Visual Studio faqat VPNda sekinmi? CRL va OCSPni tekshiring

Visual Studio uyda odatdagidek ishga tushadi, so'ng xuddi shu noutbuk korporativ tunnelga ulanadi va har bir ishga tushish yarim daqiqa joriy ekranda turadi. Siyosatni olib tashlang, kechikish ham u bilan ketadi; tunnelni olib tashlang, xuddi shu narsa yuz beradi. Ikkala kuzatuv ham to'g'ri, shuning uchun ikki komponent doim bir-birini ayblaydi. Hal qiluvchi savol — sertifikatni bekor qilish so'rovi faqat tunnel taqdim etadigan yo'lni kutmoqdami yoki umuman yo'l topmayaptimi.

Ishga tushishni emas, yuklab olishni o'lchang

Bitta WDAC siyosati, imzolangan SiPolicy.p7b sifatida joylashtirilganda, qaysi tasvirlar mashinada ishlashi mumkinligini belgilaydi. Kod yaxlitligi bajarishdan oldin tasvirning imzolar zanjirini tekshiradi va bu tekshiruv bekor qilish savolini o'z ichiga olishi mumkin. Javob sertifikat o'z ichida nomlagan CRL tarqatish nuqtasi yoki OCSP javob beruvchisiga bog'liq.

Bular oddiy tarmoq so'rovlari, shuning uchun ularning narxi javob beruvchi qayerda joylashganiga bog'liq. U faqat tunnel orqali yetib borish mumkin bo'lganda yoki uning nomi faqat tunnel ortidagi DNS server orqali hal qilinsa, tekshiruv tunnel tayyor bo'lishini kutadi. Visual Studio ishga tushganda ko'plab imzolangan yig'ilmalar va kengaytmalarni yuklaydi, har bir tasvir uchun kichik kechikish ko'rinadigan to'xtashga aylanadi. Hech narsa buzilmagan va siyosat aynan sozlanganidek ishlaydi, shuning uchun siyosatni olib tashlash muammoni hal qilgandek ko'rinadi.

Har bir imzolangan tasvir tarmoq chaqiruvini keltirib chiqarishi mumkin

Diskda allaqachon mavjud imzolangan binar fayldan boshlang va platformadan uni ishga tushish ishlatadigan aynan o'sha yuklab olish xatti-harakati bilan tekshirishni so'rang. Buyruqni bir marta tunnelda, bir marta uning tashqarisida bajaring, so'ng yakuniy hukm o'rniga yuklab olish satrlarini solishtiring.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Natija zanjirni, CRL va OCSP manzillarini va har bir yuklab olish muvaffaqiyatli bo'lganini sanab chiqadi. Tunnelda vaqti tugab, tashqarisida javob beradigan javob beruvchi — sizga kerakli dalil va u sekinlik taassurotidan ancha og'irroq. Yuklab olish sekin muvaffaqiyatli bo'lsa, manzilni yozib qo'ying, keyingi qadam o'sha xostni to'g'ridan-to'g'ri sinab ko'rsin.

Javob beruvchining xost nomini hal qiling va ilovadan tashqarida yetib borishni sinang, chunki hal qilinmaydigan nomni hech qanday mijoz sozlamasi tuzatmaydi. CodeIntegrity operatsion jurnali dalilning ikkinchi yarmini beradi va tekshiruv hodisasini sekin ishga tushish vaqt belgisi bilan bog'laydi.

Nazoratni olib tashlamasdan kechikishni qisqartiring

Siyosatni o'chirish yoki audit rejimiga o'tkazish kechikishni yo'q qiladi va tashkilot joriy qilgan nazoratni olib tashlaydi, shuning uchun buni noto'g'ri ta'mirlash deb hisoblang. Torroq variantlar: javob beruvchi tunnel orqali yetib borish uchun marshrut o'zgarishi, javob beruvchi xostlari uchun bo'lingan tunnelda istisno, nom yetib bo'lmaydigan manzilga hal qilinganda DNS tuzatishi yoki bekor qilish ma'lumotlari uchun qo'llab-quvvatlanadigan keshlovchi proksi. Har birining egasi boshqa: PKI jamoasi javob beruvchining yetib borishiga, tarmoq jamoasi tunnel bo'linishiga, oxirgi nuqta jamoasi esa siyosatga egalik qiladi.

Har bir bekor qilish xostini tunneldan chiqarib tashlash avtomatik ravishda xavfsiz emas, chunki ichki javob beruvchi ataylab ichki bo'lishi mumkin. Sertifikat tekshiruvlarini jimgina ochiq internetga yuboradigan qoida yozishdan oldin PKI boshqaradigan jamoa bilan istisnoni tasdiqlang. Bunday tasdiqsiz qilingan o'zgarish keyingi siyosat yangilanishida qaytariladigan turdagi o'zgarishdir.

O'zgarishdan keyin sovuq ishga tushishni tekshiring

Ikki holatda ham sovuq ishga tushishni o'lchang va raqamlarni saqlang, chunki yig'ilmalar keshga tushgandan keyin iliq ishga tushish deyarli hech narsani isbotlamaydi. Yangi sessiyadan ishga tushishni takrorlang, kengaytmalarning yuklanish yo'li yana ishlatilsin.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Ta'mirlangan konfiguratsiya hali ham javob beruvchi bilan aloqa qiladi yoki PKI jamoangiz tasdiqlagan kesh yo'lidan foydalanadi va jurnal tekshiruv vaqti tugashi o'rniga yakunlanishini ko'rsatadi. Yaqinda imzolangan ilova hali ham ishga tushishini tasdiqlang, chunki hamma narsaga ruxsat beruvchi siyosat muvaffaqiyatli ta'mir emas. Faol siyosat jildi va joriy etish holatini ham tekshiring, siz nosozliklarini tuzatayotgan siyosat aynan ishlab turgani ma'lum bo'lsin. Sertifikatlar zanjiri, javob beruvchi manzili va ishga tushish vaqt belgilarini bitta chiptada saqlang, chunki yangilash odatda javob beruvchini ko'chiradi va istisno yoki DNS qoidasini eskirgan holda qoldiradi.