Virtualization-based security (VBS) là một công nghệ trừu tượng hóa các tiến trình máy tính khỏi hệ điều hành (OS) nền tảng và, trong một số trường hợp, phần cứng. Nó cách ly các tiến trình này khỏi nhau, với mục tiêu bảo vệ hệ điều hành và thiết bị khỏi mã độc và các cuộc tấn công khác.
VBS là ý tưởng tạo ra một môi trường ảo cách ly và thực thi một số hạn chế nhằm bảo vệ tài nguyên hệ thống và các giải pháp bảo mật (như thông tin đăng nhập người dùng) khỏi các lỗ hổng trong OS và các cuộc khai thác như mã độc. Môi trường cách ly là một phần của bộ nhớ chính được tách biệt khỏi phần còn lại của OS. Nó cũng là "gốc niềm tin" (root of trust) của OS.
VBS dựa vào Windows hypervisor để tạo môi trường cách ly. Hypervisor giả định rằng Windows có thể bị xâm phạm, ví dụ bởi mã độc. Dựa trên giả định này, nó nhằm bảo vệ các tài nguyên hệ thống then chốt. Để làm điều này, nó kích hoạt ảo hóa phần cứng, và tạo máy ảo (VM) lưu trữ các tiến trình hệ thống và dữ liệu của chúng, thay vì chạy các tiến trình đó trực tiếp trên hệ điều hành của máy tính. Tiên đề của VBS là nếu một tiến trình hoặc ứng dụng cách ly bị tấn công, cuộc tấn công không thể lan ra bên ngoài VM. Kẻ tấn công không thể khai thác lỗ hổng trong một tiến trình để đánh cắp dữ liệu từ ứng dụng khác hoặc chiếm toàn bộ máy tính bằng ransomware, ví dụ.
Virtualization-based security trong Windows là gì?
Microsoft lần đầu tiên đưa virtualization-based security vào Windows 10 với việc giới thiệu tính năng Windows Defender Device Guard và Credential Guard. Device Guard và Credential Guard sử dụng Virtual Secure Mode (VSM), một tính năng cụ thể của virtualization-based security trong Windows 10. VSM dùng hypervisor Microsoft Hyper-V, cài đặt trực tiếp trên phần cứng máy tính, để chạy các tiến trình cụ thể và lưu trữ dữ liệu của chúng độc lập với hệ điều hành.
Device Guard là một tập hợp ba tính năng — Configurable Code Integrity, VSM Protected Code Integrity và Platform and UEFI Secure Boot — ngăn chặn mã không tin cậy chạy trên máy Windows 10. Các tính năng này đảm bảo chỉ mã tin cậy và firmware đã ký, được xác thực mới có thể chạy trên máy tính, và cho phép quản trị viên IT cách ly các tiến trình cụ thể để tăng cường lớp bảo vệ. Credential Guard dùng VSM để cách ly và bảo mật thông tin đăng nhập người dùng, mật khẩu và dữ liệu xác thực khác, để ngăn chặn truy cập trái phép vào máy và các hệ thống khác.
VBS được hỗ trợ trên tất cả phiên bản Windows kể từ Windows 10 và Windows Server 2016. Windows 11 cũng hỗ trợ VBS. Trong Windows 11, VBS và các tính năng bảo mật chính như memory integrity (tính toàn vẹn bộ nhớ) được bật theo mặc định. Giống như Windows 10, VBS trong Windows 11 tạo một phần bộ nhớ cách ly nơi các giải pháp bảo mật khác nhau có thể được lưu trữ an toàn. Khi làm như vậy, môi trường đóng vai trò gốc niềm tin cho OS. VBS đảm bảo chỉ những tài nguyên nằm bên trong môi trường này mới được tin cậy.
Tài nguyên và giải pháp bảo mật được VBS bảo vệ
VBS và Windows hypervisor nhằm bảo vệ một số tài nguyên hệ thống, OS và giải pháp bảo mật. Một tài nguyên như vậy là model-specific registers (MSRs - thanh ghi đặc thù mô hình). MSRs là thanh ghi điều khiển trong bộ xử lý thường dùng cho gỡ lỗi, giám sát hiệu suất và kiểm soát các khía cạnh nhất định của hành vi bộ xử lý.
Việc xâm phạm MSRs và thay đổi cài đặt chúng kiểm soát có thể xâm phạm toàn bộ hệ thống. Khi điều này xảy ra, hành vi hệ thống có thể thay đổi theo cách không mong muốn hoặc kẻ tấn công có thể获得 truy cập trái phép vào hệ thống hoặc tài sản bảo mật của nó.
Để ngăn chặn các vấn đề như vậy, hypervisor dùng VBS. Với VBS, hypervisor bảo vệ MSRs khỏi mã độc kernel mode và ngăn chặn việc sử dụng sai của chúng bằng cách:
- Giám sát và kiểm soát truy cập vào tất cả MSRs.
