Cómo proteger el proceso de arranque de Windows 10

Usted aceptará que la función principal de un sistema operativo es proporcionar un entorno de ejecución seguro donde diferentes aplicaciones puedan ejecutarse de manera segura. Esto requiere el requisito de un marco básico para la ejecución uniforme del programa para usar el hardware y acceder a los recursos del sistema de manera segura. El kernel proporciona este servicio básico en todos los sistemas operativos menos simplistas. Para habilitar estas capacidades fundamentales para el sistema operativo, varias partes del SO se inicializan y se ejecutan al momento del arranque del sistema.

Además de esto, hay otras características que son capaces de ofrecer protección inicial. Estos incluyen:

• Windows Defender : ofrece una protección integral para su sistema, archivos y actividades en línea contra malware y otras amenazas. La herramienta hace uso de firmas para detectar y poner en cuarentena aplicaciones, conocidas por ser de naturaleza maliciosa.
• Filtro SmartScreen - Siempre emite advertencias a los usuarios antes de permitirles ejecutar una aplicación no confiable. Aquí, es importante tener en cuenta que estas características solo pueden ofrecer protección después de que se inicia Windows 10. La mayoría de los programas maliciosos modernos y bootkits en particular, pueden ejecutarse incluso antes de que Windows se inicie, escondiéndose así y eludiendo por completo la seguridad del sistema operativo.

Afortunadamente, Windows 10 brinda protección incluso durante el inicio. ¿Cómo? Bueno, para esto, primero tenemos que entender qué son los rootkits y cómo funcionan. A partir de entonces, podemos ahondar en el tema y descubrir cómo funciona el sistema de protección de Windows 10.

Rootkits

Los rootkits son un conjunto de herramientas utilizadas por un cracker para hackear un dispositivo. El cracker intenta instalar un rootkit en una computadora, primero obteniendo acceso a nivel de usuario, ya sea explotando una vulnerabilidad conocida o descifrando una contraseña y luego recuperando la información requerida. Oculta el hecho de que un sistema operativo se ha visto comprometido al reemplazar ejecutables vitales.

Se ejecutan diferentes tipos de rootkits durante diferentes fases del proceso de inicio. Estos incluyen,

1. rootkits de Kernel - Desarrollados como controladores de dispositivos o módulos cargables, este kit es capaz de reemplazar una parte del kernel del sistema operativo para que el rootkit pueda iniciarse automáticamente cuando se carga el sistema operativo.
2. Firmware rootkits - Estos kits sobrescriben el firmware del sistema básico de entrada / salida de la PC u otro hardware para que el rootkit pueda arrancar antes de que Windows se active.
3. Rootkit de controlador - A nivel de controlador, las aplicaciones pueden tener acceso completo a el hardware del sistema. Por lo tanto, este kit pretende ser uno de los controladores de confianza que usa Windows para comunicarse con el hardware de la PC.
4. Bootkits - Es una forma avanzada de rootkits que toma la funcionalidad básica de un rootkit y la extiende con el capacidad de infectar el Master Boot Record (MBR). Reemplaza el gestor de arranque del sistema operativo para que la PC cargue Bootkit antes que el sistema operativo.

Windows 10 tiene 4 funciones que aseguran el proceso de arranque de Windows 10 y evitan estas amenazas.

Asegurar el proceso de arranque de Windows 10

Seguro Boot

Secure Boot es un estándar de seguridad desarrollado por miembros de la industria de la PC para ayudarlo a proteger su sistema de programas maliciosos al no permitir que se ejecuten aplicaciones no autorizadas durante el proceso de inicio del sistema. La función se asegura de que su PC arranque usando solo software de confianza del fabricante de la PC. Entonces, cada vez que se inicia su PC, el firmware verifica la firma de cada pieza de software de arranque, incluidos los controladores de firmware (ROM opcionales) y el sistema operativo. Si se verifican las firmas, la PC arranca y el firmware da el control al sistema operativo.

Trusted Boot

Este gestor de arranque utiliza el Módulo de plataforma virtual confiable (VTPM) para verificar la firma digital del kernel de Windows 10 antes cargarlo, que a su vez, verifica todos los demás componentes del proceso de inicio de Windows, incluidos los controladores de inicio, los archivos de inicio y ELAM. Si un archivo ha sido alterado o modificado en alguna medida, el gestor de arranque lo detecta y se niega a cargarlo reconociéndolo como el componente dañado. En resumen, proporciona una cadena de confianza para todos los componentes durante el arranque.

Early Launch Anti-Malware

Early launch anti-malware (ELAM) proporciona protección para las computadoras presentes en una red cuando se inician y antes de que se inicien los controladores de terceros. Después de que Secure Boot haya logrado proteger el gestor de arranque y Trusted Boot haya completado / completado la tarea de proteger el kernel de Windows, comienza el rol de ELAM. Cierra cualquier laguna que le quede al malware para iniciar o iniciar una infección al infectar un controlador de arranque que no sea de Microsoft. La función carga inmediatamente un antimalware de Microsoft o no. Esto ayuda a establecer una cadena de confianza continua establecida por Secure Boot y Trusted Boot, anteriormente.

Measured Boot

Se ha observado que las PC infectadas con rootkits siguen pareciendo saludables, incluso con el funcionamiento antimalware. Estas PC infectadas, si están conectadas a una red en una empresa, representan un serio riesgo para otros sistemas al abrir rutas para que los rootkits accedan a grandes cantidades de datos confidenciales. El inicio de sesión medido en Windows 10 permite que un servidor confiable en la red verifique la integridad del proceso de inicio de Windows mediante los siguientes procesos.

1. Ejecución de un cliente de certificación remota que no es de Microsoft: el servidor de certificación confiable envía al cliente una clave única al final de cada proceso de inicio.
2. El firmware UEFI de la PC almacena en el TPM un hash del firmware, gestor de arranque, controladores de arranque y todo lo que se cargará antes de la aplicación antimalware.
3. El TPM usa la clave única firmar digitalmente el registro registrado por la UEFI. El cliente luego envía el registro al servidor, posiblemente con otra información de seguridad.

Con toda esta información a mano, el servidor ahora puede encontrar si el cliente está saludable y otorgarle acceso al cliente a una red de cuarentena limitada o al red completa.

Lea todos los detalles en Microsoft.