन करता है। विंडोज़ 11 में, वीबीएस और इसकी प्रमुख सुरक्षा सुविधाएँ जैसे मेमोरी इंटीग्रिटी डिफ़ॉल्ट रूप से चालू हैं। विंडोज़ 10 की तरह, विंडोज़ 11 में वीबीएस मेमोरी का एक अलग खंड बनाता है जहां विभिन्न सुरक्षा समाधान सुरक्षित रूप से संग्रहीत किए जा सकते हैं। ऐसा करने में, पर्यावरण OS के लिए विश्वास की जड़ के रूप में कार्य करता है। वीबीएस यह सुनिश्चित करता है कि केवल इस वातावरण के अंदर रहने वाले संसाधनों पर ही भरोसा किया जाए।
पारंपरिक बनाम आभासी वास्तुकला का एक साथ-साथ दृश्य। वीबीएस द्वारा संरक्षित संसाधन और सुरक्षा समाधान
<पी> वीबीएस और विंडोज हाइपरवाइजर का लक्ष्य कई सिस्टम और ओएस संसाधनों और सुरक्षा समाधानों की सुरक्षा करना है। ऐसा ही एक संसाधन मॉडल-विशिष्ट रजिस्टर (एमएसआर) है। एमएसआर प्रोसेसर में नियंत्रण रजिस्टर होते हैं जिनका उपयोग आमतौर पर डिबगिंग, प्रदर्शन की निगरानी और प्रोसेसर के व्यवहार के कुछ पहलुओं को नियंत्रित करने के लिए किया जाता है। <पी> एमएसआर से समझौता करना और उनके द्वारा नियंत्रित की जाने वाली सेटिंग्स को बदलना पूरे सिस्टम से समझौता कर सकता है। जब ऐसा होता है, तो सिस्टम का व्यवहार अवांछनीय तरीकों से बदल सकता है या कोई खतरा पैदा करने वाला व्यक्ति सिस्टम या उसकी सुरक्षा परिसंपत्तियों तक अनधिकृत पहुंच प्राप्त कर सकता है। <पी> ऐसे मुद्दों को रोकने के लिए, हाइपरवाइजर वीबीएस का उपयोग करता है। वीबीएस के साथ, हाइपरवाइजर एमएसआर को दुर्भावनापूर्ण कर्नेल मोड कोड से बचाता है और निम्नलिखित कार्य करके उनके दुरुपयोग को रोकता है:- सभी एमएसआर तक पहुंच की निगरानी और नियंत्रण।
- कर्नेल मोड कोड को केवल उन एमएसआर तक पहुंचने की अनुमति देना जो सुरक्षित माने जाते हैं।
- अज्ञात (हाइपरवाइजर तक) MSRs तक पहुंच को अवरुद्ध करना।
- इवेंट व्यूअर में विंडोज सिस्टम लॉग में एक इवेंट लॉग करके अवरुद्ध एमएसआर तक पहुंच के प्रयास के उदाहरणों को चिह्नित करना।
वर्चुअलाइजेशन-आधारित सुरक्षा और मेमोरी अखंडता
<पी> मेमोरी इंटीग्रिटी विंडोज़ ओएस में एक वीबीएस सुविधा है। एक बार जब हाइपरवाइजर पृथक आभासी वातावरण बनाता है, तो मेमोरी अखंडता अविश्वसनीय ड्राइवरों या सिस्टम फ़ाइलों को सिस्टम मेमोरी में लोड होने से रोकने के लिए इस वातावरण के भीतर कर्नेल मोड कोड अखंडता चलाता है। नतीजतन, यह ओएस की सुरक्षा करता है और मैलवेयर को विंडोज कर्नेल से समझौता करने से रोकता है। <पी> मेमोरी अखंडता यह भी सुनिश्चित करती है कि कर्नेल मेमोरी पेज सुरक्षित रनटाइम वातावरण के अंदर कोड अखंडता जांच पास करने के बाद ही निष्पादित होते हैं। इसके अतिरिक्त, यह निष्पादन योग्य कोड पृष्ठों को संशोधित होने और संशोधित मेमोरी को निष्पादित होने से रोकता है। इस प्रकार यह कर्नेल मेमोरी आवंटन को प्रतिबंधित करता है और सिस्टम को समझौता होने से रोकता है। <पी>विंडोज़ में VBS चलाने के लिए आवश्यकताएँ
