Visual Studio csak VPN-en lassú? Ellenőrizze a CRL-t és az OCSP-t

A Visual Studio otthon normálisan indul, majd ugyanaz a laptop csatlakozik a vállalati alagúthoz, és minden indítás fél percig áll a nyitóképernyőn. Vegye el a szabályzatot, és a késleltetés vele együtt eltűnik; vegye el az alagutat, és ugyanez történik. Mindkét megfigyelés pontos, ezért a két összetevő folyton egymást okolja. A döntő kérdés az, hogy egy tanúsítvány-visszavonási lekérdezés olyan útvonalra vár-e, amelyet csak az alagút biztosít, vagy egyáltalán nem talál ilyet.

A letöltést mérje, ne az indítást

Egy WDAC-szabályzat, amelyet aláírt SiPolicy.p7b fájlként telepítettek, eldönti, mely képek futhatnak a gépen. A kód integritása a végrehajtás előtt ellenőrzi egy kép aláírásláncát, és ez az ellenőrzés visszavonási kérdést is tartalmazhat. A válasz a tanúsítványban megnevezett CRL-terjesztési ponttól vagy OCSP-válaszadótól függ.

Ezek közönséges hálózati kérések, ezért költségük attól függ, hol található a válaszadó. Amikor csak az alagúton keresztül érhető el, vagy a neve csak az alagút mögötti DNS-kiszolgálón keresztül oldható fel, az ellenőrzés megvárja, amíg az alagút készen áll. A Visual Studio indításkor nagyszámú aláírt szerelvényt és bővítményt tölt be, és egy kis képenkénti késés látható akadássá válik. Semmi sem hibás, és a szabályzat pontosan a konfigurált módon viselkedik, ezért tűnik úgy, hogy a szabályzat eltávolítása megoldja a problémát.

Minden aláírt kép hálózati hívást indíthat

Kezdje egy már a lemezen lévő aláírt bináris fájllal, és kérje meg a platformot, hogy ugyanazzal a letöltési viselkedéssel ellenőrizze, amelyet egy indítás használ. Futtassa a parancsot egyszer az alagúton és egyszer azon kívül, majd a letöltési sorokat hasonlítsa össze a végső ítélet helyett.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

A kimenet felsorolja a láncot, a CRL- és OCSP-címeket, valamint azt, hogy minden letöltés sikerült-e. Az a válaszadó, amely az alagúton időtúllépésbe fut és azon kívül válaszol, az a bizonyíték, amire szüksége van, és sokkal nagyobb súllyal esik latba, mint a lassúság benyomása. Ha a letöltés lassan sikerül, jegyezze fel a címet, hogy a következő lépés közvetlenül tesztelhesse azt a gazdagépet.

Oldja fel a válaszadó gazdagépnevét, és az alkalmazáson kívül tesztelje az elérhetőséget, mert egy fel nem oldható nevet soha nem javít ki egyetlen kliensbeállítás sem. A CodeIntegrity üzemeltetési naplója adja a bizonyíték másik felét, összekapcsolva egy ellenőrzési eseményt a lassú indítás időbélyegével.

Rövidítse a késleltetést a vezérlés eltávolítása nélkül

A szabályzat letiltása vagy auditmódba állítása megszünteti a késleltetést és eltávolítja a szervezet által telepített vezérlést, ezért tekintse ezt rossz javításnak. A szűkebb lehetőségek: útvonal-módosítás, hogy a válaszadó elérhető legyen az alagúton, kivétel az osztott alagútban a válaszadó gazdagépei számára, DNS-korrekció, amikor a név elérhetetlen címre oldódik fel, vagy támogatott gyorsítótárazó proxy a visszavonási adatokhoz. Mindegyiknek más a tulajdonosa: a PKI-csapat a válaszadó elérhetőségéért, a hálózati csapat az alagút felosztásáért, a végponti csapat pedig a szabályzatért felel.

Minden visszavonási gazdagép kizárása az alagútból nem automatikusan biztonságos, mert egy belső válaszadó szándékosan lehet belső. Erősítse meg a kizárást a PKI-t üzemeltető csapattal, mielőtt olyan szabályt ír, amely csendesen a nyilvános internetre küldi a tanúsítvány-ellenőrzéseket. Az ilyen megerősítés nélkül tett módosítás az, amelyet a következő szabályzatfrissítéskor visszavonnak.

A módosítás után ellenőrizze a hidegindítást

Mérje meg a hidegindítást mindkét állapotban, és őrizze meg a számokat, mert a meleg indítás szinte semmit sem bizonyít, ha a szerelvények már a gyorsítótárban vannak. Ismételje meg az indítást friss munkamenetből, hogy a bővítmények betöltési útvonala újra gyakorlódjon.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

A javított konfiguráció továbbra is kapcsolatba lép a válaszadóval, vagy az Ön PKI-csapata által jóváhagyott gyorsítótár-útvonalat használ, és a napló azt mutatja, hogy az ellenőrzés befejeződik, nem pedig időtúllépésbe fut. Erősítse meg, hogy egy nemrég aláírt alkalmazás továbbra is indul, mert a mindent engedélyező szabályzat nem sikeres javítás. Ellenőrizze az aktív szabályzat mappáját és az érvényesítési állapotot is, hogy tudott legyen, a hibakeresett szabályzat az, amelyik fut. Tartsa a tanúsítványláncot, a válaszadó címét és az indítási időbélyegeket ugyanabban a jegyben, mert a megújítás általában áthelyezi a válaszadót, és a kivétel- vagy DNS-szabályt elavultan hagyja.