Perguntas frequentes sobre o Início Confiável

Artigo
02/04/2024

Cuidado

Este artigo faz referência ao CentOS, uma distribuição do Linux que está se aproximando do status de EOL (fim da vida útil). Considere seu uso e planeje adequadamente. Para obter mais informações, veja as Diretrizes sobre fim da vida útil do CentOS.

Perguntas frequentes sobre o início confiável. Casos de uso de recursos, suporte para outros recursos do Azure e correções para erros comuns.

Casos de uso

Por que devo usar o início confiável? Contra o que o início confiável oferece proteção?

O início confiável protege contra kits de inicialização, rootkits e malware de nível de kernel. Esses tipos sofisticados de malware são executados no modo kernel e permanecem escondidos dos usuários. Por exemplo:

Rootkits de firmware: esses kits substituem o firmware do BIOS da máquina virtual, portanto, o rootkit pode ser iniciado antes do sistema operacional.
Kits de inicialização: esses kits substituem o carregador de inicialização do sistema operacional, de forma que a máquina virtual o carregue antes do sistema operacional.
Rootkits de kernel: esses kits substituem uma parte do kernel do sistema operacional para que o rootkit possa ser iniciado automaticamente quando o sistema operacional for carregado.
Rootkits de driver: esses kits fingem ser um dos drivers confiáveis que o sistema operacional usa para se comunicar com os componentes da máquina virtual.

Como o início confiável se compara à VM blindada do Hyper-V?

A VM blindada do Hyper-V atualmente está disponível somente no Hyper-V. A VM Blindada do Hyper-V normalmente é implantada com a malha protegida. Uma malha protegida consiste em um HGS (serviço guardião de host), um ou mais hosts protegidos e um conjunto de VMs blindadas. As VMs blindadas do Hyper-V são usadas em malhas em que os dados e o estado da máquina virtual devem ser protegidos de vários atores. Esses atores são administradores de malha e software não confiável que podem estar em execução nos hosts Hyper-V. O início confiável, por outro lado, pode ser implantado como uma máquina virtual autônoma ou Conjuntos de Dimensionamento de Máquinas Virtuais no Azure sem outra implantação e gerenciamento do HGS. Todos os recursos de início confiáveis podem ser habilitados com uma simples alteração no código de implantação ou uma caixa de seleção no portal do Azure.

Posso desabilitar o Início Confiável para uma nova implantação de VM?

As VMs de Início Confiável fornecem segurança de computação fundamental e nossa recomendação não é desabilitar o mesmo para novas implantações de VM/VMSS, exceto se suas implantações tiverem dependência de:

Você pode usar o parâmetro securityType com o valor Standard para desabilitar o Início Confiável em novas implantações de VM/VMSS usando o Azure PowerShell (v10.3.0+) e a CLI (v2.53.0+)

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Posso desabilitar a opção Inicialização Segura para VMs de Inicialização Confiável?

A Inicialização Segura NÃO está habilitada por padrão, mas é recomendável habilitá-la se você não está usando kernel ou drivers personalizados não assinados. Depois que uma VM for criada com a opção Inicialização Confiável e Inicialização Segura habilitada, você poderá ir para a VM, na guia Configurações, acessar Configurações e desmarcar a opção "Habilitar inicialização segura".

Recursos e implantações com suporte

A Galeria de Computação do Azure é compatível com o início confiável?

O início confiável agora permite que imagens sejam criadas e compartilhadas por meio da Galeria de Computação do Azure (anteriormente Galeria de Imagens Compartilhadas). A origem da imagem pode ser:

uma VM do Azure existente generalizada ou especializada OU,
um disco gerenciado existente ou um instantâneo OU,
um VHD ou uma versão de imagem de outra galeria.

Para obter mais informações sobre a implantação de VMs de Início Confiável usando a Galeria de Computação do Azure, confira implantar VMs de Início Confiável.

O Backup do Azure é compatível com o início confiável?

O início confiável agora suporta o Backup do Azure. Para obter mais informações, consulte Matriz de suporte para backup de VM do Azure.

O Backup do Azure continuará funcionando depois de habilitar o início confiável?

Os backups configurados com política aprimorada continuarão a fazer backup da VM depois de habilitar o Início Confiável.

Os discos do sistema operacional efêmero são compatíveis com o início confiável?

O início confiável dá suporte a discos do sistema operacional efêmero. Para obter mais informações, confira Início Confiável para discos do sistema operacional efêmeros.

Observação

Ao usar discos efêmeros para VMs de Início Confiável, as chaves e os segredos gerados ou selados pelo vTPM após a criação da VM podem não persistir em operações como recriação de imagens e eventos de plataforma, como recuperação de serviço.

A máquina virtual pode ser restaurada usando o backup feito antes de habilitar o início confiável?

