Microsoft Defender: Neues Update mit Hardware-gestütztem Stapelschutz

Mit dem neuesten Update KB50007651 für Windows wird der Microsoft Defender aktualisiert und ein Fehler korrigiert.

Mit dem neuen "Hardware-gestütztem Stapelschutz im Kernel-Modus" soll sichergestellt werden, dass Schadcode von Angreifern nicht ersetzt wird, welcher im Kernel-Modus in einer zweiten Kopie im Schattenstapel gespeichert wurde. Die nicht ordnungsgemäße Überprüfung hatte dazu geführt, dass Geräte den FASR-Schutz (Firmware Attack Surface Reduction) nicht zur Verfügung stand. Die Funktion kann dementsprechend auch nur aktiviert werden, wenn auch die Speicherintegrität aktiviert wurde. Für die Aktivierung des Schutzes ist zudem noch ein kompletter Neustart des Systems notwendig.

Die neue Schutzfunktion für Windows wird über das Windows-Sicherheits-Panel im Abschnitt „Gerätesicherheit“ und der Unterkategorie "Kernisolierung" zur Verfügung gestellt.

Mit dem FASR-Schutz und dem Secure-Core-PC soll sichergestellt werden, dass die verwendete Firmware nicht von Dritten kompromittiert werden kann. Bedingt durch die Vielzahl an Chipsätzen für PCs wird die "Dynamic Root of Trust for Measurement" (D-RTM) von vielen Geräten allerdings gar nicht unterstützt, welche als Sicherheitsmesslatte für Windows-Geräte dienen soll. Mit dem FASR-Schutz will Microsoft diese Lücke schließen, welche Kompatibilität des Speicherschutzes bei UEFI-Firmware durch eine Reihe von Open-Source-SMM-Sicherheitsverbesserungen erzielt werden soll. Mit dem FASR-Schutz sollen die möglichen Angriffsflächen von Firmwarekomponenten ohne hardwarebasierte D-RTM-Funktionen so klein wie nur möglich gehalten werden.