ผู้สอน: ในบทเรียนนี้ เราจะมาสำรวจคุณลักษณะด้านความปลอดภัยบางอย่างภายใน
BIOS และ UEFI
นอกเหนือจากการให้การป้องกันบนเครือข่ายของเราและในสภาพแวดล้อมของระบบปฏิบัติการของเราแล้ว
เรายังจำเป็นต้องพิจารณาถึงความปลอดภัยของสภาพแวดล้อมก่อนระบบปฏิบัติการของเราด้วย
นี่คือพื้นที่ของคอมพิวเตอร์ที่สามารถถูกโจมตีได้ในระหว่างขั้นตอนการบู๊ต
ดังนั้น จึงต้องพิจารณาการป้องกัน bootloader
รวมถึงรหัสผ่าน BIOS และ UEFI กระบวนการบู๊ตอย่างปลอดภัย และการตั้งค่าการอนุญาตบนพอร์ต USB ของเมนบอร์ด
โปรดจำไว้ว่า BIOS และ UEFI เป็นเฟิร์มแวร์สองประเภทที่แตกต่างกันที่ใช้ในคอมพิวเตอร์ของเราเพื่อช่วยเราในระหว่างการโหลดและบูตระบบปฏิบัติการของเรา
คอมพิวเตอร์แต่ละเครื่องสามารถมี BIOS หรือ UEFI อยู่ในนั้น
แต่ไม่ใช่ทั้งสองอย่าง
BIOS เป็นระบบอินพุต/เอาท์พุตพื้นฐาน และเป็นอินเทอร์เฟซเฟิร์มแวร์ที่เตรียมใช้งานฮาร์ดแวร์สำหรับระบบปฏิบัติการเพื่อให้สามารถบู๊ตได้
คอมพิวเตอร์ที่ใช้ BIOS กำลังจะใช้มาสเตอร์บูตเรคคอร์ดหรือ
MBR เพื่อเก็บข้อมูลการบู๊ตและระบุพาร์ติชั่นของฮาร์ดไดรฟ์ที่มีระบบปฏิบัติการที่จะโหลด
BIOS เป็นประเภทเฟิร์มแวร์ที่เก่ากว่าและล้าสมัยกว่า
ในทางกลับกัน UEFI หรือการริเริ่มเฟิร์มแวร์ขยายแบบครบวงจรเป็นเฟิร์มแวร์ประเภทใหม่กว่า
UEFI คือประเภทของเฟิร์มแวร์ระบบที่ให้การสนับสนุนการทำงานของ
CPU 64 บิตในขณะบู๊ต อินเทอร์เฟซผู้ใช้แบบกราฟิกเต็มรูปแบบ
และการทำงานของเมาส์ขณะบู๊ต และความปลอดภัยในการบู๊ตที่ดีขึ้น
คอมพิวเตอร์ที่ใช้ UEFI กำลังจะใช้ตารางพาร์ติชัน
GUID ที่รู้จักกันในชื่อ GPT เพื่อเก็บข้อมูลการบู๊ต
UEFI ให้ความสามารถในการเข้าถึงและบูตจากดิสก์ที่มีขนาดมากกว่าสองเทราไบต์
และมีสถาปัตยกรรมและไดรเวอร์ที่ไม่ขึ้นกับ CPU
รวมถึงสภาพแวดล้อมก่อนระบบปฏิบัติการที่สามารถรวมความสามารถเครือข่ายและการเข้าถึงการท่องเว็บ
โดยรวมแล้ว UEFI นั้นใหม่กว่าและล้ำหน้ากว่า BIOS และให้การตรวจสอบความปลอดภัยและความสมบูรณ์เพิ่มเติมระหว่างกระบวนการบู๊ต
รวมถึงการบู๊ตแบบปลอดภัย
ตอนนี้ BIOS และ UEFI สามารถป้องกันได้โดยใช้รหัสผ่านประเภทต่างๆ
ไม่กี่ประเภทเช่นกัน
ซึ่งรวมถึงรหัสผ่านผู้ดูแล ผู้ดูแลระบบ
หรือการตั้งค่า รหัสผ่านผู้ใช้หรือระบบ และรหัสผ่านที่เก็บข้อมูลหรือฮาร์ดไดรฟ์
รหัสผ่านสำหรับผู้ดูแล ผู้ดูแลระบบ หรือการตั้งค่าเป็นรหัสผ่านประเภทแรกที่คุณจะพบเมื่อคุณใช้
