Instruktor: W tej lekcji zbadamy
niektóre funkcje bezpieczeństwa
w BIOS-ie i UEFI.
Oprócz zapewnienia ochrony w naszej sieci i środowisku
systemu operacyjnego, musimy również wziąć
pod uwagę bezpieczeństwo naszego środowiska
systemu przedoperacyjnego.
Jest to obszar komputera,
który może zostać zaatakowany podczas
fazy rozruchu, dlatego należy wziąć pod
uwagę zabezpieczenia bootloadera, w tym hasła BIOS i UEFI, bezpieczny
proces rozruchu oraz ustawienie uprawnień na portach
USB płyty głównej.
Należy pamiętać, że BIOS i UEFI to dwa różne typy oprogramowania
układowego, które są używane w naszych komputerach, aby pomóc
nam podczas ładowania i uruchamiania naszego systemu operacyjnego.
Każdy komputer może mieć zainstalowany BIOS lub
UEFI, ale nie oba.
BIOS to podstawowy system wejścia/wyjścia i jest to
interfejs oprogramowania układowego, który inicjuje
sprzęt dla systemu operacyjnego w celu jego uruchomienia.
Komputery, które polegają na BIOS-ie, używają głównego
rekordu rozruchowego (MBR) do przechowywania informacji rozruchowych i identyfikowania
partycji danego dysku twardego, które zawierają system
operacyjny do załadowania.
BIOS to starszy, bardziej zaawansowany typ oprogramowania układowego.
Z drugiej strony UEFI, czyli zunifikowana inicjatywa rozszerzalnego oprogramowania
układowego, jest nowszym typem oprogramowania układowego.
UEFI to rodzaj oprogramowania układowego systemu, który zapewnia
obsługę 64-bitowych operacji procesora podczas rozruchu, pełny graficzny
interfejs użytkownika i operacje myszy podczas rozruchu oraz lepsze
bezpieczeństwo rozruchu.
Komputery korzystające z UEFI będą używać tablicy
partycji GUID znanej jako GPT do przechowywania informacji rozruchowych.
UEFI zapewnia możliwość dostępu i uruchamiania
systemu z dysków o rozmiarze ponad dwóch terabajtów i zapewnia
architekturę i sterowniki niezależne od procesora, a także
środowisko pre-OS, które może obejmować funkcje sieciowe
i dostęp do przeglądania stron internetowych.
Ogólnie rzecz biorąc, UEFI jest nowszy i bardziej zaawansowany niż
BIOS i zapewnia dodatkowe zabezpieczenia i kontrole
integralności podczas procesu rozruchu, w tym bezpieczny rozruch.
Teraz BIOS i UEFI mogą być również chronione
za pomocą kilku różnych typów haseł.
Obejmuje to hasło nadzorcy, administratora
lub konfiguracji, hasło użytkownika lub systemu oraz hasło
pamięci masowej lub dysku twardego.
Hasło nadzorcy, administratora lub konfiguracji
to pierwszy typ hasła, które można znaleźć podczas
korzystania z systemu BIOS lub UEFI.
Hasło to służy do ochrony dostępu do programu
konfiguracyjnego BIOS lub UEFI i uniemożliwia nieautoryzowanym
użytkownikom dostęp do tego wrażliwego narzędzia
konfiguracyjnego.
Jeśli ustawisz to hasło, za każdym razem, gdy ktoś spróbuje
wejść do BIOS-u lub UEFI, będzie to wymagało wprowadzenia
hasła przed udzieleniem dostępu, ale nie
uniemożliwi to włączenia komputera i uruchomienia normalnego
środowiska systemu operacyjnego.
Hasło to prawie zawsze będzie skonfigurowane na komputerach
w sieci korporacyjnej lub korporacyjnej,
aby użytkownicy końcowi nie mogli uzyskać dostępu do BIOS-u lub UEFI,
ale administratorzy systemu i technicy mogą to zrobić,
jeśli mają odpowiednie hasło.
Hasło użytkownika lub hasło systemowe to drugi
typ hasła, które można skonfigurować w systemie BIOS lub UEFI.
