Statusscheiding en -isolatie
Statusscheiding en isolatie beschermen kritieke delen van het HoloLens 2 besturingssysteem tegen wijzigingen, zoals de onderdelen die vereist zijn voor het opstarten van het besturingssysteem in een vertrouwde status. Met isolatietechnologie worden niet-vertrouwde apps verplaatst naar een geïsoleerde sandbox-omgeving, om ervoor te zorgen dat ze geen invloed hebben op de systeembeveiliging.
Statusscheiding
Statusscheiding op HoloLens 2 verbetert de beveiliging en het onderhoud aanzienlijk (bijwerken) en helpt uw toepassingsgegevens te beschermen. Statusscheiding werkt als volgt:
- Het kernbesturingssysteem wordt opgeslagen in het volume van het kernbesturingssysteem (vertrouwd of geverifieerd Microsoft-besturingssysteem dat het besturingssysteem bijwerkt).
- De delen van het besturingssysteem die tijdens runtime kunnen worden gewijzigd (zoals downloadbare stuurprogramma's en configuraties), gebruiken verdere statusscheiding om de gegevens te partitioneren en op te slaan in beveiligde, afzonderlijke opslaglocaties.
- Aan elke beveiligde opslaglocatie is een afzonderlijk beveiligingsbeleid gekoppeld, wat verschillende beveiligingsvoordelen biedt, zoals beschreven in de volgende sectie.
Voordelen van statusscheiding
- Beveiliging: de statusscheiding in HoloLens 2 verbetert de platformintegriteit, de weerstand tegen malware en de bescherming van gebruikersgegevens aanzienlijk. Door het onveranderlijke deel van het besturingssysteem te scheiden en het alleen-lezen of integriteitsbeveiliging te maken, maakt statusscheiding het moeilijk voor malware om te blijven bestaan bij een koude herstart.
- Updates: Met HoloLens 2 worden updates eenvoudig en betrouwbaar zodra het kernbesturingssysteem niet meer kan worden gewijzigd en netjes is gescheiden van de rest van de gegevens op het apparaat. Bovendien vormt statusscheiding de essentiële basis voor aanzienlijk snellere updates, waardoor het besturingssysteem in één stap (atomische eenheid) kan worden vervangen.
- Apparaat opnieuw instellen: HoloLens 2 opnieuw instellen wist door de gebruiker gegenereerde gegevens en gebruikers-app-gegevens op het apparaat, inclusief interne en externe opslaglocaties. De huidige besturingssysteem-apps en beveiligingskritieke apps en de huidige aangepaste Microsoft- en OEM-apps (vooraf geïnstalleerd) blijven behouden. Deze vooraf geïnstalleerde apps kunnen worden gerehydrateerd op het apparaat nadat het opnieuw instellen is voltooid
Statussen van statusscheiding
Statusscheiding zorgt ervoor dat het besturingssysteem alleen kan worden gewijzigd door onderdelen van vertrouwde Microsoft-apparaten en dat alleen de status van hoge waarde behouden blijft tijdens het opnieuw opstarten; andere systeemstatus bestaat alleen tijdens de opstartsessie en wordt verwijderd na het opnieuw opstarten. Als u een statusscheiding hebt, wordt het apparaat snel teruggezet naar de fabrieksstatus. Windows Holographic for Business statussen kunnen worden onderverdeeld in deze afzonderlijke categorieën:
- Kernbesturingssysteem : status onveranderbaar
- Besturingssysteemgegevens – Status wisselend
- Gebruikersgegevens : status wijzigbaar
Elk van deze HoloLens 2 operationele statussen wordt beschreven in de volgende sectie.
Kernbesturingssysteem
Een onveranderbare status omvat uitvoerbare bestanden en gegevens die onveranderbaar zijn en alleen door Microsoft kunnen worden gewijzigd tijdens de installatie van updates. Tijdens een dergelijke update van het kernbesturingssysteem wordt een nieuwe installatiekopie met de meest recente gewenste besturingssysteemstatus ingeschakeld. De onveranderbare status is gemarkeerd als alleen-lezen (of is op een andere manier beveiligd tegen integriteit), waardoor persistentie van malware met verhoogde bevoegdheden wordt voorkomen. De volgende uitvoerbare bestanden en gegevens zijn beveiligd in de onveranderbare status:
- Stuurprogramma's voor Postvak IN van Windows Holographic
- Binaire bestanden van besturingssysteem
- Stuurprogramma's voor Postvak IN van Windows
- Statische Windows Holographic-instellingen die zijn opgeslagen in Windows Registry Hive (HKLM)
- Voorbeeld: HKLM slaat de configuratiegegevens op voor de apps die op een computer zijn geïnstalleerd. Het slaat ook informatie op voor het detecteren van hardware en de bijbehorende stuurprogramma's. Door deze te beveiligen in de onveranderbare status (integriteit en alleen-lezen beveiligd), zorgen we ervoor dat het kernbesturingssysteem altijd wordt opgestart in een vertrouwde status. Wanneer een apparaat opnieuw wordt ingesteld, kunnen we er bovendien voor zorgen dat het apparaat alleen wordt opgestart in de onderdelen die zich in deze onveranderbare sectie bevinden.
