3 важных функции безопасности в Windows Server 2016

Большинство «шума» вокруг запуска Windows Server 2016 связано с такими особенностями как контейнеры или Nano Server. Хотя эти возможности, безусловно, полезны, важно обратить внимание на развитие функций безопасности.

VIRTUAL SECURE MODE (VSM)

Этот режим – одна из новейших разработок Microsoft в области безопасности. Идея заключается в том, чтобы сделать операционную систему более безопасной, передав часть функций безопасности «железу», вместо того, чтобы выполнять их на программном уровне. VSM – это компонент уровня инфраструктуры, и является основной для других функций безопасности, о которых будет рассказано ниже.

Функция №1: Credential Guard

Процесс авторизации в Windows является функцией Local Security Authority (LSA). LSA обеспечивает интерактивные сервисы авторизации, генерирует токены безопасности, управляет локальной политикой безопасности. Credential Guard переносит LSA в виртуализированное пространство, созданное с помощью Virtual Secure Mode.

Память, используемая LSA, изолирована, также как у виртуальных машин. Microsoft также ограничивает код, который может запускать LSA, и при этом обязательно строгое подписание этого кода. И наконец другой код, такой как драйверы, не может быть запущен в Isolated User Mode.

Функция №2: Device Guard

В Device Guard присутствует специальный компонент VSM Protected Code Integrity. Этот компонент следит за целостностью кода, выполняемого на уровне ядра. Другой компонент, Configurable Code Integrity следит за тем, чтобы только доверенный код исполнялся системой. Администраторы могут New-CIPolicy в Power Shell, чтобы создать политики целостности, которые фактически работают как «белые списки» для приложений. Эти политики работают на основе подписей приложений. Поскольку не все приложения подписаны, можно использовать средство SignTool.exe для неподписанных приложений.