Hasło to służy do blokowania dostępu do całego komputera.
Za każdym razem, gdy komputer zostanie
włączony, zatrzyma się i poprosi o hasło.
Jeśli użytkownik końcowy wprowadzi prawidłowe hasło, komputer będzie
kontynuował ładowanie systemu operacyjnego i uruchamianie.
Chociaż jest to bardzo bezpieczna metoda ochrony komputera, prawie
nigdy nie jest używana w sieciach korporacyjnych lub korporacyjnych, ponieważ
hasło to musiałoby być udostępniane wszystkim
użytkownikom, którzy uzyskują dostęp do tego komputera, a to wspólne
hasło neguje część bezpieczeństwa, które próbujemy uzyskać.
Zamiast tego, zwykle zobaczysz hasło użytkownika lub hasło systemowe
używane tylko na czyimś komputerze, gdy
jest on jedynym użytkownikiem.
Jest to oddzielne i inne hasło niż hasło
użytkownika, które będzie używane
do uzyskania dostępu do systemu Windows, Linux lub MacOS, a zamiast
tego zapewnia użytkownikowi dostęp do systemu
w środowisku systemu przedoperacyjnego.
Trzeci typ hasła jest znany jako hasło pamięci
masowej lub dysku twardego.
Ten typ hasła był bardzo popularny przed
włączeniem modułu zaufanej platformy lub sprzętowego
modułu bezpieczeństwa do nowoczesnych komputerów.
Hasło to blokowałoby dostęp do dysku twardego
podłączonego do systemu i wymagałoby od użytkownika
końcowego wprowadzenia hasła w celu odczytania
dysku twardego i załadowania systemu operacyjnego.
W przeciwieństwie do hasła użytkownika lub hasła systemowego, które
blokuje użytkownikowi dostęp do całego systemu do
momentu wprowadzenia prawidłowego hasła, hasło pamięci
masowej lub dysku twardego zablokuje tylko dysk
twardy i możliwość uruchomienia z niego systemu operacyjnego.
Kolejną funkcją bezpieczeństwa, którą musimy
omówić, jest bezpieczny rozruch.
Bezpieczny rozruch można włączyć w interfejsie
i ustawieniach UEFI i nie jest on obsługiwany przez BIOS.
Jeśli jest włączona, przeprowadzi trzy różne weryfikacje podczas
procesu uruchamiania systemu Windows lub innych
systemów operacyjnych, które obsługują tę funkcję, aby upewnić
się, że komputer nie został przejęty przez jakiś rodzaj złośliwego
kodu wstrzykniętego do systemu operacyjnego.
Przyjrzyjmy się pełnemu procesowi uruchamiania
w normalnym systemie Windows.
Pierwszy etap procesu ma miejsce podczas uruchamiania komputera
z systemem Windows, ładowane są składniki rozruchowe oprogramowania układowego
i uruchamiany jest menedżer rozruchu.
Następnie rozpocznie się ładowanie systemu Windows,
uruchomione zostanie jądro systemu Windows
i nastąpi instalacja krytycznych sterowników
rozruchowych.
Teraz mają nastąpić wszelkie dodatkowe inicjalizacje systemu
operacyjnego, a na koniec użytkownikowi zostanie wyświetlony
ekran logowania do systemu Windows.
Teraz, gdy komponenty rozruchowe oprogramowania układowego
są ładowane podczas bezpiecznego rozruchu, oprogramowanie układowe najpierw
zweryfikuje, czy wszystkie pliki wykonywalne UV i sam program ładujący system operacyjny mają
nienaruszoną integralność i nie zostały naruszone przez
jakiekolwiek złośliwe oprogramowanie.
Oznacza to, że ich ładowanie będzie bezpieczne.
Następnie komponenty rozruchowe systemu Windows zweryfikują
podpis cyfrowy każdego komponentu przed ich
załadowaniem.
Jeśli jakikolwiek komponent nie przejdzie tej kontroli
sygnatur, nie zostanie załadowany i wywoła alert dla
użytkownika końcowego.
