Настройка сервера Secured-core

Secured-core — это коллекция возможностей, которые предлагают встроенные аппаратные, встроенное ПО, функции безопасности драйвера и операционной системы. В этой статье показано, как настроить сервер Secured-core с помощью Центра Администратор Windows, рабочего стола Windows Server и групповой политики.

Защищенный сервер предназначен для обеспечения безопасной платформы для критически важных данных и приложений. Дополнительные сведения см. в разделе "Что такое сервер Secured-core"?

Необходимые компоненты

Прежде чем настроить сервер Secured-core, необходимо установить и включить следующие компоненты безопасности в BIOS:

• Безопасная загрузка.
• Доверенный модуль платформы (TPM) 2.0.
• Системное встроенное ПО должно соответствовать требованиям защиты DMA до уровня DMA и задать соответствующие флаги в таблицах ACPI, чтобы включить защиту ядра DMA. Дополнительные сведения о защите DMA ядра см. в разделе "Защита от атак DMA ядра" (защита доступа к памяти) для изготовителей оборудования.
• Процессор с поддержкой, включенной в BIOS для:
  • Расширения виртуализации.
  • Единица управления входной и выходной памятью (IOMMU).
  • Динамический корень доверия для измерения (DRTM).
  • Прозрачное шифрование безопасной памяти также требуется для систем на основе AMD.

Внимание

Включение каждой функции безопасности в BIOS может отличаться в зависимости от поставщика оборудования. Обязательно проверка руководство по включению сервера Secured-core изготовителя оборудования.

Вы можете найти оборудование, сертифицированное для сервера Secured-core, из каталога Windows Server и серверов Azure Stack HCI в каталоге Azure Stack HCI.

Включение функций безопасности

Чтобы настроить защищенный сервер, необходимо включить определенные функции безопасности Windows Server, выберите соответствующий метод и выполните действия.

GUI

Вот как включить защищенный сервер с помощью пользовательского интерфейса.

1. В классическом меню Windows откройте меню "Пуск", выберите Windows Администратор istrative Tools, откройте окно "Управление компьютерами".
2. В управлении компьютером выберите диспетчер устройств, при необходимости устраните любую ошибку устройства.
   1. Для систем на основе AMD убедитесь, что устройство с загрузочным драйвером DRTM присутствует перед продолжением
3. В классическом меню Windows откройте меню "Пуск" и выберите Безопасность Windows.
4. Выберите сведения об изоляции ядра безопасности > устройств, а затем включите защиту целостности памяти и встроенного ПО. Возможно, вы не сможете включить целостность памяти, пока вы не включили защиту встроенного ПО в первую очередь и перезагрузили сервер.
5. Перезапустите сервер при появлении запроса.

После перезапуска сервера сервер включен для сервера Secured-core.

Windows Admin Center

Вот как включить защищенный сервер с помощью Центра Администратор Windows.

1. Войдите на портал Центра Администратор Windows.
2. Выберите сервер, к которому нужно подключиться.
3. Выберите "Безопасность " с помощью левой панели, а затем перейдите на вкладку "Защищенный ядро ".
4. Проверьте функции безопасности с состоянием "Не настроено", а затем нажмите кнопку "Включить".
5. При уведомлении выберите "Запланировать перезагрузку системы", чтобы сохранить изменения.
6. Выберите немедленное перезапуск или запланировать перезагрузку в любое время, подходящее для рабочей нагрузки.

После перезапуска сервера сервер включен для сервера Secured-core.

Групповая политика

Вот как включить защищенный сервер для членов домена с помощью групповой политики.

1. Откройте консоль управления групповыми политиками, создайте или измените политику, примененную к серверу.

2. В дереве консоли выберите configuration computer configuration > Администратор istrative templates > System > Device Guard.

3. Для параметра щелкните правой кнопкой мыши параметр "Включить безопасность на основе виртуализации" и выберите "Изменить".

4. Выберите "Включено", в раскрывающихся меню выберите следующее:

   1. Выберите безопасную загрузку и защиту DMA для уровня безопасности платформы.
   2. Выберите включенный без блокировки или включения с блокировкой UEFI для защиты целостности кода на основе виртуализации.
   3. Выберите "Включена " для конфигурации безопасного запуска.

   Внимание

   Если вы используете включенную блокировку UEFI для защиты целостности кода на основе виртуализации, она не может быть удалена удаленно. Чтобы отключить эту функцию, необходимо задать для групповой политики значение "Отключено ", а также удалить функции безопасности с каждого компьютера с физическим пользователем, чтобы очистить конфигурацию, сохраненную в UEFI.

5. Нажмите кнопку ОК, чтобы завершить настройку.

6. Перезапустите сервер, чтобы применить групповую политику.

После перезапуска сервера сервер включен для сервера Secured-core.

Проверка конфигурации сервера Secured-core

Теперь, когда вы настроили сервер Secured-core, выберите соответствующий метод для проверки конфигурации.

GUI

Вот как проверить настройку сервера Secured-core с помощью пользовательского интерфейса.

1. На рабочем столе Windows откройте меню "Пуск", введитеmsinfo32.exe, чтобы открыть Сведения о системе. На странице "Сводка системы" подтвердите:

   1. Состояние безопасной загрузки и защита DMA ядра включена.

   2. Безопасность на основе виртуализации выполняется.

   3. Службы безопасности на основе виртуализации отображают гипервизор с принудительной целостностью кода и безопасным запуском.

      

Windows Admin Center

Ниже показано, как проверить настройку сервера Secured-core с помощью Центра Администратор Windows.

1. Войдите на портал Центра Администратор Windows.

2. Выберите сервер, к которому нужно подключиться.

3. Выберите "Безопасность " с помощью левой панели, а затем перейдите на вкладку "Защищенный ядро ".

4. Убедитесь, что все функции безопасности имеют состояние "Настроено".

   

Групповая политика

Чтобы проверить, применена ли групповая политика к серверу, выполните следующую команду из командной строки с повышенными привилегиями.

gpresult /SCOPE COMPUTER /R /V

В выходных данных убедитесь, что параметры Device Guard применяются в разделе Администратор istrative Templates. В следующем примере показаны выходные данные при применении параметров.

        Administrative Templates
        ------------------------
            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\LsaCfgFlags
                Value:       3, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures
                Value:       3, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
                Value:       1, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HypervisorEnforcedCodeIntegrity
                Value:       2, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HVCIMATRequired
                Value:       0, 0, 0, 0
                State:       Enabled

            GPO: Local Group Policy
                Folder Id: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureSystemGuardLaunch
                Value:       1, 0, 0, 0
                State:       Enabled

Убедитесь, что сервер Secured-core настроен, выполнив действия.

1. На рабочем столе Windows откройте меню "Пуск", введитеmsinfo32.exe, чтобы открыть Сведения о системе. На странице "Сводка системы" подтвердите:

   1. Состояние безопасной загрузки и защита DMA ядра включена.

   2. Безопасность на основе виртуализации выполняется.

   3. Службы безопасности на основе виртуализации отображают гипервизор с принудительной целостностью кода и безопасным запуском.

      

Следующие шаги

Теперь, когда вы настроили сервер Secured-core, ниже приведены некоторые ресурсы для получения дополнительных сведений:

• Безопасность на основе виртуализации (VBS)
• Включение целостности памяти и VBS
• Безопасный запуск System Guard