Os backups feitos antes de atualizar a VM existente da Geração 2 para o Início Confiável podem ser usados para restaurar a máquina virtual inteira ou discos de dados individuais. Eles não podem ser usados apenas para restaurar ou substituir o disco do sistema operacional.

Como posso encontrar tamanhos de VM que dão suporte ao início confiável?

Confira a lista de tamanhos de VM da Geração 2 que suportam o início confiável.

Os comandos a seguir podem ser usados para verificar se um Tamanho de VM de Geração 2 não dá suporte ao início confiável.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

A resposta é semelhante ao seguinte exemplo. TrustedLaunchDisabled True na saída indica que o tamanho da VM da Geração 2 não dá suporte ao início confiável. Se for um tamanho de VM da Geração 2 e TrustedLaunchDisabled não fizer parte da saída, isso implicará que o início confiável tem suporte para esse tamanho de VM.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Como posso validar que minha imagem do sistema operacional dá suporte ao início confiável?

Confira a lista de versões de sistema operacional compatíveis com o Início Confiável,

Imagens do sistema operacional do Marketplace

Os comandos a seguir podem ser usados para verificar se uma imagem do sistema operacional do Marketplace dá suporte ao Início Confiável.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

A resposta é semelhante ao seguinte exemplo. hyperVGenerationv2 e SecurityType que contém TrustedLaunch na saída indicam que a imagem do sistema operacional Geração 2 dá suporte ao Início Confiável.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

A saída do comando pode ser usada com Máquinas Virtuais – Obter API. A resposta é semelhante ao seguinte exemplo. hyperVGenerationv2 e SecurityType contidos na saída TrustedLaunch indicam que a imagem do sistema operacional Geração 2 dá suporte ao Início Confiável.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Imagem do sistema operacional da Galeria de Computação do Azure

Os comandos a seguir podem ser usados para verificar se uma imagem do sistema operacional da Galeria de Computação do Azure dá suporte ao Início Confiável.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Como os drivers de comunicação externos funcionam com VMs de Inicialização Confiável?

Adicionar portas COM requer desabilitar a Inicialização Segura. Portanto, as portas COM são desabilitadas por padrão em VMs de Inicialização Confiável.

Estados de energia

Estados específicos do recurso, tipos de inicialização e problemas comuns de inicialização.

O que é o Estado convidado da VM (VMGS)?

O estado de convidado da VM (VMGS) é específico da VM de início confiável. É um blob gerenciado pelo Azure e contém os bancos de dados de assinatura de inicialização segura uefi (interface de firmware extensível) unificados e outras informações de segurança. O ciclo de vida do blob VMGS está vinculado ao do disco do sistema operacional.

Quais são as diferenças entre a Inicialização Segura e a inicialização medida?

Na cadeia de inicialização segura, cada etapa no processo de inicialização verifica uma assinatura criptográfica das etapas subsequentes. Por exemplo, o BIOS verifica uma assinatura no carregador, e o carregador verifica as assinaturas de todos os objetos do kernel que ele carrega, e assim por diante. Se algum dos objetos estiver comprometido, a assinatura não corresponderá e a VM não será inicializada. Para saber mais, confira Inicialização Segura. A inicialização medida não interrompe o processo de inicialização, mede ou calcula o hash dos próximos objetos na cadeia e armazena os hashes nos PCRs (Registros de Configuração de Plataforma) no vTPM. Os registros de inicialização medidos são usados para o monitoramento da integridade da inicialização.

Por que a Máquina Virtual de Início Confiável não está inicializando corretamente?

Se componentes não assinados forem detectados da UEFI (firmware de convidado), carregador de inicialização, sistema operacional ou drivers de inicialização, uma Máquina Virtual de Início Confiável não será inicializada. A configuração de inicialização segura na máquina virtual de Início Confiável falhará ao inicializar se componentes de inicialização não assinados ou não confiáveis forem encontrados durante o processo de inicialização e relatarão como uma falha de inicialização segura.

O pipeline de início confiável da inicialização segura para drivers de terceiros

Observação

As máquinas virtuais de início confiável criadas diretamente a partir de uma imagem do Azure Marketplace não devem encontrar falhas de Inicialização Segura. As imagens da Galeria de Computação do Azure com uma fonte de imagem original do Marketplace e instantâneos criados a partir de VMs de Início Confiável também não devem encontrar esses erros.

Como verificar um cenário sem inicialização no portal do Azure?

Quando uma máquina virtual fica indisponível de uma falha de Inicialização Segura, "sem inicialização" significa que a máquina virtual tem um componente do sistema operacional assinado por uma autoridade confiável, que bloqueia a inicialização de uma VM de Início Confiável. Na implantação da VM, os clientes podem ver informações da integridade do recurso no portal do Azure informando que há um erro de validação na inicialização segura.

