Visual Studio hægt aðeins á VPN? Athugaðu CRL og OCSP

Visual Studio ræsist venjulega heima, svo sama fartölvan tengist fyrirtækjagöngunum og hver ræsing stendur hálfa mínútu á upphafsskjánum. Fjarlægið stefnuna og biðtíminn fer með henni; fjarlægið göngin og það sama gerist. Báðar athuganir eru réttar, þess vegna kenna hlutirnir tveir hvor öðrum um. Ákvörðunarspurningin er hvort afturköllunarpóstur vottorðs bíði eftir slóð sem aðeins göngin bjóða, eða finni enga slóð yfirhöfuð.

Mælið sóttina, ekki ræsinguna

Stefna WDAC, sem er sett upp sem undirrituð SiPolicy.p7b, ákvarðar hvaða myndir mega keyra á vélinni. Kóðaheilleiki sannreynir undirritunarkeðju myndar fyrir keyrslu, og sú sannreyning getur falið í sér spurningu um afturköllun. Svarið fer eftir CRL-dreifingarstaðnum eða OCSP-viðtakandanum sem vottorðið nefnir inni í sér.

Þetta eru venjulegar netbeiðnir, svo kostnaðurinn fer eftir því hvar viðtakandinn er. Þegar aðeins er hægt að ná í hann um göngin, eða nafn hans er aðeins leyst um DNS-þjón á bak við göngin, bíður sannreyningin þess að göngin séu tilbúin. Visual Studio hleður við ræsingu miklu magni af undirrituðum samsetningum og viðbótum, og lítil töf á hverja mynd verður sýnileg stöðvun. Ekkert er gallað og stefnan hegðar sér nákvæmlega eins og hún er stillt, þess vegna virðist fjarlæging stefnunnar laga vandann.

Hver undirrituð mynd getur valdið netkalli

Byrjið á undirrituðu tvíundarskrá sem er þegar á disknum og biðjið kerfið að sannreyna hana með sama sóttarhegðun og ræsing notar. Keyrið skipunina einu sinni á göngunum og einu sinni utan þeirra, og berið síðan saman sóttarlínurnar í stað endanlegs úrskurðar.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Úttakið telur upp keðjuna, CRL- og OCSP-vistföngin og hvort hver sótt tókst. Viðtakandi sem rennur út á tíma á göngunum og svarar utan þeirra er sönnunin sem þið þurfið, og hún vegur miklu meira en tilfinning um hægð. Ef sóttin tekst hægt skulið þið skrá vistfangið svo næsta skref geti prófað þann hýsil beint.

Leysið hýslisnafn viðtakandans og prófið aðgengi utan forritsins, því nafn sem ekki tekst að leysa verður aldrei lagað af stillingu biðlara. CodeIntegrity-aðgerðaskráin gefur hinn helminginn af sönnuninni og tengir sannreyningaratburð við tímastimpil hægu ræsingarinnar.

Styttið töfina án þess að fjarlægja stjórnina

Að slökkva á stefnunni eða færa hana í endurskoðunarham lætur töfina hverfa og fjarlægir stjórnina sem stofnunin setti upp, svo lítið á það sem ranga viðgerð. Þrengri valkostirnir eru breyting á leiðvöl til að hægt sé að ná í viðtakandann um göngin, undantekning í skiptum göngum fyrir hýsla viðtakandans, DNS-leiðrétting þegar nafnið leysist í óaðgengilegt vistfang, eða studd skyndiminnisþjónn fyrir afturköllunargögn. Hver hefur sinn eiganda: PKI-teymið á aðgengi viðtakandans, nettæmið skiptingu ganganna og endapunktateymið stefnuna.

Að útiloka hvern afturköllunarhýsil úr göngunum er ekki sjálfkrafa öruggt, því innri viðtakandi getur verið innri viljandi. Staðfestið undantekninguna við teymið sem rekur PKI áður en þið skrifið reglu sem sendir vottorðaprófanir hljóðlega út á opinbert internet. Breyting gerð án þeirrar staðfestingar er sú tegund sem er afturkölluð við næstu stefnuuppfærslu.

Sannreynið kaldræsingu eftir breytinguna

Mælið kaldræsingu í báðum stöðum og geymið tölurnar, því heit ræsing sannar næstum ekkert þegar samsetningarnar eru í skyndiminni. Endurtakið ræsinguna úr nýrri lotu svo hleðsluslóð viðbótanna fái að virka aftur.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Viðgerð stilling tengist viðtakandanum áfram, eða notar skyndiminnisslóð sem PKI-teymið þitt samþykkti, og skráin sýnir að sannreyningin klárist í stað þess að renna út á tíma. Staðfestið að nýlega undirritað forrit ræsist áfram, því stefna sem leyfir allt er ekki farsæl viðgerð. Athugið líka möppu virku stefnunnar og framfylgdarstöðuna, svo vitað sé að stefnan sem þið kembið er sú sem er í gangi. Haldið vottorðakeðjunni, vistfangi viðtakandans og tímastimplum ræsingarinnar í sama miða, því endurnýjun færir viðtakandann yfirleitt og lætur undantekningar- eða DNS-regluna verða úrelta.