Como proteger o processo de inicialização do Windows 10

Você concordará que a principal função de um sistema operacional é fornecer um ambiente de execução seguro em que aplicativos diferentes possam ser executados com segurança. Isso exige a necessidade de uma estrutura básica para a execução uniforme do programa, a fim de usar o hardware e acessar os recursos do sistema de maneira segura. O kernel fornece esse serviço básico em todos os sistemas operacionais, exceto os mais simplistas. Para habilitar esses recursos fundamentais para o sistema operacional, várias partes do SO são inicializadas e executadas no momento da inicialização do sistema.

Além disso, há outros recursos que são capazes de oferecer proteção inicial. Eles incluem:

• Windows Defender - Oferece uma proteção abrangente para o seu sistema, arquivos e atividades on-line contra malware e outras ameaças. A ferramenta faz uso de assinaturas para detectar e colocar em quarentena os aplicativos, conhecidos por serem maliciosos por natureza.
• Filtro SmartScreen - Emite sempre um aviso aos usuários antes de permitir que eles executem um aplicativo não confiável. Aqui, é importante ter em mente que esses recursos são capazes de oferecer proteção somente após o início do Windows 10. A maioria dos malwares e bootkits em particular, podem ser executados antes mesmo de o Windows ser iniciado, ocultando-se e ignorando completamente a segurança do sistema operacional.

Felizmente, o Windows 10 fornece proteção mesmo durante a inicialização. Como? Bem, para isso, primeiro precisamos entender o que são os Rootkits e como eles funcionam. Depois disso, podemos aprofundar o assunto e descobrir como o sistema de proteção do Windows 10 funciona.

Rootkits

Rootkits são um conjunto de ferramentas usadas para hackear um dispositivo por um cracker. O cracker tenta instalar um rootkit em um computador, primeiro obtendo acesso em nível de usuário, explorando uma vulnerabilidade conhecida ou decifrando uma senha e, em seguida, recuperando as informações necessárias. Ele oculta o fato de que um sistema operacional foi comprometido pela substituição de executáveis ​​vitais

Diferentes tipos de rootkits são executados durante diferentes fases do processo de inicialização. Estes incluem,

1. Kits de rootkernel - Desenvolvido como drivers de dispositivo ou módulos carregáveis, este kit é capaz de substituir uma parte do kernel do sistema operacional para que o rootkit possa ser iniciado automaticamente quando o sistema operacional for carregado.
2. Rootkits de firmware - Estes kits substituem o firmware do sistema básico de entrada / saída do PC ou outro hardware para que o rootkit inicie antes que o Windows seja ativado.
3. Rootkits do driver - No nível do driver, os aplicativos podem ter acesso total a o hardware do sistema. Então, este kit finge ser um dos drivers confiáveis ​​que o Windows usa para se comunicar com o hardware do PC
4. Bootkits - É uma forma avançada de rootkits que pega a funcionalidade básica de um rootkit e o estende com o capacidade de infectar o Master Boot Record (MBR). Ele substitui o carregador de inicialização do sistema operacional para que o PC carregue o Bootkit antes do sistema operacional.

O Windows 10 possui 4 recursos protegendo o processo de inicialização do Windows 10 e evitando essas ameaças.

Protegendo o processo de inicialização do Windows 10

Boot

Secure Boot é um padrão de segurança desenvolvido por membros da indústria de PCs para ajudar você a proteger seu sistema de programas mal-intencionados, não permitindo que nenhum aplicativo não autorizado seja executado durante o processo de inicialização do sistema. O recurso garante que o seu PC inicialize usando apenas o software de confiança do fabricante do PC. Portanto, sempre que o computador for iniciado, o firmware verificará a assinatura de cada parte do software de inicialização, inclusive os drivers de firmware (ROMs opcionais) e o sistema operacional. Se as assinaturas forem verificadas, o PC inicializará e o firmware dará o controle ao sistema operacional

Inicialização confiável

Este carregador de inicialização usa o VTPM (Virtual Trusted Platform Module) para verificar a assinatura digital do kernel do Windows 10 antes carregando, por sua vez, verifica todos os outros componentes do processo de inicialização do Windows, incluindo os drivers de inicialização, os arquivos de inicialização e o ELAM. Se um arquivo foi alterado ou alterado em qualquer extensão, o bootloader detecta e se recusa a carregá-lo, reconhecendo-o como o componente corrompido. Em suma, fornece uma cadeia de confiança para todos os componentes durante a inicialização.

Early Launch Anti-Malware

Antimalware de lançamento antecipado (ELAM) fornece proteção para os computadores presentes em uma rede quando eles são inicializados e antes que os drivers de terceiros sejam inicializados. Depois que o Secure Boot tiver conseguido proteger o carregador de inicialização e o Trusted Boot concluir / concluir a tarefa de salvaguardar o kernel do Windows, a função do ELAM será iniciada. Ele fecha qualquer lacuna deixada pelo malware para iniciar ou iniciar a infecção, infectando um driver de inicialização que não é da Microsoft. O recurso carrega imediatamente um anti-malware da Microsoft ou não-Microsoft. Isso ajuda a estabelecer uma cadeia contínua de confiança estabelecida pela Inicialização Segura e Inicialização Confiável, anteriormente.

Inicialização Medida

Foi observado que os PCs infectados com rootkits continuam a parecer saudáveis, mesmo com o antimalware em execução. Esses PCs infectados, se conectados a uma rede em uma empresa, representam sério risco para outros sistemas, abrindo rotas para os rootkits acessarem grandes quantidades de dados confidenciais. A Inicialização Medida no Windows 10 permite que um servidor confiável na rede verifique a integridade do processo de inicialização do Windows usando os seguintes processos:

1. Executando cliente de atestado remoto não-Microsoft - O servidor de atestado confiável envia ao cliente uma chave exclusiva no fim de cada processo de inicialização.
2. O firmware UEFI do PC armazena no TPM um hash do firmware, bootloader, drivers de inicialização e tudo o que será carregado antes do aplicativo antimalware.
3. O TPM usa a chave exclusiva assinar digitalmente o registro registrado pelo UEFI. O cliente envia o log para o servidor, possivelmente com outras informações de segurança.

Com todas essas informações em mãos, o servidor agora pode descobrir se o cliente está em boas condições e conceder ao cliente acesso a uma rede de quarentena limitada ou ao rede completa.

Leia os detalhes completos na Microsoft.