Visual Studio aeglane ainult VPN-iga? Kontrollige CRL-i ja OCSP-d

Visual Studio käivitub kodus tavaliselt, seejärel liitub sama sülearvuti ettevõtte tunneliga ja iga käivitus seisab pool minutit algusekraanil. Eemaldage poliitika ja viivitus kaob koos sellega; eemaldage tunnel ja juhtub sama. Mõlemad tähelepanekud on õiged, mistõttu süüdistavad kaks komponenti pidevalt teineteist. Otsustav küsimus on, kas sertifikaadi tühistamise päring ootab teed, mida pakub ainult tunnel, või ei leia ühtegi.

Mõõtke toomist, mitte käivitust

Üks WDAC-poliitika, mis on juurutatud allkirjastatud SiPolicy.p7b-na, otsustab, millised pildid tohivad masinas joosta. Koodi terviklikkus valideerib pildi allkirjaahela enne täitmist ja see valideerimine võib sisaldada tühistamise küsimust. Vastus sõltub CRL-i jaotuspunktist või OCSP-vastajast, mille sertifikaat enda sees nimetab.

Need on tavalised võrgupäringud, seega sõltub nende hind sellest, kus vastaja asub. Kui see on kättesaadav ainult tunneliga, või selle nimi lahendatakse ainult tunneli taga oleva DNS-serveriga, ootab valideerimine, kuni tunnel on valmis. Visual Studio laadib käivitamisel suure hulga allkirjastatud komplekte ja laiendusi ning väike viivitus pildi kohta muutub nähtavaks tõrkeks. Miski pole rikkis ja poliitika käitub täpselt nii, nagu on konfigureeritud, mistõttu tundub poliitika eemaldamine probleemi parandavat.

Iga allkirjastatud pilt võib käivitada võrgukutse

Alustage allkirjastatud binaarfailist, mis on juba kettal, ja paluge platvormil seda kontrollida sama toomiskäitumisega, mida kasutab käivitus. Käivitage käsk üks kord tunnelis ja üks kord sellest väljas, seejärel võrrelge toomisridu, mitte lõplikku otsust.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Väljund loetleb ahela, CRL-i ja OCSP aadressid ning selle, kas iga toomine õnnestus. Vastaja, mis tunnelis aegub ja väljaspool vastab, on tõestus, mida vajate, ja see kaalub palju rohkem kui mulje aeglusest. Kui toomine õnnestub aeglaselt, märkige aadress üles, et järgmine samm saaks seda hosti otse testida.

Lahendage vastaja hostinimi ja testige kättesaadavust väljaspool rakendust, sest nime, mida ei õnnestu lahendada, ei paranda kunagi kliendi säte. CodeIntegrity tööloki annab teise poole tõestusest, sidudes valideerimissündmuse aeglase käivituse ajatempliga.

Lühendage viivitust kontrolli eemaldamata

Poliitika keelamine või auditi režiimi lülitamine kaotab viivituse ja eemaldab kontrolli, mille organisatsioon juurutas, seega käsitlege seda vale parandusena. Kitsamad valikud on marsruudimuudatus, et vastaja oleks tunneliga kättesaadav, jaotatud tunneli erand vastaja hostidele, DNS-i parandus, kui nimi lahendatakse kättesaamatusse aadressi, või toetatud vahemällu salvestav puhverserver tühistamisandmete jaoks. Igal on erinev omanik: PKI meeskond vastutab vastaja kättesaadavuse, võrgumeeskond tunneli jaotuse ja lõpp-punkti meeskond poliitika eest.

Iga tühistamishosti tunnelist väljajätmine ei ole automaatselt turvaline, sest sisemine vastaja võib olla sisemine tahtlikult. Kinnitage erand PKI-d haldava meeskonnaga enne reegli kirjutamist, mis saadab sertifikaadikontrollid vaikselt avalikku internetti. Ilma selle kinnituseta tehtud muudatus on see, mis järgmisel poliitika värskendamisel tagasi võetakse.

Kontrollige muudatuse järel külmkäivitust

Mõõtke külmkäivitust mõlemas olekus ja hoidke numbrid alles, sest soe käivitus ei tõesta peaaegu midagi, kui komplektid on juba vahemällu salvestatud. Korrake käivitust uuest seansist, et laienduste laadimistee läbiks uuesti.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Parandatud konfiguratsioon võtab ikka vastajaga ühendust või kasutab vahemällu salvestavat teed, mille teie PKI meeskond heaks kiitis, ja logi näitab, et valideerimine lõpeb, mitte ei aegu. Kinnitage, et hiljuti allkirjastatud rakendus ikka käivitub, sest poliitika, mis lubab kõike, ei ole edukas parandus. Kontrollige ka aktiivse poliitika kausta ja jõustamise olekut, et oleks teada, et silutav poliitika on see, mis töötab. Hoidke sertifikaadiahel, vastaja aadress ja käivituse ajatemplid samas pileti, sest uuendamine liigutab tavaliselt vastajat ja jätab erandi või DNS-reegli vananenuks.