Para acessar a integridade do recurso na página de configuração da máquina virtual, navegue até Resource Health no painel "Ajuda".

Siga as "Etapas Recomendadas" descritas na tela de integridade do recurso. As instruções incluem uma captura de tela e um log serial para download do diagnóstico de inicialização da máquina virtual.

Se você verificou que a não inicialização foi causada por uma falha de inicialização segura:

A imagem que você está usando é uma versão mais antiga que pode ter um ou mais componentes de inicialização não confiáveis e está em um caminho de substituição. Para corrigir uma imagem desatualizada, atualize para uma versão de imagem mais recente com suporte.
A imagem que você está usando pode ter sido criada fora de uma origem do marketplace ou os componentes de inicialização foram modificados e contêm componentes de inicialização não assinados ou não confiáveis. Para verificar se a imagem tem componentes de inicialização não assinados ou não confiáveis, consulte "Verificando falhas de inicialização segura".
Se os dois cenários acima não se aplicarem, a máquina virtual estará potencialmente infectada com malware (bootkit/rootkit). Considere excluir a máquina virtual e recriar uma nova VM da mesma imagem de origem enquanto avalia todos os softwares que estão sendo instalados.

Verificando falhas de inicialização segura

Máquinas virtuais do Linux

Para verificar quais componentes de inicialização são responsáveis por falhas de Inicialização Segura em uma Máquina Virtual linux do Azure, os usuários finais podem usar a ferramenta SBInfo do Pacote de Segurança do Linux.

Desativar inicialização segura
Conecte-se à sua máquina virtual de Início Confiável do Linux do Azure.
Instale a ferramenta SBInfo para a distribuição em que sua máquina virtual está em execução. Ele reside no Pacote de Segurança do Linux

Esses comandos se aplicam ao Ubuntu, ao Debian e a outras distribuições baseadas em debian.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Esses comandos se aplicam a RHEL, CentOS e outras distribuições baseadas no Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Esses comandos se aplicam a SLES, openSUSE e outras distribuições baseadas em SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Depois de instalar o Pacote de Segurança do Linux para sua distribuição, execute o comando "sbinfo" para verificar quais componentes de inicialização são responsáveis por falhas de Inicialização Segura exibindo todos os módulos, kernels e carregadores de inicialização não assinados.

sudo sbinfo -u -m -k -b

Para saber mais sobre a ferramenta de diagnóstico SBInfo, você pode executar "sudo sbinfo -help".

Por que estou recebendo uma falha de monitoramento de integridade de inicialização?

O início confiável para as Máquinas Virtuais do Azure é monitorada para ameaças avançadas. Se essas ameaças forem detectadas, um alerta é disparado. Os alertas só estarão disponíveis se os recursos de segurança aprimorada do Defender para Nuvem estiverem habilitados.

O Microsoft Defender para Nuvem executa periodicamente o atestado. Se o atestado falhar, um alerta de severidade médio é disparado. O atestado de início confiável pode falhar pelos seguintes motivos:

As informações atestadas, que incluem um log da TCB (base de computação confiável), se desviam de uma linha de base confiável (como quando a Inicialização Segura está habilitada). Qualquer desvio indica que um módulo não confiável foi carregado e o sistema operacional pode estar comprometido.
A cotação de atestado não pôde ser verificada para se originar do vTPM da VM atestada. A falha de verificação indica que um malware está presente e pode estar interceptando o tráfego para o TPM.
A extensão de atestado na VM não está respondendo. Uma extensão sem resposta indica um ataque de negação de serviço por malware ou um administrador do sistema operacional.

Certificados

Como os usuários podem estabelecer uma raiz de confiança com as VMs de Início confiável?

O certificado público virtual do TPM AK fornece aos usuários visibilidade das informações sobre a cadeia de certificados completa (Certificados Raiz e Intermediário), ajudando-os a validar a confiança no certificado e na cadeia raiz. Para garantir que os consumidores de Início confiável tenham continuamente a postura de segurança mais alta, ele fornece informações sobre as propriedades da instância, para que os usuários possam rastrear de volta para a cadeia completa.

Instruções de download

Certificados de pacote, em conformidade com .p7b (Autoridade de Certificação Completa) e .cer (AC Intermediária), revelam a autoridade de certificação e assinatura. Copie o conteúdo relevante e use as ferramentas de certificado para inspecionar e avaliar detalhes dos certificados.

Clique para baixar o .crt para a Autoridade de Certificado Raiz do TPM Virtual do Azure 2023

Autoridade de Certificado Raiz do TPM Virtual do Azure 2023

Selecione para exibir o conteúdo de .p7b

AC do TPM Virtual Global – 01:

Selecione para exibir o conteúdo do .cert para o Certificado Raiz