Delen via

Statusscheiding en isolatie

  • Artikel
  • Van toepassing op:
    HoloLens 2

Statusscheiding en isolatie beschermen kritieke delen van het HoloLens 2 besturingssysteem tegen wijzigingen, zoals de onderdelen die nodig zijn om het besturingssysteem op te starten in een vertrouwde status. Met isolatietechnologie worden niet-vertrouwde apps verplaatst naar een geïsoleerde sandbox-omgeving, zodat ze geen invloed hebben op de systeembeveiliging.

Statusscheiding

Statusscheiding op HoloLens 2 verbetert de beveiliging en onderhoudsmogelijkheden (bijwerken) aanzienlijk en helpt uw toepassingsgegevens te beschermen. Statusscheiding werkt als volgt:

  • Het kernbesturingssysteem wordt opgeslagen in het kernvolume van het besturingssysteem (vertrouwd of gecontroleerd Microsoft-besturingssysteem dat het besturingssysteem bijwerkt).
  • De delen van het besturingssysteem die tijdens de uitvoering kunnen worden gewijzigd (zoals downloadbare stuurprogramma's en configuraties), gebruiken verdere statusscheiding om de gegevens te partitioneren en op te slaan in veilige, afzonderlijke opslaglocaties.
  • Aan elke beveiligde opslaglocatie zijn afzonderlijke beveiligingsbeleidsregels gekoppeld, wat verschillende beveiligingsvoordelen biedt, zoals beschreven in de volgende sectie.

Voordelen van statusscheiding

  • Beveiliging: de statusscheiding in HoloLens 2 verbetert aanzienlijk de integriteit van het platform, de bescherming tegen malware en de bescherming van gebruikersgegevens. Door het onveranderlijke deel van het besturingssysteem te scheiden en het alleen-lezen of integriteitsbeveiliging te maken, maakt de statusscheiding het moeilijk voor malware om te behouden tijdens een koude herstart.
  • Updates: met HoloLens 2 worden updates eenvoudig en betrouwbaar zodra het kernbesturingssysteem niet meer kan worden gewijzigd en netjes is gescheiden van de rest van de gegevens op het apparaat. Bovendien vormt de statusscheiding de essentiële basis voor aanzienlijk snellere updates, waardoor het besturingssysteem in één stap (atomische eenheid) kan worden vervangen.
  • Apparaat opnieuw instellen: HoloLens 2 opnieuw instellen wist door de gebruiker gegenereerde gegevens en gebruikers-app-gegevens op het apparaat, inclusief interne en externe opslaglocaties. De huidige besturingssysteem-apps en beveiligingskritieke apps en de huidige aangepaste Microsoft- en OEM-apps (vooraf geïnstalleerd) blijven behouden. Deze vooraf geïnstalleerde apps kunnen worden gerehydrateerd op het apparaat nadat het opnieuw instellen is voltooid

Statussen van staatsscheiding

Statusscheiding zorgt ervoor dat het besturingssysteem alleen kan worden gewijzigd door onderdelen van vertrouwde Microsoft-apparaten en dat alleen de status van hoge waarde kan blijven bestaan tijdens het opnieuw opstarten; een andere systeemstatus bestaat alleen tijdens de opstartsessie en wordt verwijderd na opnieuw opstarten. Als u een statusscheiding hebt, wordt het apparaat snel teruggezet naar de fabrieksstatus. Windows Holographic for Business statussen kunnen worden onderverdeeld in deze afzonderlijke categorieën:

  • Kernbesturingssysteem : onveranderbare status
  • Besturingssysteemgegevens : status wijzigbaar
  • Gebruikersgegevens : status wijzigbaar

Elk van deze HoloLens 2 operationele statussen wordt beschreven in de volgende sectie.

Kernbesturingssysteem

Een onveranderbare status omvat uitvoerbare bestanden en gegevens die onveranderbaar zijn en alleen door Microsoft kunnen worden gewijzigd tijdens de installatie van updates. Tijdens een dergelijke update van het kernbesturingssysteem wordt een nieuwe installatiekopie met de meest recente gewenste besturingssysteemstatus ingeschakeld. De onveranderbare status is gemarkeerd als alleen-lezen (of is anderszins beveiligd tegen integriteit), waardoor persistentie van malware met verhoogde bevoegdheden wordt voorkomen. De volgende uitvoerbare bestanden en gegevens zijn beveiligd in de onveranderbare status:

  • Stuurprogramma's voor Postvak IN van Windows Holographic
  • Binaire besturingssysteembestanden
  • Windows-stuurprogramma's voor Postvak IN
  • Statische Windows Holographic-instellingen die zijn opgeslagen in Windows Registry Hive (HKLM)
    • Voorbeeld: HKLM slaat de configuratiegegevens op voor de apps die op een computer zijn geïnstalleerd. Het slaat ook informatie op om hardware en de bijbehorende stuurprogramma's te detecteren. Door deze te beveiligen in de onveranderbare status (integriteit en alleen-lezen beveiligd), zorgen we ervoor dat het kernbesturingssysteem altijd wordt opgestart in een vertrouwde status. Wanneer een apparaat opnieuw wordt ingesteld, kunnen we er bovendien voor zorgen dat het apparaat alleen wordt opgestart in de onderdelen die zich in deze onveranderbare sectie bevinden.

