Microsoft добавила в Windows 10 очередную функцию защиты от эксплойтов

В новом билде Windows 10, Microsoft добавила в ядро новый объект под названием RegistryTransaction с соответствующими API-функциями для работы с ним, вроде [NtCommit/NtCreate/NtOpen/NtRollback] RegistryTransaction. Как не трудно догадаться, речь идет об атомарных операциях с данными реестра.

Другим улучшением стало появление долгожданной функции под названием Win32k syscalls filtering на уровне ядра Windows. Так как она все еще находится в предварительной сборке Windows 10, о ней известно не так много. Основное ее предназначение заключается в том, что она позволит полностью закрыть sandbox для процессов соответствующих приложений, типа браузеров и снимет вопрос эксплуатации LPE-уязвимостей в win32k.sys для них. На сегодняшний день такие уязвимости являются основной возможностью получения эксплойтом максимальных прав SYSTEM при проникновении в систему через веб-браузер.

 

Общая схема работы Win32k syscalls filtering на примере AppContainer-sandboxed веб-браузера Edge, который сможет полностью закрыть AppContainer от внешнего воздействия

 

Стоит отметить, что авторы веб-браузера Google Chrome еще в прошлом году добавили в него функцию, которая защищает sandboxed-процессы (renderer-процессы по терминологии Google) от пагубного воздействия win32k.sys. Так как Chrome делегирует работу с графикой и окнами на основной родительский процесс, дочерние sandboxed-процессы полностью освобождаются от необходимости осуществления GUI-операций, например, прорисовки окон и прочего GUI. Ранее для этого использовалась настройка веб-браузера -enable_win32k_renderer_lockdown, пишет habrahabr.ru.

Полное отключение win32k.sys является достаточной мерой обеспечения безопасности только для такого веб-браузера как Chrome, который имеет четко определенную модель распределения функций между родительским и renderer-процессами (GUI-функции не пересекаются с sandboxed). Microsoft предлагает более гибкий путь, функция Win32k syscalls filtering (PsAttributeWin32kFilter) поможет выборочно фильтровать те функции, которые не нужны процессу, например, Edge, и оставлять только самые необходимые.

Функция Win32k syscalls filtering органично дополняет другую функцию безопасности Windows 10, которая впервые была добавленаMicrosoft для защиты от LPE-эксплойтов. Речь идет о функции Block Untrusted Fonts, которая также появилась и в EMET (см.kernel32!SetProcessMitigationPolicy с аргументом ProcessFontDisablePolicy).

 

EMET позволяет принудительно включать функцию Block Untrusted Fonts для выбранного процесса, таким образов перекрыв другую поверхность атаки LPE-эксплойтами, которые используют specially crafted файлы шрифтов для эксплуатации уязвимостей в Win32k.sys

 

Microsoft известна своим внимательным подходом к функциям защиты от эксплойтов, которые интегрированы в Windows. Там последовательно появлялись DEP, SEHOP, ASLR, IE11-EPM, IE11-64bit_tabs, HEASLR. Бесплатный инструмент EMET позволял принудительно включать такие настройки для процессов. В то же время, только с Windows 10 Microsoft стала предпринимать указанные выше шаги по закрытию уязвимых мест, которые используются LPE-эксплойтами.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Security Vision открывает первый в России Центр Кибербезопасности для детей

4 июня в семейно-досуговом центре «Кидзания» (ТРЦ «Авиапарк») откроется Центр кибербезопасности для детей и подростков. Это первый проект такого рода в России.

Юные посетители Центра смогут в игровой форме решать практические задачи по защите от кибератак и обеспечению сохранности информации и узнают последние тренды в области информационной безопасности. Через специально разработанные обучающие игры и головоломки они на практике потренируются в защите информации от взлома, научатся распознавать фишинговые атаки и противостоять другим опасностям в интернете.

Ребята освоят несколько профессий. Так, в рамках первой «Белый хакер», ребята попробуют себя в роли пентестеров — используя специальные инструменты, попытаются выявить потенциальную уязвимость в одной из организаций Кидзании и предложат свои рекомендации для повышения уровня защиты данных.

В роли «Специалиста центра кибербезопасности» кидзанийцы будут следить за работой компьютерной сети Кидзании из штаба - Центра кибербезопасности. Им предстоит проявить бдительность и максимально быстро выявить источник угрозы, чтобы предотвратить хакерскую атаку. Профессия «Архитектор систем кибербезопасности» позволит юным участникам научиться подбирать оптимальные средства защиты цифровой инфраструктуры для предотвращения возможных киберугроз.

«Мы убеждены, что крайне важно не только делиться последними решениями в сфере ИБ среди специалистов рынка, но и прививать базовые навыки цифровой гигиены подрастающему поколению с самого раннего возраста. Действовать проактивно по отношению к самому дорогому – нашим детям. Все мы понимаем, что дети восприимчивы и тем самым уязвимы. Центр кибербезопасности Security Vision в «Кидзании» станет эффективной и популярной площадкой для обретения важных навыков безопасного поведения в информационной среде», — прокомментировал Руслан Рахметов, генеральный директор Security Vision.

Помимо знаний и навыков в области безопасной работы с информацией, предложенные в Центре кибербезопасности задания помогут детям и подросткам развить логическое мышление и когнитивные способности. Кроме того, игротека позволит им приобрести необходимые знания и навыки для работы в области компьютерной безопасности, понять, чем они хотят заниматься, и определиться с выбором будущей профессии.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru