структура PROCESS_MITIGATION_SIDE_CHANNEL_ISOLATION_POLICY (winnt.h)

  • Статья

Эта структура данных предоставляет состояние политик процессов, связанных с устранением рисков, связанных с побочными каналами. Сюда могут входить атаки на стороне канала, включающие спекулятивное выполнение и объединение страниц.

Синтаксис

typedef struct _PROCESS_MITIGATION_SIDE_CHANNEL_ISOLATION_POLICY {
  union {
    DWORD Flags;
    struct {
      DWORD SmtBranchTargetIsolation : 1;
      DWORD IsolateSecurityDomain : 1;
      DWORD DisablePageCombine : 1;
      DWORD SpeculativeStoreBypassDisable : 1;
      DWORD RestrictCoreSharing : 1;
      DWORD ReservedFlags : 27;
    } DUMMYSTRUCTNAME;
  } DUMMYUNIONNAME;
} PROCESS_MITIGATION_SIDE_CHANNEL_ISOLATION_POLICY, *PPROCESS_MITIGATION_SIDE_CHANNEL_ISOLATION_POLICY;

Члены

DUMMYUNIONNAME

DUMMYUNIONNAME.Flags

Этот элемент зарезервирован для использования системой.

DUMMYUNIONNAME.DUMMYSTRUCTNAME

DUMMYUNIONNAME.DUMMYSTRUCTNAME.SmtBranchTargetIsolation

Если значение РАВНО TRUE , то, пока этот процесс выполняется в пользовательском режиме, запрашивает применение аппаратных мер по устранению рисков, чтобы предотвратить загрязнение целевых объектов между Ветвями SMT.

Если оборудование не обеспечивает поддержку такого устранения рисков или устранение рисков было отключено на уровне всей системы, эта политика не действует.

Чтобы включить эту политику после запуска процесса, можно вызвать SetProcessMitigationPolicy. Его нельзя отключить после включения.

DUMMYUNIONNAME.DUMMYSTRUCTNAME.IsolateSecurityDomain

Если задано значение TRUE, этот процесс изолируется в отдельном домене безопасности даже от других процессов, выполняющихся в том же контексте безопасности. Это предотвращает перекрестное внедрение целевых ветвей.

Объединение страниц ограничено процессами в одном домене безопасности. Этот флаг фактически ограничивает процесс только внутренним объединением самого процесса, за исключением общих страниц и если только не ограничивается политикой DisablePageCombine .

Чтобы включить эту политику после запуска процесса, можно вызвать SetProcessMitigationPolicy. Его нельзя отключить после включения.

DUMMYUNIONNAME.DUMMYSTRUCTNAME.DisablePageCombine

Если задано значение TRUE, то отключает объединение всех страниц для этого процесса, даже внутри самого процесса, за исключением общих страниц (страниц полностью 0s или полностью 1s).

Чтобы включить эту политику после запуска процесса, можно вызвать SetProcessMitigationPolicy. Его нельзя отключить после включения.

DUMMYUNIONNAME.DUMMYSTRUCTNAME.SpeculativeStoreBypassDisable

Если значение РАВНО TRUE , то, пока этот процесс выполняется в пользовательском режиме, и для устранения рисков внутри процесса SSB запрашивает включение аппаратных мер защиты для спекулятивного обхода хранилища (SSB).

Если оборудование не обеспечивает поддержку такого устранения рисков или устранение рисков было отключено на уровне всей системы, эта политика не действует.

Чтобы включить эту политику после запуска процесса, можно вызвать SetProcessMitigationPolicy. Его нельзя отключить после включения.

DUMMYUNIONNAME.DUMMYSTRUCTNAME.RestrictCoreSharing

Если задано значение TRUE, планировщик ЦП запрещает планирование потоков в рамках этого процесса на то же ядро, что и потоки из другого домена безопасности.

Эту политику нельзя включить в системах, где планировщик не может предоставить эту гарантию. Например, эту политику нельзя включить для процессов на виртуальной машине, если гипервизор не сообщает об отсутствии общего доступа к ядрам, не относящихся к архитектуре.

Чтобы включить эту политику после запуска процесса, можно вызвать SetProcessMitigationPolicy. Его нельзя отключить после включения.

DUMMYUNIONNAME.DUMMYSTRUCTNAME.ReservedFlags

Этот элемент зарезервирован для использования системой.

Требования

Требование Значение
Заголовок winnt.h