Visual Studio тек VPN-де ғана баяу ма? CRL мен OCSP-ны тексеріңіз

Visual Studio үйде қалыпты іске қосылады, содан кейін сол ноутбук корпоративтік туннельге қосылады және әрбір іске қосу жарты минут бойы бастапқы экранда тұрып қалады. Саясатты алып тастасаңыз, кідіріс те онымен бірге кетеді; туннельді алып тастасаңыз, дәл солай болады. Екі байқау да дұрыс, сондықтан екі компонент бір-бірін үнемі кінәлайды. Шешуші сұрақ — сертификаттың кері қайтарылуын тексеру сұрауы тек туннель ұсынатын жолды күтіп тұр ма, әлде мүлде жол таппай ма.

Іске қосуды емес, жүктеуді өлшеңіз

Бір WDAC саясаты, қол қойылған SiPolicy.p7b ретінде орналастырылған, машинада қандай кескіндер іске қосыла алатынын анықтайды. Код тұтастығы орындау алдында кескіннің қолтаңба тізбегін тексереді және бұл тексеру кері қайтару сұрағын қамтуы мүмкін. Жауап сертификат өз ішінде атайтын CRL тарату нүктесіне немесе OCSP жауап берушіге байланысты.

Бұл қарапайым желілік сұраныстар, сондықтан олардың құны жауап берушінің қайда орналасқанына байланысты. Ол тек туннель арқылы қолжетімді болғанда, немесе оның атауы тек туннельдің артындағы DNS сервері арқылы шешілгенде, тексеру туннель дайын болғанша күтеді. Visual Studio іске қосылғанда көптеген қол қойылған жинақтар мен кеңейтімдерді жүктейді, ал әр кескінге кішкене кідіріс көрінетін тоқтауға айналады. Ешнәрсе бұзылмаған және саясат дәл конфигурацияланғандай әрекет етеді, сондықтан саясатты алып тастау мәселені шешкендей көрінеді.

Әрбір қол қойылған кескін желілік шақыруды тудыруы мүмкін

Дискіде бұрыннан бар қол қойылған бинарлық файлдан бастаңыз және платформадан оны іске қосу қолданатын жүктеу әрекетімен тексеруді сұраңыз. Пәрменді бір рет туннельде және бір рет оның сыртында орындап, соңғы үкімнің орнына жүктеу жолдарын салыстырыңыз.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Шығыс тізбекті, CRL және OCSP мекенжайларын және әрбір жүктеудің сәтті болғанын тізімдейді. Туннельде уақыты бітетін және оның сыртында жауап беретін жауап беруші — сізге қажет дәлел, және ол баяулық туралы әсерден әлдеқайда ауыр. Егер жүктеу баяу сәтті болса, мекенжайды жазып алыңыз, сонда келесі қадам сол хостты тікелей тексере алады.

Жауап берушінің хост атауын шешіп, қолжетімділікті қолданбаның сыртында тексеріңіз, өйткені шешілмейтін атауды ешбір клиент параметрі түзетпейді. CodeIntegrity операциялық журналы дәлелдің екінші жартысын береді, тексеру оқиғасын баяу іске қосудың уақыт белгісімен байланыстырады.

Бақылауды алып тастамай кідірісті қысқартыңыз

Саясатты өшіру немесе оны аудит режиміне көшіру кідірісті жояды және ұйым орналастырған бақылауды алып тастайды, сондықтан мұны қате жөндеу деп санаңыз. Неғұрлым тар нұсқалар: жауап беруші туннель арқылы қолжетімді болуы үшін маршруттау өзгерісі, жауап беруші хосттары үшін бөлінген туннельдегі ерекшелік, атау қолжетімсіз мекенжайға шешілгенде DNS түзетуі немесе кері қайтару деректері үшін қолдау көрсетілетін кэштеуші прокси. Әрқайсысының иесі бөлек: PKI тобы жауап берушінің қолжетімділігіне, желі тобы туннельдің бөлінуіне, ал соңғы нүктелер тобы саясатқа жауапты.

Әрбір кері қайтару хостты туннельден шығару автоматты түрде қауіпсіз емес, өйткені ішкі жауап беруші әдейі ішкі болуы мүмкін. Сертификат тексерулерін үнсіз қоғамдық интернетке жіберетін ереже жазбас бұрын PKI-ді басқаратын топпен ерекшелікті растаңыз. Осы растаусыз жасалған өзгеріс келесі саясат жаңартуында кері қайтарылатын өзгеріс.

Өзгерістен кейін суық іске қосуды тексеріңіз

Екі күйде де суық іске қосуды өлшеп, сандарды сақтаңыз, өйткені жинақтар кэшке түскеннен кейін жылы іске қосу ештеңе дерлік дәлелдемейді. Жаңа сессиядан іске қосуды қайталаңыз, сонда кеңейтімдерді жүктеу жолы қайта іске қосылады.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Жөнделген конфигурация жауап берушімен әлі де байланысады немесе сіздің PKI тобыңыз мақұлдаған кэш жолын пайдаланады, ал журнал тексерудің уақыты бітудің орнына аяқталатынын көрсетеді. Жақында қол қойылған қолданбаның әлі де іске қосылатынын растаңыз, өйткені бәріне рұқсат беретін саясат сәтті жөндеу емес. Белсенді саясат қалтасы мен қолдану күйін де тексеріңіз, сонда түзетіп жатқан саясаттың нақты жұмыс істеп тұрғаны белгілі болады. Сертификат тізбегін, жауап берушінің мекенжайын және іске қосу уақыт белгілерін бір билетте сақтаңыз, өйткені жаңарту әдетте жауап берушіні жылжытады және ерекшелік немесе DNS ережесін ескіртіп қалдырады.