Gegevens van het besturingssysteem
Het is belangrijk te weten dat uitvoerbare bestanden en gegevens die tijdens runtime kunnen worden gewijzigd (en die niet essentieel zijn voor de functie van het besturingssysteem), kunnen worden verwijderd en opnieuw kunnen worden gemaakt wanneer de gegevens beschadigd of aangetast zijn. Een afwisselende status van hoge waarde is ofwel functioneel vereist om te behouden door het besturingssysteem, of wordt verwacht te behouden tijdens het afsluiten van het besturingssysteem en/of bij het opnieuw opstarten door ondersteunde Windows-besturingssysteem- en apparaatscenario's. Voorbeelden van een veranderlijke status met hoge waarde zijn:
- IT Beheer geconfigureerde algemene apparaatinstellingen, zoals het uitschakelen van de locatie voor alle gebruikers.
- Wi-Fi-netwerkverbinding heeft toegang tot data-device-remembered netwerken en bijbehorende verbindingswachtwoorden.
- Crashdumps, inclusief instellingen, logboeken.
- Stuurprogramma's die op aanvraag zijn gedownload voor nieuw gedetecteerde apparaten. Een afwisselende status van hoge waarde op HoloLens 2 bevindt zich op de locatie van de gegevensbeveiliging van het besturingssysteem, als een opgeslagen bestand op schijf of in een permanente registercomponent.
Gebruikersgegevens
De laatste statuscategorie vertegenwoordigt gebruikersgegevens die worden geproduceerd of behouden door UWP-toepassingen of het besturingssysteem. Alle bekende gebruikersmappen zoals Downloads, Documenten, Video's, gebruikersprofielen en HKEY_CURRENT_USER hive worden ook opgeslagen op deze locatie. Deze gegevens kunnen niet worden geëxtraheerd zonder de juiste referenties; Zie Versleuteling en gegevensbescherming voor meer informatie over hoe uw gegevens worden beveiligd.
Isolatie
Om dit evenwicht te bereiken, heeft HoloLens 2 een kernbesturingssysteem dat wordt gebruikt voor primaire functies zoals opstarten, hardwarebeheer, aanmelden, enzovoort. Er zijn slechts twee sets toepassingen die worden uitgevoerd op het basisbesturingssysteem: vooraf geïnstalleerde toepassingen en UWP-apps.
Ondertekening van code
Door code digitaal te ondertekenen, kan worden aangetoond dat uitvoerbare bestanden en scripts niet zijn gewijzigd sinds ze zijn ondertekend door een vertrouwde bron, waardoor ze echtheid en integriteit bieden. De instanties die HoloLens 2 vertrouwt, zijn Microsoft en Microsoft Store. IT-beheerders kunnen nieuwe certificaten aan het apparaat toevoegen via de CSP's ClientCertificateInstall en RootCATrustedCertificates . Ze kunnen ook het beleid AllowAllTrustedApps gebruiken om andere sideload- of Line-Of-Business-apps te vertrouwen. Certificaten bevinden zich in het certificaatarchief van de lokale computer dat is opgeslagen in HKLM/Root als u 'Apparaat' gebruikt of in HKCU als u 'Gebruiker' gebruikt.
Defender-beveiliging
HoloLens 2 maakt gebruik van Microsoft-services om gebruikers een geavanceerd beveiligingsniveau te bieden:
Defender SmartScreen wordt automatisch ingeschakeld op Windows Holographic door het besturingssysteem en beschermt tegen phishing en malware, evenals het downloaden van mogelijk schadelijke bestanden, op Edge. Het kan niet worden uitgeschakeld door de gebruiker, maar kan worden uitgeschakeld via beleid.
Defender Firewall blokkeert niet-geautoriseerd netwerkverkeer van en naar uw apparaat. Het is standaard ingeschakeld en kan niet worden geconfigureerd door de klant via lokale acties of beleid.
Windows Defender Toepassingsbeheer: HoloLens 2 ondersteunt WDAC, waardoor IT-beheerder beleidsregels voor toepassingsbeheer naar het apparaat kan pushen. Meer informatie vindt u in WDAC gebruiken op HoloLens 2 apparaten met MSFT Intune.
IT-beheerders kunnen SmartScreen-gedrag beheren via AllowSmartScreen en browsergedrag via dit beleid.