BIOS หรือ UEFI
รหัสผ่านนี้ใช้เพื่อป้องกันการเข้าถึงโปรแกรมกำหนดค่า
BIOS หรือ UEFI และป้องกันผู้ใช้ที่ไม่ได้รับอนุญาตจากการเข้าถึงเครื่องมือกำหนดค่าที่ละเอียดอ่อนนี้
หากคุณตั้งรหัสผ่านนี้ เมื่อใดก็ตามที่มีคนพยายามเข้าสู่
BIOS หรือ UEFI จะต้องป้อนรหัสผ่านก่อนที่จะให้สิทธิ์การเข้าถึง
แต่จะไม่ขัดขวางไม่ให้ผู้อื่นเปิดเครื่องคอมพิวเตอร์และบูตเข้าสู่การทำงานตามปกติ สภาพแวดล้อมของระบบ
รหัสผ่านนี้มักจะถูกตั้งค่าบนคอมพิวเตอร์ในเครือข่ายองค์กรหรือองค์กร
เพื่อให้ผู้ใช้ปลายทางของคุณไม่สามารถเข้าถึง
BIOS หรือ UEFI ได้ แต่ผู้ดูแลระบบและช่างเทคนิคของคุณสามารถทำได้หากมีรหัสผ่านที่ถูกต้อง
รหัสผ่านผู้ใช้หรือระบบเป็นรหัสผ่านประเภทที่สองที่สามารถกำหนดค่าได้ใน
BIOS หรือ UEFI
รหัสผ่านนี้ใช้เพื่อล็อกการเข้าถึงคอมพิวเตอร์ทั้งหมด
เมื่อใดก็ตามที่เปิดเครื่อง คอมพิวเตอร์จะหยุดทำงานและขอรหัสผ่าน
หากผู้ใช้ปลายทางป้อนรหัสผ่านที่ถูกต้อง คอมพิวเตอร์จะยังคงโหลดระบบปฏิบัติการและบูตเครื่องต่อไป
แม้ว่าวิธีนี้จะเป็นวิธีที่ปลอดภัยมากในการปกป้องคอมพิวเตอร์
แต่ก็แทบไม่เคยใช้ในเครือข่ายองค์กรหรือองค์กร เนื่องจากรหัสผ่านนี้จะต้องแชร์กับผู้ใช้ทุกคนที่เข้าถึงคอมพิวเตอร์เครื่องนั้น
จากนั้นรหัสผ่านที่ใช้ร่วมกันนี้จะลบล้างการรักษาความปลอดภัยบางอย่างที่ เรากำลังพยายามที่จะได้รับ
แต่คุณมักจะเห็นรหัสผ่านผู้ใช้หรือระบบที่ใช้เฉพาะในคอมพิวเตอร์ของใครบางคน
เมื่อพวกเขาเป็นผู้ใช้คนเดียวในนั้น
นี่เป็นรหัสผ่านที่แยกจากกันและแตกต่างจากรหัสผ่านผู้ใช้ที่จะใช้ในการเข้าถึงระบบ
Windows, Linux หรือ MacOS และให้สิทธิ์แก่ผู้ใช้ในการเข้าถึงระบบในสภาพแวดล้อมก่อนระบบปฏิบัติการนั้นแทน
รหัสผ่านประเภทที่สามเรียกว่ารหัสผ่านที่เก็บข้อมูลหรือฮาร์ดไดรฟ์
รหัสผ่านประเภทนี้เคยเป็นที่นิยมอย่างมากก่อนที่จะมีโมดูลแพลตฟอร์มที่เชื่อถือได้หรือโมดูลความปลอดภัยของฮาร์ดแวร์ในคอมพิวเตอร์สมัยใหม่
รหัสผ่านนี้จะล็อคการเข้าถึงฮาร์ดไดรฟ์ที่เชื่อมต่อกับระบบและต้องการให้ผู้ใช้ปลายทางป้อนรหัสผ่านเพื่อให้สามารถอ่านฮาร์ดดิสก์นั้นและโหลดระบบปฏิบัติการได้
ไม่เหมือนกับรหัสผ่านผู้ใช้หรือระบบที่จะล็อกไม่ให้ผู้ใช้ออกจากระบบทั้งหมดจนกว่าจะป้อนรหัสผ่านที่ถูกต้อง
รหัสผ่านที่เก็บข้อมูลหรือฮาร์ดไดรฟ์จะล็อกเฉพาะผู้ใช้ออกจากฮาร์ดไดรฟ์และความสามารถในการบู๊ตระบบปฏิบัติการนั้นจากมัน