Wreszcie, krytyczne sterowniki rozruchowe zostaną sprawdzone
pod kątem ich znanych dobrych skrótów, a jeśli przejdą
tę kontrolę, zostaną załadowane jako ostatnia część procesu
bezpiecznego rozruchu.
Teraz, jeśli chodzi o bezpieczny rozruch, chcę, abyś pamiętał,
że jest to procedura, która zostanie wykorzystana do
zapewnienia, że nasz system operacyjny może być zaufany i nie
padł ofiarą specjalnego rodzaju złośliwego oprogramowania
znanego jako root kit.
Aby bezpieczny rozruch działał, musi
być włączony w systemie UEFI, a system operacyjny
również musi go obsługiwać.
Ostatnią funkcją bezpieczeństwa, którą musimy omówić
w BIOS-ie lub UEFI, jest ustawienie uprawnień dla portów USB
na płycie głównej.
Większość nowoczesnych systemów można skonfigurować tak,
aby włączały lub wyłączały porty USB na płycie głównej,
a niektóre pozwalają nawet na ograniczenie portów USB, tak aby
nie obsługiwały niektórych typów urządzeń
USB, ale nadal pozwalały na korzystanie z innych.
W tym przypadku największym zmartwieniem jest
zwykle złośliwe oprogramowanie i utrata danych.
Jeśli chodzi o złośliwe oprogramowanie, porty USB mogą stanowić świetną
drogę ataku dla kogoś, kto próbuje
włamać się do systemu.
Na przykład, jeśli załaduję pendrive'a ze złośliwym
oprogramowaniem, mogę upuścić go na parkingu przed budynkiem
biurowym, a jeśli ktoś będzie ciekawy, podniesie go i
podłączy do swojego komputera, może zainstalować
złośliwe oprogramowanie w systemach.
Dlatego chcemy temu zapobiec, wyłączając możliwość
odczytu i zapisu z urządzeń pamięci masowej przez USB.
Można to zrobić poprzez całkowite zablokowanie USB,
ale wtedy nie będzie można używać takich rzeczy
jak słuchawki i kamery internetowe, myszy i klawiatury itp.
Zamiast tego moglibyśmy po prostu ograniczyć możliwość
używania ich jako urządzeń pamięci masowej, co uniemożliwiłoby
podłączanie do systemu takich urządzeń jak pendrive'y,
dyski flash czy zewnętrzne dyski twarde.
Pomoże nam to zapobiec przedostawaniu
się złośliwego oprogramowania do naszego systemu.
Ale oprócz tego może nam również pomóc w zapobieganiu wydostawaniu
się danych z naszego systemu.
Załóżmy na przykład, że pracujesz dla ściśle
tajnej organizacji rządowej.
Nie chciałbyś, aby ktoś mógł wejść
z małym pendrive'em, podłączyć go do komputera i pobrać wszystkie
twoje informacje, a następnie wyjść
z nim przez drzwi wejściowe.
Aby temu zapobiec, można skonfigurować UEFI tak, aby blokował
porty USB lub uniemożliwiał ich używanie do urządzeń pamięci masowej,
a także blokował możliwość korzystania z pendrive'ów i zewnętrznych
dysków twardych, co sprawi, że ludzie nie będą mogli
wyjść frontowymi drzwiami z krytycznymi
informacjami.
Pamiętaj więc, że jeśli chodzi o bezpieczeństwo, istnieją
trzy główne rzeczy, które może zapewnić ci BIOS lub UEFI.
Pierwszą z nich jest możliwość ustawiania haseł w celu
kontrolowania dostępu do różnych części systemu.
Drugą jest możliwość włączenia bezpiecznego rozruchu,
aby upewnić się, że system operacyjny nie został naruszony
przed jego załadowaniem.
Po trzecie, istnieje możliwość ograniczenia lub wyłączenia portów USB na płycie
głównej, aby zapobiec przedostawaniu
się złośliwego oprogramowania
do systemu lub wyciekowi danych z systemu.