如何在啟用核心 DMA 保護下，允許特定受信任週邊並強制執行開機前 DMA 封鎖?

Question

如何在啟用核心 DMA 保護下，允許特定受信任週邊並強制執行開機前 DMA 封鎖?

SSD Zhang 40

我們的風險管理團隊非常擔心遭竊筆電上外露的 USB4 和 Thunderbolt 4 連接埠會遭受實體 DMA 攻擊。雖然我們已經啟用了『核心 DMA 保護』（Kernel DMA Protection），但某些舊有的傳統週邊設備在連接時會被完全封鎖。我們該如何設定策略，以便在對未知硬體強制執行嚴格的『開機前 DMA 封鎖』（pre-boot DMA blocking）的同時，還能允許特定且受信任的週邊設備 ID（Peripheral IDs）進行連線？

0 則留言

1 個回答

您的回答

Answer 1

SSD Zhang

以下是防止端點受到 DMA 攻擊，同時保持受信任舊版硬體正常運作的雙層安全防護方案繁體中文翻譯：

這是一種雙層安全防護方案，可在防止端點受到 DMA 攻擊的同時，保持受信任的舊版硬體正常運作：

第一層：開機前防護：Windows 核心 DMA 防護（Kernel DMA Protection）原生利用微軟基於虛擬化的記憶體隔離技術（IOMMU），在開機前與鎖定畫面階段封鎖所有未經核准且未進行 DMA 重新對映的硬體。此功能透過登錄檔 HKLM\Software\Policies\Microsoft\Windows\Kernel DMA Protection (DeviceEnumerationPolicy) 進行管理。

第二層：登入後白名單：由於預設的 DMA 策略會在使用者登入後允許任何舊版裝置運作，因此您必須在此基礎上疊加「裝置安裝限制」（Device Installation Restrictions）。此功能透過登錄檔 HKLM\Software\Policies\Microsoft\Windows\DeviceInstall\Restrictions 進行設定，可為「隨插即用」（Plug and Play）子系統建立「預設拒絕」規則。它會封鎖所有未授權的驅動程式，同時僅允許符合特定「硬體識別碼」（Hardware IDs）的受信任舊版裝置。

希望這個回答能為您提供實用的資訊。如果這對您有所幫助，請點擊「接受答案」。若您有任何疑問，歡迎隨時留言討論。

VPHAN