Device Guard Mimarisi

Device Guard Mimarisi Code Integrity Policies ve Virtualization Based Security teknolojileri sonrası Windows 10 Güvenlik çözümleri çin geliştirilmiş yeni bir koruma yöntemidir.

Device Guard teknolojisi yapılandırıldığı zaman Code Integrity Policies içinde bulunmayan hiçbir uygulamaya artık güvenilmeyecektir. Bilgisayar üzerinde yönetici haklarına sahip olsak bile uygulamalar yüklenemeyecek ve kullanıcıların oluşturmuş olduğu zafiyetlerin önüne geçilecektir.

Virtualization Based Security özelliği yapılandırıldığı zaman Windows 10 işletim sistemi Kernel Seviyesinde koruma sağlayacaktır. Saldırgan tarafından yazılmış olan bir yazılım, işletim sisteminin çekirdeğini yönetmek istediği zaman çalıştırabileceği kodlar geçersiz olacaktır.

Device Guard teknolojisi Virtualization Based Security ve Code Integrity Policies kullanmaktadır. Bu iki teknoloji Windows 10 Device Guard Güvenlik anlayışının temelini oluşturmaktadır. Bu iki farklı teknoloji sayesinde uçtan uca güvenlik dediğimiz çözüm, Windows 10 kullanıcı bilgisayarlarında sağlanabilmektedir.

Her gün, binlerce farkı türden saldırı yöntemleri gelişmekte ve birçok kez geleneksel koruma yöntemleri yeni saldırılara karşı çaresiz kalmaktadır. Windows 10 Device Guard güvenlik çözümü Windows 10 Enterprise sürümleri için kullanılmakta, donanım ve yazılım seviyesi katmanında koruma sağlamaktadır.

Device Guard Güvenlik çözümü sayesinde, kullanıcılarımız yönetici haklarına sahip olsalar bile zararlı yazılımları yüklemeleri engellenmiş olmaktadır. Kullanıcıların bilinçsiz bir şekilde yüklediği yazılımlar, Antivirus yazılımları tarafından fark edilmeyen uygulamalar veya kullanıcılarımızın farkında olmadan verdiği izinler Device Guard Güvenlik çözümü ile engellenmektedir.

Code Integrity Policies sadece kullanıcı arabiriminde çalışan kod üzerinden değil, aynı zamanda Windows 10 Güvenlik gereksinimleri için Kernel seviyesinde korumayı sağlamaktadır. Bu özellik ile yazılım sürücüleri üzerinde ve Windows 10 işletim sisteminin bir parçası olarak çalışan uygulamalar üzerinde kontrol politikası belirlenebilmektedir.

Anti virüs yazılımlarının veya diğer güvenlik çözümlerinin algılayamadığı saldırı yöntemlerinde Code Integrity Policy ile yapılandırılmış koruma çözümleri ön plana çıkmaktadır. Code Integrity Policy içinde bulunan uygulamalar güvenli ve kullanılabilir olarak algılanacak ve saldırganların yazmış olduğu kötü kodlar etkisiz kalacaktır.

Code Integrity Policies

Code Integrity iki ana bölümden oluşmaktadır. KMCI (Kernel Mode Code Integrity) ve UMCI (User Mode Code Integrity) olarak adlandırılmaktadır. KMCI daha önceki işletim sistemlerinde bulunmaktaydı ve imzalanmayan sürücülere karşı işletim sistemini korumaktaydı.

Kernel Mode Code Integrity

KMCI teknolojisinin daha önceki işletim sistemlerinde bulunduğunu bilmekteyiz ve yukarıda gösterilen mimaride Windows 8.1 içinde bulunan KMCI mimarisi gösterilmektedir.

Daha önceki işletim sistemlerimiz üzerinde bulunan Kernel mod’ un birçok avantajı bulunmaktaydı ve bu avantajları yeni işletim sisteminde gelişerek devam etmektedir.

Fakat mimariye baktığımız zaman bir güvenlik açığı bulunmakta. Son kullanıcının sahip olduğu ara yüz ile işletim sisteminin yüklü olduğu bölüm aynı platform üzerinde çalışmaktadır.

Kernel Security Check

Kernel Mod ile User Mod un aynı platform üzerinde barınmasının bir çok kötü yanı bulunmaktadır.  Kullanıcının bilgisayarına yüklemiş olduğu zararlı bir uygulama, kötü amaçlı bir kod Windows 10 işletim sisteminin bozulmasına neden olmaktadır.

Birçok Windows kullanıcısı yukarıdaki Kernel Security Check uyarısını almıştır. Bu hatanın birçok nedeni vardır ama en bilinen nedenleri yanlış veya imzasız sürücü yüklenmesi ve virüslü bir dosyanın işletim sistemini bozması veya çalışmasıdır.

Virtualization Based Security

Virtualization-Based Security ve Code Integrity Policies donanım özelliklerinden ve sanallaştırma teknolojilerinden yararlanarak Device Guard çözümü ile güvenlik seviyelerini yukarıya çekti.

CPU virtualization extensions (Intel VT-x or AMD-V) ve Second level address translation özelliklerini içermektedir. Input/output memory management birimi olan IOMMUs İle güçlendirilmiş bir güvenliği bizlere sunulmaktadır.

Hyper-V Microkernelized

Hyper-V Microkernelized

Aslında bugün konuşmaya başlamış olduğumuz Device Guard güvenlik çözümünün ilk adımları çok uzun zaman önce atıldı. Device Guard teknolojisinin çalışma mantığını anlayabilmek için Hyper-V mimarisini iyi bir şekilde analiz etmemiz gerekmektedir. Hikâyenin başlangıcı Microkernelized ve Monolithic mimarilerinin savaşı ile başlamıştır.

Hyper-V Hypervisor

Hyper-V Özelliklerinden bu kadar bahsettik ama yanlış anlaşılmasın, Device Guard teknolojisi Hyper-V sunucusu ile birlikte kullanılan bir teknoloji değildir. Device Guard teknolojisi Hyper-V Hypervisor teknolojisini kullanmaktadır. Windows 10 Enterprise sürümü ile birlikte son kullanıcı bilgisayarlarında Windows Server 2016 ile fiziksel sunucularında kullanılmaktadır.

Generation 2 Virtual Machine

Device Guard Teknolojisi sanallaştırma platformunda da çalışabilmektedir. Hyper-V Sanallaştırma Platformu üzerinde çalışan Generation 2 olarak yapılandırılmış Windows 10 Enterprise, Windows 10 Education, Windows 2016 Server ve Windows Enterprise IoT işletim sistemleri içinde kullanılabilmektedir.

Device Guard Donanım bazlı yapılandırıldığı zaman Virtualization Based Security özelliklerinden yararlanabileceğiz. VBS ile birlikte yapılandırıldığı zaman

• Windows 10 un yüklenmiş olduğu bilgisayar üzerinde UEFI firmware version kontrolü,
• UEFI Secure Boot özelliğinin kontrolü
• Secure firmware update işlemlerinin kontrolü,
• HVCI compatible drivers kontrolü gibi birçok güvenlik avantajlarından yararlanabileceğiz.

Device Guard requirements for baseline protections adresinde her bir versiyon ile birlikte ürünün gelişimini ve güncel versiyon ile hangi Güvenlik önlemlerini alabileceğimizi görebiliriz.