Osvědčené postupy bezpečného nasazení pro ovladače Windows

Osvědčené postupy bezpečného nasazení pro ovladače Windows jsou nezbytné pro zajištění zabezpečeného, spolehlivého a uživatelského prostředí kompatibilního s Windows. Tento článek popisuje osvědčené postupy pro partnery microsoftu pro hardware a firmware k vytváření a spouštění robustních plánů nasazení, které minimalizují přerušení, neekicienci a selhání zařízení.

Někteří partneři se můžou rozhodnout spravovat vlastní distribuční procesy mimo službu Windows Update, ale kdykoli je to možné, použijte službu Windows Update. Služba Windows Update nabízí řízený, zabezpečený a efektivní ekosystém, který snižuje riziko nekompatibility, ohrožení zabezpečení a dopadu na uživatele. Podrobné pokyny k distribuci balíčků ovladačů najdete v tématu Distribuce balíčku ovladačů.

Tyto osvědčené postupy v souladu s pokyny k bezpečnému nasazení softwaru agentury CISA (Cybersecurity and Infrastructure Security Agency) zvýrazňují transparentnost, správu verzí, plánování vrácení zpět a zabezpečený návrh softwaru – základní prvky moderního nasazení ovladačů.

Další informace o filozofii zabezpečení ovladačů od Microsoftu najdete v pokynech k zabezpečení ovladačů.

Bezpečný životní cyklus nasazení pro ovladače

Osvědčené postupy bezpečného nasazení ovladačů jsou seskupené do tří fází životního cyklu nasazení:

• Předběžné nasazení

  Zaměřuje se na plánování, interní testování, certifikaci Windows Hardware Quality Lab (WHQL), ověřování závislostí a sladění kritérií nasazení s obchodními a technickými cíli před distribucí.

• Distribuce

  Zahrnuje skutečnou distribuci ovladače, včetně použití služby Windows Update, pokud je to možné, nasazení kruhové strategie a dodržování osvědčených postupů pro postupné zavedení.

• Monitorování a údržba po nasazení

  Zahrnuje monitorování signálů stavu zařízení, analýzu telemetrie a pozastavení, vrácení zpět nebo aktualizaci nasazení na základě skutečného výkonu.

Každá část obsahuje užitečné pokyny, které partnerům pomůžou zajistit, aby vydané verze ovladačů splňovaly vysoké standardy spolehlivosti, zabezpečení a výkonu během nasazování.

Testování a ověření před nasazením

Před distribucí ovladače, testování, ověření a posouzení zabezpečení za účelem zajištění bezpečného a spolehlivého prostředí pro koncové uživatele. Tyto kroky zabraňují problémům s nasazením, snižují náklady na podporu a zvyšují spokojenost uživatelů.

Přehled doporučeného komplexního procesu od Microsoftu najdete v příručce Vývoj, testování a nasazování ovladačů .

Konečné testování a ověření

Před distribucí ovladače, otestujte, ověřte a posuďte jeho zabezpečení. Tento krok snižuje riziko regresí, ohrožení zabezpečení a narušení uživatelského prostředí.

• Otestujte různé konfigurace hardwaru, abyste zajistili kompatibilitu.
• Ověřte v podporovaných verzích Windows a nejnovějších aktualizacích údržby, abyste zabránili regresím.
• Patří sem řízení spotřeby, zátěžové testování, pozastavení a obnovení a ověření scénáře obnovení.
• K dodržování předpisů a certifikaci použijte sadu Windows Driver Kit (WDK) a sadu HLK (Hardware Lab Kit ).
• Viz Testování ovladače:
  • Tipy pro testování během vývoje
  • Testování za běhu pomocí sady Visual Studio
  • Nástroje pro ověřování ovladačů

Zabezpečení a integrita kódu

Zabezpečení ovladačů je důležité pro stabilitu systému, ochranu a dodržování předpisů se zásadami ovladačů systému Windows.

• Digitálně podepište ovladač v souladu s požadavky na podepisování ovladačů . Další pokyny k dodržování předpisů a zásad najdete v požadavcích na podepisování kódu ovladače .

  • Správně podepište všechny ovladače určené k nasazení, ať už prostřednictvím služby Windows Update nebo alternativních kanálů, aby se zajistila integrita a důvěryhodnost.

