¿Qué es secured-core server?

Se aplica a: Windows Server 2022, Azure Stack HCI, versión 21H2

El servidor de núcleo protegido proporciona mayores niveles de protección para entornos operativos. Esto incluye desde procesos de arranque, directamente hasta datos en memoria. Consigue una mayor protección avanzando una combinación de capacidades de hardware, firmware y controlador. El servidor de núcleo protegido se basa en tres pilares clave: seguridad simplificada, protección avanzada y defensa preventiva.

1. Seguridad simplificada

El hardware OEM certificado para servidor secured-core le ofrece la garantía de que el hardware, el firmware y los controladores cumplen los requisitos para las funcionalidades de servidor de núcleo protegido. Puede habilitar estas funcionalidades fácilmente mediante la configuración de sistemas Windows Server en el Windows Admin Center.

2. Protección avanzada

Las protecciones de servidor de núcleo protegido están diseñadas para ofrecer plataformas seguras para los datos y las aplicaciones críticos. La funcionalidad de núcleo protegido abarca las siguientes áreas:

  • Raíz de confianza de hardware

    Los módulos de plataforma segura (TPM) son chips de hardware insertados en la placa base o que se agregan a él. Los procesadores más recientes tienen TPM basados en firmware. Un TPM puede crear y almacenar claves de cifrado y almacenar otros secretos, como certificados. Este almacenamiento de chip es independiente del almacenamiento de memoria o disco tradicional que usan las aplicaciones y los sistemas operativos. Esto lo aísla de los ataques basados en software.

    Un chip TPM 2.0 puede comprobar la integridad del BIOS y el firmware del dispositivo. Puede compararlos con la información que se quemó en chips por fabricantes de dispositivos. Esta funcionalidad de arranque seguro comprueba que no se ha cargado ningún firmware o software no autorizado antes del sistema operativo. A continuación, permite que el sistema operativo se cargue. Esto crea una "raíz de confianza de hardware". Es una comprobación de nivel de hardware en la que el resto del sistema operativo y las aplicaciones pueden confiar.

    Obtenga más información sobre los módulos de plataforma segura y cómo Windows 10 usa el TPM.

  • Arranque seguro con raíz dinámica de confianza para la medición (DRTM)

La raíz de confianza para la medición (RTM) es una comprobación de seguridad que garantiza que los componentes del sistema no se han alterado. Esta característica de software está asistida por el TPM, pero no vive únicamente dentro del chip TPM. Muchos procesos diferentes se producen durante un arranque. Esto se conoce como la cadena de arranque. RTM mide y compara el entorno de arranque para comprobar que no se ha alterado. La cadena de arranque puede cambiar con el tiempo, incluido el orden en el que se cargan los componentes. La raíz dinámica de confianza para medición permite que los componentes se carguen primero y, a continuación, se mida.

  • Protección del sistema con protección de memoria directa de kernel (DMA)

    En el pasado, los dispositivos PCI estaban conectados a ranuras PCI de placa base, como tarjetas gráficas de alto rendimiento, por ejemplo. También se soldaron a veces en placas base. Estos dispositivos tenían acceso directo a la memoria del sistema de lectura y escritura mediante el procesador del sistema, por lo que son perfectos para tareas de alto rendimiento. Ahora también puede conectar determinados dispositivos PCI a puertos PCIe accesibles externamente, como lo haría con una tecla USB. Desafortunadamente, esto significa que los dispositivos desatendidos ahora podrían tener dispositivos PCI malintencionados conectados a ellos. Esto les permite leer la memoria del sistema o cargar código malintencionado sin ninguna defensa. Esto se conoce como un ataque por unidad.

    La protección contra DMA del kernel usa la unidad de administración de memoria de entrada y salida (IOMMU) para bloquear dispositivos PCI a menos que los controladores de esos dispositivos admitan el aislamiento de memoria, como la reasignación de DMA. La reasignación de DMA restringe los dispositivos a una ubicación de memoria específica (un dominio asignado previamente o una región de memoria física). Esto garantiza que los dispositivos tienen asignado un espacio libre de memoria para realizar funciones. No tienen acceso a ninguna otra información almacenada en la memoria del sistema. Si un controlador de dispositivo no admite la reasignación de DMA, no se podrá ejecutar en un servidor de núcleo protegido.

  • Seguridad basada en virtualización (VBS) e integridad de código basada en hipervisor (HVCI)

    Seguridad basada en virtualización. (VBS) usa características de virtualización basadas en hardware para crear y aislar una región segura de memoria, lejos del sistema operativo. Un servidor secured-core puede usarlo para proteger las credenciales de usuario autenticadas. También puede ejecutar otras características de seguridad lejos del alcance de cualquier malware que obtenga acceso al kernel del sistema operativo.

    Integridad de código basada en hipervisor. (HVCI) usa VBS para comprobar la integridad de los controladores y archivos binarios del modo kernel antes de que se inicien. También impide que los controladores sin firmar o los archivos del sistema se carguen en la memoria del sistema. La directiva de integridad de código configurable en modo de usuario comprueba las aplicaciones antes de cargarlas. Solo inicia ejecutables firmados por firmantes conocidos y aprobados. VBS ejecuta estas comprobaciones en un entorno aislado. Por lo tanto, el código no obtiene acceso al hipervisor o a la memoria del sistema hasta después de comprobarlo y comprobarlo desde dentro del entorno de VBS.

3. Defensa preventiva

Puede defenderse de forma proactiva y interrumpir muchas de las rutas de acceso que los atacantes usan para aprovechar los sistemas mediante la habilitación de la funcionalidad básica protegida. El servidor de núcleo protegido permite características de seguridad avanzadas en las capas inferiores de la pila de tecnología. Esto protege las áreas más privilegiadas del sistema antes de que muchas herramientas de seguridad sean conscientes de las vulnerabilidades de seguridad. También se produce sin necesidad de tareas o supervisión adicionales por parte de los equipos de TI y SecOps.