Windows Defender Device Guard: รักษาความปลอดภัย Windows 10 และ Server ด้วย Application Whitelisting

โดย

Kelly M. Stewart

เผยแพร่: 26 เม.ย. 2566 (Apr 26, 2023)

Windows Defender Device Guard เป็นคุณสมบัติความปลอดภัยสำหรับ Windows 10 และ Windows Server ที่ออกแบบมาเพื่อใช้ Application Whitelisting (รายการอนุญาตแอปพลิเคชัน) และนโยบาย Code Integrity (ความสมบูรณ์ของโค้ด) เพื่อปกป้องอุปกรณ์ของผู้ใช้จากโค้ดอันตรายที่อาจทำลายระบบปฏิบัติการ

ด้วยนโยบาย Code Integrity ซึ่งแอดมิน IT สร้างขึ้นเพื่อกำหนดว่าซอฟต์แวร์ใดสามารถรันบน Windows 10 ได้ IT สามารถป้องกันแอปพลิเคชันที่ไม่รู้จักหรือไม่น่าเชื่อถือ รวมถึงปลั๊กอิน (Plug-ins), Add-ons หรือโมดูลแอปพลิเคชันอื่นๆ ให้ไม่สามารถเข้าถึงอุปกรณ์ของผู้ใช้ปลายทางได้

Device Guard ทำงานร่วมกับ AppLocker ของ Microsoft และ Windows Defender Credential Guard เพื่อให้ระบบความปลอดภัยแบบป้องกัน (Preventative Security System) IT สามารถใช้ Device Guard ร่วมกับ Virtual Secure Mode (VSM) ซึ่งเป็น Windows Hypervisor-Protected Kernel เพื่อให้ความปลอดภัยแบบ Virtualization-based Security (VBS) ซึ่งช่วยกันไดรเวอร์และไฟล์ที่เป็นอันตรายไม่อยู่ในระบบ

ตามเว็บไซต์ของ Microsoft "Device Guard ไม่ได้ถูกใช้งานแล้ว ยกเว้นเพื่อค้นหาการตั้งค่า Memory Integrity และ VBS ใน Group Policy หรือ Windows Registry"

Windows Defender Device Guard ทำงานอย่างไร?

Windows Defender Device Guard ใช้นโยบาย Code Integrity (ซึ่งรู้จักกันในชื่อ Windows Defender Application Control ตั้งแต่ Windows 10 เวอร์ชัน 1709) เพื่อให้ IT สามารถ Allowlist (อนุญาต) แอปพลิเคชันและส่วนขยายภายในแอปพลิเคชันเหล่านั้นที่สามารถรันบน OS ได้ นี่ช่วยให้ IT บล็อกซอฟต์แวร์ที่ไม่ต้องการก่อนที่มันจะเข้าสู่ระบบ IT ยังสามารถสร้างชุดผู้ใช้ที่เชื่อถือได้พร้อมลายเซ็นที่เชื่อถือได้ ซึ่งเป็นคนเพียงกลุ่มเดียวที่สามารถเปลี่ยนแปลงนโยบาย Code Integrity ได้ Device Guard รันนโยบาย Code Integrity ผ่าน Kernel ใน Container

Device Guard ให้ความปลอดภัยสำหรับการปรับใช้ (Deployment) เดสก์ท็อปทั้งแบบ Physical และ Virtual Device Guard Code Integrity Policies ทำงานบน CPU Virtualization Extensions, Second Level Address Translations และ Input/Output Memory Management Units (IOMMUs)

คุณสมบัติหลักของ Windows Defender Device Guard

เครื่องมือเพิ่มเติมใน Windows Defender Application Control ที่เรียกว่า Package Inspector สร้างแคตตาล็อกของไฟล์ไบนารี (Binary Files) สำหรับแอปพลิเคชันที่เชื่อถือได้ทั้งหมด แม้มัลแวร์จะรั่วเข้า VSM Kernel Device Guard ก็ป้องกันไม่ให้มันรันโค้ดด้วยการตรวจสอบ Code Integrity ในระบบที่ปลอดภัย หากมีการโจมตี Direct Memory Access (DMA) IOMMUs จะปฏิเสธการเข้าถึงคำขอหน่วยความจำที่ผิดปกติ Windows Defender Device Guard ยังมี Universal Extensible Firmware Interface ที่ดำเนินการ Secure Boot เพื่อป้องกัน Bootkits และโจมตี Brute-force

เครื่องมือสำหรับจัดการ Windows Defender Device Guard

ผู้เชี่ยวชาญ IT สามารถใช้วิธีการจัดการที่คล้ายกันกับ Device Guard เหมือนกับโปรแกรม Windows อื่นๆ IT สามารถตั้งค่าและจัดการไฟล์แคตตาล็อกและนโยบาย Code Integrity ด้วย Group Policy Objects ใน Administrative Template IT สามารถปรับใช้และจัดการนโยบาย Code Integrity ไฟล์แคตตาล็อก และคุณสมบัติความปลอดภัยของฮาร์ดแวร์ด้วย System Center Configuration Manager Windows PowerShell ทำงานได้ดีสำหรับผู้เชี่ยวชาญ IT ที่ต้องการโฟกัสที่การสร้างและกระจายนโยบาย Code Integrity Microsoft Intune อาจรองรับการปรับใช้และจัดการไฟล์แคตตาล็อกและนโยบาย Code Integrity ในอนาคต ตามที่ Microsoft ระบุ