  • Získejte podpisy Windows Hardware Quality Labs (WHQL) pro ovladače bez ohledu na distribuční kanál, včetně služby Windows Update, kanálů řízených OEM nebo kanálů řízených dodavatelem, jako jsou weby nebo nástroje specifické pro podniky. Získáním podpisu verze WHQL systémy Windows ve výchozím nastavení důvěřují balíčkům ovladačů. Bez něj jsou potřeba další kroky konfigurace k navázání vztahu důvěryhodnosti pomocí alternativních certifikátů, které při nasazování zavádějí složitost a riziko. Certifikace WHQL, kterou potřebujete k získání podpisu vydání WHQL, ověřuje, že ovladač splňuje testy kompatibility Microsoftu a požadované standardy zabezpečení.

• Pokud chcete minimalizovat ohrožení zabezpečení, postupujte podle kontrolního seznamu zabezpečení ovladačů Microsoftu.

• Pomocí kódu QL v době kompilace a Driver Verifier za běhu můžete odhalit potenciální chyby zabezpečení.

• Zarovnejte své postupy vývoje s pokyny k zabezpečení ovladačů, které popisují výhody distribuce bezpečných a spolehlivých ovladačů a obsahují pokyny k zabránění škodlivým nebo zranitelným vzorům kódu.

Společnost Microsoft doporučuje organizacím, které vyvíjejí a publikují ovladače antimalwaru, aby se zapojily do programu Microsoft Virus Initiative (MVI), který je vyhrazený pro sladění antimalwarových technologií se standardy zabezpečení systému Windows.

Plánování nasazení

Strategické plánování snižuje riziko, zlepšuje uživatelské prostředí a zajišťuje efektivní doručování a podporu.

• Definujte strategie zavedení, jako je postupné zavedení, pilotní nasazení, regionální verze nebo verze cílené na hardware.

  • Pokud chcete snížit riziko a monitorovat chování reálného světa před globálním vydáním, přečtěte si téma Postupné zavedení.

• Zvolte kanál nasazení:

  • Používejte službu Windows Update pro řízenou a zabezpečenou infrastrukturu.
  • Pokyny k publikování najdete v tématu Distribuce ovladačů prostřednictvím služby Windows Update.
  • Pokud spravujete distribuci nezávisle, zajistěte stejnou úroveň bezpečnosti a monitorování.

• Naplánujte scénáře selhání definováním kritérií vrácení zpět, identifikací kandidátů vrácení zpět a dokumentováním postupů eskalace.

• Aby bylo zajištěno splnění očekávání kvality a doručování, zajistěte soulad mezi inženýrskými, QA a obchodními zainteresovanými stranami.

Další informace najdete v tématu Vytvoření plánu nasazení.

Distribuce

Chcete-li zachovat stabilitu systému a důvěru uživatelů, musíte zajistit, aby se ovladače dostaly k uživatelům bezpečně, spolehlivě a efektivně. Fáze distribuce se zaměřuje na publikování a doručování ovladačů pomocí strukturovaného odolného přístupu, který využívá integrovanou infrastrukturu Microsoftu. Tato část také dokumentuje bezpečné postupy pro alternativní distribuční cesty.

Windows Update a další metody distribuce

Windows Update (doporučeno):

• Nabízí zabezpečenou, automatickou a řízenou distribuci ovladačů.
• Integruje se s aktualizacemi údržby a funkcí Systému Windows.
• Umožňuje postupné zavádění řízené telemetrií a vestavěné mechanismy vrácení změn zpět.
• Podporuje cílení podle ID hardwaru, verze operačního systému a dalších kritérií.

Přečtěte si další informace o distribuci balíčku ovladače.

Kanály vydavatele:

• Může být nezbytné v oborově specifických nebo podnikově řízených prostředích.
• Vyžadovat bezpečnostní opatření, aby odpovídala ochraně služby Windows Update:
  • Ovladače by měly být bezpečně zabalené a prošly podpisem verze WHQL. I když jsou ovladače nasazené mimo službu Windows Update, měly by stále dokončit testování WHQL a digitálně podepsat. Testování a podepisování ovladačů WHQL zajišťuje soulad s očekáváním společnosti Microsoft pro kvalitu a zabezpečení a udržuje paritu s ochranou, kterou nabízí služba Windows Update.
  • Mechanismy ručního vrácení změn a systém správy verzí
  • Koordinace s IT týmy nebo koncovými uživateli za účelem zajištění bezpečné instalace

Omezení závislostí ovladačů

Tyto pokyny platí pro všechny metody distribuce, včetně služby Windows Update, portálů OEM a nástrojů specifických pro podniky.

