Microsoft усиливает безопасность Windows 11 с помощью новых мер защиты от несанкционированного доступа в CLFS
Базирующийся в Редмонде технологический гигант Microsoft, по-прежнему привержен к укреплению защиты своей операционной системы Windows 11 от кибератак.
По традиции, во второй вторник каждого месяца, известный как «Вторник Патчей», компания выпускает новые патчи безопасности. На этот раз обновление принесло важное решение для защиты драйвера Common Log File System (CLFS) в Windows 11 25H2 и Windows Server 2025.
Данное исправление направлено на борьбу с исторически проблемным вектором атаки путем внедрения в файлы журналов CLFS кода аутентификации сообщений на основе хеша (HMAC). Цель проста, но жизненно важна: гарантировать, что эти файлы не будут изменены злоумышленниками.
Механизм безопасности, реализованный Microsoft, работает путем объединения данных файла с уникальным системным криптографическим ключом, хранящимся в реестре. Доступ к этому ключу строго ограничен и предоставляется только администраторам и учетным записям SYSTEM. На практике отправитель вычисляет хеш данных и передает их; получатель, используя тот же секретный ключ, пересчитывает хеш, чтобы проверить наличие совпадения. При обнаружении любых изменений файл реестра просто не откроется, что предотвратит выполнение вредоносного кода.
Влияние на производительность и требования к хранению данных
Хотя безопасность является приоритетом, эта мера по «усилению» системы не обходится без снижения производительности Windows 11 и расхода ресурсов машины. Компания предупреждает, что процесс генерации и проверки кодов аутентификации требует дополнительного дискового пространства и значительно увеличивает количество операций ввода-вывода (I/O).
Согласно обнародованным техническим данным, среднее время, необходимое для записи в файл журнала, удвоилось после применения данного исправления. Кроме того, занимаемое пространство увеличивается пропорционально размеру файла контейнера: файл размером 512 КБ потребует примерно на 8 КБ больше места, а контейнер размером 4 ГБ может потребовать более 2 МБ дополнительного пространства только для хранения кодов аутентификации.
Для облегчения перехода и предотвращения резких сбоев в корпоративных средах после установки обновлений был внедрен 90-дневный «режим обучения». В течение этого периода коды автоматически добавляются в существующие файлы журналов сразу после их открытия.
По истечении этого периода система перейдет в режим принудительного применения, требуя, чтобы все файлы содержали действительные коды. Системным администраторам рекомендуется обеспечить доступ к журналам в течение этого периода или использовать утилиту командной строки fsutil clfs authenticate для обновления неоткрытых файлов, как подробно описано в официальной статье службы поддержки Microsoft.
Это важная мера для смягчения последствий уязвимостей повышения привилегий, затронувших подсистему реестра Windows, используемую как приложениями пользовательского режима, так и приложениями режима ядра.