คุณลักษณะด้านความปลอดภัยถัดไปที่เราต้องครอบคลุมเรียกว่าการบูตแบบปลอดภัย
สามารถเปิดใช้งานการบู๊ตแบบปลอดภัยได้ในอินเทอร์เฟซและการตั้งค่า
UEFI และ BIOS ไม่รองรับ
หากเปิดใช้งาน ระบบจะทำการตรวจสอบที่แตกต่างกันสามครั้งในระหว่างกระบวนการบู๊ตสำหรับ
Windows หรือระบบปฏิบัติการอื่นๆ ที่รองรับความสามารถนี้
เพื่อให้แน่ใจว่าคอมพิวเตอร์ไม่ได้ถูกไฮแจ็กโดยโค้ดอันตรายบางประเภทที่แทรกเข้าไปในระบบปฏิบัติการ
มาดูขั้นตอนการบูทแบบเต็มในระบบ
Windows ปกติกัน
ขั้นตอนแรกของกระบวนการเกิดขึ้นเมื่อคอมพิวเตอร์
Windows เริ่มทำงาน คอมโพเนนต์สำหรับบู๊ตเฟิร์มแวร์ถูกโหลด
และตัวจัดการการบู๊ตเริ่มทำงาน
ถัดไป ตัวโหลด Windows กำลังจะเริ่มทำงาน เคอร์เนลของ
Windows กำลังจะเริ่มทำงาน และการติดตั้งไดรเวอร์ที่สำคัญสำหรับการบู๊ตจะเกิดขึ้น
ขณะนี้ การเริ่มต้นระบบปฏิบัติการเพิ่มเติมใดๆ
กำลังจะเกิดขึ้น และในที่สุด ผู้ใช้จะพบกับหน้าจอเข้าสู่ระบบ
Windows
ตอนนี้ เมื่อคอมโพเนนต์การบู๊ตของเฟิร์มแวร์ถูกโหลดระหว่างการบู๊ตแบบปลอดภัย
อันดับแรก เฟิร์มแวร์จะตรวจสอบว่าไฟล์ปฏิบัติการ
UV ทั้งหมดและตัวโหลดระบบปฏิบัติการมีความสมบูรณ์ครบถ้วนและไม่ได้ถูกโจมตีโดยมัลแวร์ชนิดใดๆ
ซึ่งหมายความว่าพวกเขาจะโหลดได้อย่างปลอดภัย
ถัดไป คอมโพเนนต์สำหรับบูต Windows จะตรวจสอบลายเซ็นดิจิทัลของแต่ละคอมโพเนนต์ก่อนที่จะโหลด
หากคอมโพเนนต์ใดไม่ผ่านการตรวจสอบลายเซ็น
ระบบจะไม่โหลดและจะส่งการแจ้งเตือนไปยังผู้ใช้ปลายทาง
สุดท้าย ไดรเวอร์ที่สำคัญสำหรับบูตจะถูกตรวจสอบกับแฮชที่ดีที่รู้จัก
และหากผ่านการตรวจสอบนี้ ก็จะถูกโหลดเป็นส่วนสุดท้ายของกระบวนการบูตที่ปลอดภัย
ตอนนี้ เมื่อพูดถึงการบู๊ตอย่างปลอดภัย ผมอยากให้คุณจำไว้ว่านี่เป็นขั้นตอนที่จะใช้เพื่อให้แน่ใจว่าระบบปฏิบัติการของเราสามารถเชื่อถือได้
และไม่ตกเป็นเหยื่อของมัลแวร์ชนิดพิเศษที่เรียกว่ารูทคิท
.
เพื่อให้บูตอย่างปลอดภัยทำงานได้ จะต้องเปิดใช้งานภายในระบบ
UEFI ของคุณ และระบบปฏิบัติการของคุณต้องรองรับด้วย
คุณลักษณะด้านความปลอดภัยขั้นสุดท้ายที่เราต้องครอบคลุมภายใน
BIOS หรือ UEFI คือการตั้งค่าการอนุญาตสำหรับพอร์ต USB บนเมนบอร์ดของคุณ
ขณะนี้ ระบบที่ทันสมัยส่วนใหญ่สามารถกำหนดค่าให้เปิดหรือปิดใช้งานพอร์ต
USB บนเมนบอร์ดของคุณได้ และบางระบบจะอนุญาตให้คุณจำกัดพอร์ต USB เพื่อไม่ให้รองรับอุปกรณ์ USB บางประเภท และยังอนุญาตให้ระบบอื่นๆ
ใช้แล้ว.