Systém Windows nezaručuje ani neposkytuje mechanismy pro úzce propojené závislosti mezi balíčky ovladačů. Mezi tyto závislosti patří relace ovladače k ovladači nebo relace mezi ovladačem a firmwarem, které spoléhají na přesnou shodu verzí, aby fungovaly správně. Místo toho musí dojít k jakékoli interakci mezi ovladači nebo mezi ovladači a firmwarem prostřednictvím dobře definovaných rozhraní, která používají správu verzí k označení změn v rozhraní.

Ovladače a firmware musí poskytovat určitou úroveň dopředu a zpětné kompatibility, aby systém běžel bez ohledu na kombinaci verzí ovladačů a firmwaru. Systém Windows nepodporuje úzce propojené závislosti, kde se vyžadují přesné shody verzí.

Fáze nasazení

Nasazení ovladačů je proces s více fázemi, který zajišťuje zabezpečení, spolehlivost a minimální přerušení. Fáze nasazení – pilotní nasazení, postupné zavedení a úplné nasazení – snižují rizika a ověřují stabilitu ovladačů před úplným nasazením. Pokyny k bezpečnému nasazení softwaru CISA zvýrazňují důležitost postupného zavedení a zahrnují podrobnou časovou osu nasazení. Tato časová osa ukazuje, jak tyto fáze odpovídají celkovému procesu. Zdůrazňuje, jak mohou organizace důkladně monitorovat výkon a testovat ovladače před širší distribucí.

• Pilotní nasazení (interní zavedení):

  • Počáteční vydání pro omezenou testovací skupinu.
  • Slouží k ověření chování v reálných prostředích.
  • Umožňuje rychlou reakci na regrese nebo problémy s kompatibilitou.

• Postupné zavedení (nasazení a kanárské testování):

  • Přírůstkově zvyšuje expozici na základě telemetrie a diagnostiky.
  • Pomáhá identifikovat systémové problémy a současně minimalizovat rozsáhlý dopad.
  • Upravte tempo zavedení a rozsah na základě metrik kvality a stavu zařízení.

Další informace najdete v článku Postupné zavádění aktualizací ovladačů v Microsoft Hardware Dev Center.

• Úplné nasazení (řízené zavedení):
  • Povoleno po úspěšném monitorování pilotní a postupné fáze zavádění.
  • Podporuje širší dosah napříč kompatibilními systémy globálně.

Monitorování a údržba po nasazení

Aktivně monitorujte spolehlivost ovladačů po vydání a detekujte a opravujte potenciální problémy.

Telemetrie a detekce problémů

• Ke sledování selhání ovladačů, včetně selhání způsobených ovladači v režimu jádra, jako jsou systémové havárie (testy chyb), použijte Zasílání zpráv o chybách systému Windows (WER) a zprávy o nasazení ovladačů.

• Informace o sestavách, jako jsou sestava selhání kohorty, sestava selhání modulu Plug and Play, sestava spolehlivosti a souhrnná sestava instalace ovladačů a stavu, naleznete v Centru pro vývoj hardwaru.

• Nepřetržitě monitorujte problémy s instalací a kompatibilitou hardwaru ve scénářích skutečného využití.

Reakce na problém a aktualizace ovladačů

• Vydání záplat k řešení zranitelností zabezpečení
• Poskytovat rychlé opravy nebo nové verze ovladačů na základě telemetrických dat.
• Předem publikovat kandidáty na vrácení zpět a alternativní ovladače.
• Komunikujte s podporou Microsoftu nebo kanály pro podporu ovladačů.

Další informace o nástrojích zabezpečení pro reakci na incidenty najdete v tématu Reakce na incidenty: Osvědčené postupy zabezpečení systému Windows pro integraci a správu nástrojů zabezpečení.

Aspekty ukončení podpory

• Naplánujte si bezproblémové vyřazení starších ovladačů a převodu uživatelů.
• Zajištění jasné komunikace a podpory pro uživatele během přechodů

Shrnutí

Bezpečné nasazení je průběžný proces, který zahrnuje:

1. Důkladné ověření a vyhodnocení zabezpečení před vydáním.
2. Použití kontrolovaných distribučních strategií ke snížení rizik.
3. Aktivně monitoruje nasazení a řeší problémy.

Tyto pokyny pomáhají partnerům hardwaru a firmwaru zlepšovat strategie nasazení a vytvářet zabezpečený a spolehlivý ekosystém Windows. Tyto osvědčené postupy jsou v souladu s principy zabezpečení systému Microsoft Windows a doporučeními pro podporu organizací, jako je CISA. Podporují proaktivní a spolupracující přístup ke spolehlivosti softwaru a stavu ekosystému.