- Cho phép mã kernel mode truy cập chỉ những MSRs được biết là an toàn.
- Chặn truy cập vào MSRs không xác định (đối với hypervisor).
- Đánh dấu các trường hợp cố gắng truy cập MSRs bị chặn bằng cách ghi sự kiện vào Windows System log trong Event Viewer.
VBS cũng bảo vệ thông tin xác thực người dùng đã được xác thực và mã chịu trách nhiệm về bảo mật Windows bằng cách đặt chúng trong môi trường ảo an toàn.
Virtualization-based security và tính toàn vẹn bộ nhớ (Memory Integrity)
Tính toàn vẹn bộ nhớ (Memory integrity) là một tính năng VBS trong Windows OS. Khi hypervisor tạo môi trường ảo cách ly, memory integrity chạy kernel mode code integrity trong môi trường này để ngăn chặn driver không tin cậy hoặc file hệ thống bị nạp vào bộ nhớ hệ thống. Do đó, nó bảo vệ OS và ngăn chặn mã độc xâm phạm kernel Windows.
Memory integrity cũng đảm bảo các trang bộ nhớ kernel chỉ thực thi sau khi vượt qua kiểm tra tính toàn vẹn mã bên trong môi trường runtime an toàn. Ngoài ra, nó ngăn chặn các trang mã thực thi bị sửa đổi và bộ nhớ đã sửa đổi bị thực thi. Đây là cách nó hạn chế cấp phát bộ nhớ kernel và ngăn chặn hệ thống bị xâm phạm.
Yêu cầu để chạy VBS trong Windows
Để bật và chạy VBS trong Windows, một số thành phần nhất định phải được cấu hình đúng. Quan trọng nhất là Windows hypervisor. Ngoài ra, bộ xử lý phải hỗ trợ ảo hóa với dịch địa chỉ cấp hai (second-level address translation).
Hơn nữa, tất cả thiết bị I/O có khả năng DMA phải nằm sau một Input-Output Memory Management Unit và tất cả firmware hệ thống phải cứng hóa mã System Management Mode theo Windows SMM Security Mitigation Table (WMST). Tất cả firmware Unified Extensible Firmware Interface phải tách biệt và báo cáo phạm vi bộ nhớ runtime EFI cho mã và dữ liệu, và cũng bao gồm bảo vệ trang EFI (ví dụ: bộ nhớ UEFI thực thi phải chỉ đọc và bộ nhớ có thể ghi không được thực thi).
Yêu cầu quan trọng khác là tất cả driver hệ thống phải được kiểm tra để đảm bảo tương thích với memory integrity. Cũng phải triển khai Secure Memory Overwrite Request revision 2 để bảo vệ hệ thống khỏi các cuộc tấn công bộ nhớ nâng cao.
Cuối cùng, Microsoft khuyến khích (nhưng không bắt buộc) triển khai Trusted Platform Module để cung cấp bảo mật dựa trên phần cứng.
Cách kiểm tra VBS có được bật trong Windows 10 hoặc 11
Trong Windows 10 và 11, VBS thường được bật theo mặc định. Tuy nhiên, quản trị viên có thể xác nhận xem nó có được bật bằng quy trình sau:
- Tìm ứng dụng System Information trong Windows search.
- Mở ứng dụng.
- Cuộn xuống dòng "Virtualization-based security".
- Nếu hiển thị "running", VBS đã được bật.
Cách tắt VBS/HVCI trong Windows 10 hoặc 11
Dù có lợi ích bảo mật, việc bật VBS trong Windows 10 và 11 có thể làm chậm hiệu suất hệ thống. Vô hiệu hóa tính năng có thể cải thiện hiệu suất — tuy nhiên với chi phí là đưa ra giải pháp bảo mật trước lỗ hổng và khai thác.
Quy trình tắt VBS/HVCI trong Windows 10 và 11:
- Tìm "Core Isolation" trong Windows search hoặc mở từ System Settings.
- Tắt Memory Integrity (nếu đang bật).
- Khởi động lại hệ thống.
- Mở ứng dụng System Information.
- Cuộn xuống dòng "Virtualization-based security".
- Nếu hiển thị "not enabled", VBS đã bị tắt.
Nếu VBS vẫn được bật, phải tắt từ system registry (yêu cầu quyền admin và kinh nghiệm) theo các bước sau:
- Mở và chạy regedit để mở registry editor.
- Điều hướng đến thư mục Computer\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard.
- Mở file tên EnableVirtualizationBasedSecurity và đặt giá trị thành 0.
- Đóng regedit.
- Khởi động lại PC.
- Xác nhận trong ứng dụng System Information rằng VBS đã bị tắt.
Tìm hiểu thêm về tính năng virtualization-based security của Windows và xem những gì cần lưu ý khi bảo mật môi trường ảo. Khám phá cách bật Windows Defender Device Guard và so sánh công cụ endpoint detection and response cho Windows Server.