<पी> विंडोज़ में वीबीएस को सक्षम और चलाने के लिए, कुछ घटकों को ठीक से कॉन्फ़िगर किया जाना चाहिए। सबसे महत्वपूर्ण है विंडोज़ हाइपरवाइजर। साथ ही, प्रोसेसर को दूसरे स्तर के एड्रेस ट्रांसलेशन के साथ वर्चुअलाइजेशन का समर्थन करना चाहिए। <पी> इसके अलावा, सभी डीएमए-सक्षम I/O डिवाइस एक इनपुट-आउटपुट मेमोरी मैनेजमेंट यूनिट के पीछे होने चाहिए और सभी सिस्टम फर्मवेयर को विंडोज एसएमएम सिक्योरिटी मिटिगेशन टेबल (WMST) के अनुसार सिस्टम मैनेजमेंट मोड कोड को सख्त करना होगा। सभी एकीकृत एक्स्टेंसिबल फ़र्मवेयर इंटरफ़ेस फ़र्मवेयर को कोड और डेटा के लिए EFI रनटाइम मेमोरी रेंज को अलग और रिपोर्ट करना होगा, और इसमें EFI पेज सुरक्षा भी शामिल होनी चाहिए (उदाहरण के लिए, निष्पादन योग्य UEFI मेमोरी को केवल पढ़ा जाना चाहिए और लिखने योग्य मेमोरी निष्पादन योग्य नहीं होनी चाहिए)। <पी> एक अन्य महत्वपूर्ण आवश्यकता यह है कि मेमोरी अखंडता के साथ अनुकूलता सुनिश्चित करने के लिए सभी सिस्टम ड्राइवरों का परीक्षण किया जाना चाहिए। साथ ही, सिस्टम को उन्नत मेमोरी हमलों से बचाने के लिए सिक्योर मेमोरी ओवरराइट रिक्वेस्ट रिवीजन 2 को लागू किया जाना चाहिए। <पी> अंत में, Microsoft हार्डवेयर-आधारित सुरक्षा प्रदान करने के लिए एक विश्वसनीय प्लेटफ़ॉर्म मॉड्यूल लागू करने की अनुशंसा करता है (लेकिन अनिवार्य नहीं करता है)।
वर्चुअलाइजेशन-आधारित सुरक्षा का उपयोग करते समय, Microsoft हार्डवेयर-आधारित सुरक्षा प्रदान करने के लिए एक विश्वसनीय प्लेटफ़ॉर्म मॉड्यूल लागू करने की अनुशंसा करता है। कैसे जांचें कि विंडोज 10 या 11 में वीबीएस सक्षम है या नहीं
<पी> विंडोज़ 10 और 11 में, वीबीएस आमतौर पर डिफ़ॉल्ट रूप से चालू होता है। हालाँकि, व्यवस्थापक इस प्रक्रिया का पालन करके पुष्टि कर सकते हैं कि यह सक्षम है या नहीं:- Windows खोज में सिस्टम सूचना ऐप खोजें।
- ऐप खोलें।
- "वर्चुअलाइज़ेशन-आधारित सुरक्षा" पंक्ति तक नीचे स्क्रॉल करें।
- यदि यह कहता है "चल रहा है," तो VBS सक्षम है।
Windows 10 या 11 में VBS/HVCI को कैसे निष्क्रिय करें
<पी> इसके सुरक्षा लाभों के बावजूद, विंडोज़ 10 और 11 में वीबीएस को सक्षम करने से सिस्टम का प्रदर्शन धीमा हो सकता है। सुविधा को अक्षम करने से प्रदर्शन में सुधार हो सकता है - भले ही सुरक्षा समाधानों को कमजोरियों और शोषणों को उजागर करने की कीमत पर। <पी> विंडोज 10 और 11 में वीबीएस/एचवीसीआई को अक्षम करने की प्रक्रिया यहां दी गई है:- Windows खोज में "कोर आइसोलेशन" खोजें या इसे सिस्टम सेटिंग्स से खोलें।
- मेमोरी इंटीग्रिटी को बंद करें (यदि यह चालू था)।
- सिस्टम को पुनरारंभ करें।
- सिस्टम सूचना ऐप खोलें।
- "वर्चुअलाइज़ेशन-आधारित सुरक्षा" पंक्ति तक नीचे स्क्रॉल करें।
- यदि यह कहता है "सक्षम नहीं है," तो VBS अक्षम है।
- रजिस्ट्री संपादक खोलने के लिए regedit खोलें और चलाएँ।
- कंप्यूटर\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard फ़ोल्डर पर नेविगेट करें।
- EnableVirtualizationBasedSecurity नाम की फ़ाइल खोलें और उसका मान 0 पर सेट करें।
- regedit बंद करें।
- पीसी को पुनरारंभ करें।
- सिस्टम सूचना ऐप में पुष्टि करें कि VBS अक्षम है।
