विंडोज 10 एंटरप्राइज में वर्चुअल सिक्योर मोड (VSM)

विंडोज 10 एंटरप्राइज (केवल इस संस्करण में), एक नया Hyper-V कंपोनेंट दिखाई दिया है – Virtual Secure Mode (VSM)। VSM एक संरक्षित कंटेनर (वर्चुअल मशीन) है जो हाइपरवाइजर पर चलता है और होस्ट विंडोज 10 और उसके कर्नेल से अलग होता है। सुरक्षा की दृष्टि से महत्वपूर्ण सिस्टम कंपोनेंट्स इस संरक्षित वर्चुअल कंटेनर के अंदर चलते हैं। कोई थर्ड-पार्टी कोड VSM में निष्पादित नहीं किया जा सकता, और कोड इंटीग्रिटी की लगातार मॉडिफिकेशन के लिए जांच की जाती है। यह आर्किटेक्चर VSM में डेटा की रक्षा करने की अनुमति देता है, भले ही होस्ट विंडोज 10 का कर्नेल समझौता हो जाए, क्योंकि कर्नेल भी सीधे VSM तक नहीं पहुंच सकता।

VSM कंटेनर को नेटवर्क से कनेक्ट नहीं किया जा सकता और कोई भी इसमें एडमिनिस्ट्रेटिव विशेषाधिकार प्राप्त नहीं कर सकता। एन्क्रिप्शन कुंजियाँ, उपयोगकर्ता प्रमाणीकरण डेटा और समझौता की दृष्टि से अन्य महत्वपूर्ण जानकारी को Virtual Secure Mode कंटेनर में संग्रहीत किया जा सकता है। इस प्रकार, एक हैकर स्थानीय रूप से कैश्ड डोमेन उपयोगकर्ता खातों के डेटा का उपयोग करके कॉर्पोरेट संरचना में प्रवेश नहीं कर पाएगा।

निम्नलिखित सिस्टम कंपोनेंट्स VSM के अंदर काम कर सकते हैं:

1. LSASS (लोकल सिक्योरिटी सबसिस्टम सर्विस) स्थानीय उपयोगकर्ताओं के प्रमाणीकरण और अलगाव के लिए जिम्मेदार एक कंपोनेंट है। (इस प्रकार, सिस्टम "पास द हैश" प्रकार के हमलों और mimikatz जैसे टूल्स से सुरक्षित है।) इसका मतलब है कि सिस्टम में पंजीकृत उपयोगकर्ताओं के पासवर्ड (और/या हैश) स्थानीय एडमिनिस्ट्रेटर विशेषाधिकारों वाले उपयोगकर्ता के लिए भी उपलब्ध नहीं हो सकते।
2. वर्चुअल TPM (vTPM) गेस्ट मशीनों के लिए एक सिंथेटिक TPM डिवाइस है जो डिस्क सामग्री के एन्क्रिप्शन के लिए आवश्यक है
3. OS कोड इंटीग्रिटी की निगरानी करने वाली प्रणाली कोड को मॉडिफिकेशन से बचाती है

नोट। Shielded Virtual Machines और Device Guard जैसी सुरक्षा तकनीकें भी VSM में काम करती हैं। एक होस्ट और एक गेस्ट OS भी API इंटरफेस का उपयोग करके Virtual Secure Mode कंटेनर के साथ इंटरैक्ट कर सकते हैं।

VSM का उपयोग करने के लिए, वातावरण को निम्नलिखित हार्डवेयर आवश्यकताओं को पूरा करना होगा:

• सुरक्षित कुंजी भंडारण के लिए UEFI, सिक्योर बूट और ट्रस्टेड प्लेटफॉर्म मॉड्यूल (TPM) सपोर्ट
• हार्डवेयर वर्चुअलाइजेशन सपोर्ट (VT-x, AMD-V या बाद का)

विंडोज 10 में वर्चुअल सिक्योर मोड (VSM) कैसे सक्षम करें

आइए देखें कि विंडोज 10 में Virtual Secure Mode कैसे सक्षम करें।

• UEFI सिक्योर बूट सक्षम होना चाहिए।
• विंडोज 10 को डोमेन में शामिल होना होगा। (VSM केवल डोमेन उपयोगकर्ता खातों की रक्षा करता है, स्थानीय नहीं।)
• विंडोज 10 में Hyper-V भूमिका इंस्टॉल होनी चाहिए। (हमारे मामले में, हमें पहले Hyper-V Platform इंस्टॉल करना पड़ा, और फिर Hyper-V Management Tools इंस्टॉल किए)
• वर्चुअल सिक्योर मोड (VSM) को ग्रुप पॉलिसी एडिटर (gpedit.msc) में एक विशेष नीति में सक्षम करना होगा: कंप्यूटर कॉन्फिगरेशन -> एडमिनिस्ट्रेटिव टेम्पलेट्स -> सिस्टम -> डिवाइस गार्ड -> वर्चुअलाइजेशन बेस्ड सिक्योरिटी चालू करें। इस नीति को सक्षम करें और प्लेटफॉर्म सिक्योरिटी लेवल चुनें में सिक्योर बूट विकल्प चुनें। साथ ही क्रेडेंशियल गार्ड सक्षम करें (LSA आइसोलेशन) यहां चेक करें।
• और आखिरी काम BCD को VSM में विंडोज 10 शुरू करने के लिए कॉन्फिगर करना है:
  

  bcdedit /set vsmlaunchtype auto

• अपने कंप्यूटर को पुनरारंभ करें

यह कैसे सुनिश्चित करें कि VSM चालू है

आप यह सुनिश्चित कर सकते हैं कि VSM एक्टिव है यदि टास्क मैनेजर में Secure System प्रोसेस मौजूद है।

या यदि सिस्टम लॉग में घटना "क्रेडेंशियल गार्ड (Lsalso.exe) शुरू किया गया था और LSA क्रेडेंशियल की रक्षा करेगा" है।

VSM सुरक्षा का परीक्षण कैसे करें

VSM सक्षम मशीन पर डोमेन अकाउंट से लॉग इन करें और स्थानीय एडमिनिस्ट्रेटर विशेषाधिकारों के साथ निम्न mimikatz कमांड चलाएं:

mimikatz.exe privilege::debug sekurlsa::logonpasswords exit

हम देख सकते हैं कि LSA एक आइसोलेटेड वातावरण में चल रहा है और उपयोगकर्ता पासवर्ड हैश प्राप्त नहीं किए जा सकते।

यदि आप VSM अक्षम मशीन पर वही करते हैं, तो हम उपयोगकर्ता पासवर्ड का NTLM हैश प्राप्त कर सकते हैं, जिसका उपयोग पास-द-हैश हमलों में किया जा सकता है।

Ref: Enabling Virtual Secure Mode (VSM) in Windows 10 Enterprise Build 10130