Besturingssysteemgegevens

Het is belangrijk om te weten dat uitvoerbare bestanden en gegevens die tijdens runtime kunnen worden gewijzigd (en niet essentieel zijn voor de functie van het besturingssysteem), kunnen worden verwijderd en opnieuw kunnen worden gemaakt wanneer de gegevens beschadigd of aangetast zijn. Een hoogwaardige wijzigingsstatus is functioneel vereist om te behouden door het besturingssysteem, of wordt verwacht dat het blijft bestaan tijdens het afsluiten van het besturingssysteem en/of bij het opnieuw opstarten door ondersteunde Windows-besturingssysteem- en apparaatscenario's. Voorbeelden van een mutabele status met hoge waarde zijn:

  • IT Beheer geconfigureerde globale apparaatinstellingen, zoals het uitschakelen van de locatie voor alle gebruikers.
  • Wi-Fi-netwerkverbinding heeft toegang tot data-device-remembered netwerken en bijbehorende verbindingswachtwoorden.
  • Crashdumps, inclusief instellingen en logboeken.
  • Stuurprogramma's die op aanvraag zijn gedownload voor nieuw gedetecteerde apparaten. Een hoogwaardige wijzigingsstatus op HoloLens 2 bevindt zich op de locatie van de gegevensbeveiliging van het besturingssysteem, als een opgeslagen bestand op schijf of in een permanente registercomponent.

Gebruikersgegevens

De laatste statuscategorie vertegenwoordigt gebruikersgegevens die zijn geproduceerd of behouden door UWP-toepassingen of het besturingssysteem. Alle bekende gebruikersmappen zoals Downloads, Documenten, Video's, gebruikersprofielen en HKEY_CURRENT_USER hive worden ook op deze locatie opgeslagen. Deze gegevens kunnen niet worden geëxtraheerd zonder de juiste referenties; Zie Versleuteling en gegevensbescherming voor meer informatie over hoe uw gegevens worden beveiligd.

Isolatie

Om dit evenwicht te bereiken, heeft HoloLens 2 een kernbesturingssysteem dat wordt gebruikt voor primaire functies, zoals opstarten, hardwarebeheer, aanmelden, enzovoort. Er zijn slechts twee sets toepassingen die worden uitgevoerd op het kernbesturingssysteem: vooraf geïnstalleerde toepassingen en UWP-apps.

Ondertekening van code

Door code digitaal te ondertekenen, kunt u onderbouwen dat uitvoerbare bestanden en scripts niet zijn gewijzigd sinds ze zijn ondertekend door een vertrouwde bron, waardoor ze echtheid en integriteit bieden. De instanties die HoloLens 2 vertrouwensrelaties zijn standaard Microsoft en Microsoft Store. IT-beheerders kunnen nieuwe certificaten aan het apparaat toevoegen via de CSP's ClientCertificateInstall en RootCATrustedCertificates . Ze kunnen ook het beleid AllowAllTrustedApps gebruiken om andere sideloaded of Line-Of-Business-apps te vertrouwen. Certificaten bevinden zich in het certificaatarchief van de lokale machine dat is opgeslagen in HKLM/Root als u 'Apparaat' gebruikt of in HKCU als u 'Gebruiker' gebruikt.

Defender-beveiliging

HoloLens 2 maakt gebruik van Microsoft-services om gebruikers een geavanceerd beveiligingsniveau te bieden:

  • Defender SmartScreen wordt automatisch ingeschakeld op Windows Holographic door het besturingssysteem en beschermt tegen phishing en malware, evenals het downloaden van mogelijk schadelijke bestanden op Edge. Deze kan niet worden uitgeschakeld door de gebruiker, maar kan worden uitgeschakeld via beleid.

  • Defender Firewall blokkeert onbevoegd netwerkverkeer van en naar uw apparaat. Het is standaard ingeschakeld en kan niet worden geconfigureerd door de klant via lokale acties of beleid.

  • Windows Defender-toepassingsbeheer: HoloLens 2 ondersteunt WDAC, waarmee IT-beheerder beleidsregels voor toepassingsbeheer naar het apparaat kan pushen. Meer informatie vindt u in WDAC gebruiken op HoloLens 2 apparaten met MSFT-Intune.

IT-beheerders kunnen SmartScreen-gedrag beheren via AllowSmartScreen en browsergedrag via dit beleid.