ตอนนี้ ความกังวลใหญ่ที่นี่ปกติจะเกี่ยวกับมัลแวร์และการสูญหายของข้อมูล
ในแง่ของมัลแวร์ พอร์ต USB สามารถเป็นช่องทางที่ดีในการโจมตีสำหรับผู้ที่พยายามเจาะระบบของคุณ
ตัวอย่างเช่น ถ้าฉันโหลดธัมบ์ไดรฟ์ USB ที่มีมัลแวร์
ฉันสามารถนำไปทิ้งไว้ที่ลานจอดรถนอกอาคารสำนักงานได้
และถ้าใครสงสัยและหยิบมันขึ้นมาและเสียบเข้ากับเครื่องของพวกเขา
ก็จะสามารถติดตั้งมัลแวร์ลงในเครื่องได้
ระบบของคุณ
ดังนั้นเราจึงต้องการป้องกันสิ่งนี้โดยปิดความสามารถของ
USB ในการอ่านและเขียนจากอุปกรณ์เก็บข้อมูลขนาดใหญ่
คุณสามารถทำได้โดยการบล็อก USB พร้อมกัน แต่คุณจะไม่สามารถใช้สิ่งต่างๆ
เช่น หูฟังและเว็บแคม เมาส์และคีย์บอร์ด
และอื่นๆ เช่นนั้น
ดังนั้น เราอาจต้องการเพียงแค่จำกัดความสามารถในการใช้เป็นอุปกรณ์จัดเก็บข้อมูลขนาดใหญ่
และสิ่งนี้จะป้องกันไม่ให้สิ่งอื่นใด เช่น ธัมบ์ไดรฟ์
USB หรือแฟลชไดรฟ์ หรือฮาร์ดไดรฟ์ภายนอกเชื่อมต่อกับระบบ
สิ่งนี้สามารถช่วยให้เราป้องกันมัลแวร์ไม่ให้นำเข้าสู่ระบบของเรา
แต่นอกเหนือจากนั้น มันยังช่วยให้เราป้องกันไม่ให้ข้อมูลหลุดออกจากระบบของเราได้อีกด้วย
ตัวอย่างเช่น สมมติว่าคุณทำงานให้กับองค์กรลับสุดยอดภายในรัฐบาล
คุณคงไม่ต้องการให้ใครเดินเข้ามาพร้อมกับธัมบ์ไดรฟ์
USB ขนาดเล็ก เสียบเข้ากับคอมพิวเตอร์ และดาวน์โหลดข้อมูลทั้งหมดของคุณแล้วเดินออกไปที่ประตูหน้าพร้อมกับมัน
ดังนั้น เพื่อป้องกันสิ่งนี้ คุณสามารถกำหนดค่า UEFI ของคุณให้บล็อกพอร์ต
USB เหล่านั้นหรือป้องกันไม่ให้ใช้สำหรับอุปกรณ์เก็บข้อมูลขนาดใหญ่
และอีกครั้ง บล็อกความสามารถในการใช้ทัมบ์ไดรฟ์และฮาร์ดไดรฟ์ภายนอก
ซึ่งจะทำให้ผู้คน ไม่สามารถเดินออกไปที่ประตูหน้าพร้อมกับข้อมูลที่สำคัญของคุณได้
ดังนั้นโปรดจำไว้ว่า เมื่อพูดถึงการรักษาความปลอดภัย มีสามสิ่งหลักที่
BIOS หรือ UEFI ของคุณสามารถมอบให้คุณได้
อย่างแรกคือความสามารถในการตั้งรหัสผ่านเพื่อควบคุมการเข้าถึงส่วนต่าง
ๆ ของระบบของคุณ
ประการที่สองคือความสามารถในการเปิดใช้การบู๊ตอย่างปลอดภัยเพื่อให้แน่ใจว่าระบบปฏิบัติการของคุณไม่ถูกบุกรุกก่อนที่จะโหลด
และสามคือความสามารถในการจำกัดหรือปิดใช้งานพอร์ต USB บนเมนบอร์ดของคุณเพื่อป้องกันไม่ให้มัลแวร์เข้าสู่ระบบหรือข้อมูลจากการถูกขโมยออกจากระบบของคุณ