ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি (VBS): পৃথক ভার্চুয়াল এনভায়রনমেন্ট দিয়ে সিস্টেম সুরক্ষা

ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি (VBS) হল একটি টেকনোলজি যা কম্পিউটার প্রসেসগুলিকে আন্ডারলাইং অপারেটিং সিস্টেম (OS) এবং কিছু ক্ষেত্রে হার্ডওয়্যার থেকে বিমূর্ত করে। এটি এই প্রসেসগুলিকে একে অপরের থেকে পৃথক করে, লক্ষ্য হল অপারেটিং সিস্টেম এবং ডিভাইসকে ম্যালওয়্যার এবং অন্যান্য আক্রমণ থেকে রক্ষা করা।

VBS হল একটি পৃথক ভার্চুয়াল এনভায়রনমেন্ট তৈরি করার ধারণা এবং সিস্টেম রিসোর্স ও নিরাপত্তা সমাধান (যেমন ইউজার লগইন ক্রেডেনশিয়াল) কে OS-এ ভালনারবিলিটি এবং এক্সপ্লয়েট (যেমন ম্যালওয়্যার) থেকে রক্ষা করার জন্য নির্দিষ্ট সীমাবদ্ধতা এনফোর্স করা। পৃথক এনভায়রনমেন্টটি মেইন মেমরির একটি অংশ যা OS-এর বাকি অংশ থেকে পৃথক। এটি OS-এর "root of trust" (বিশ্বাসের মূল) ও।

VBS কীভাবে কাজ করে

VBS উইন্ডোজ হাইপারভাইজার ব্যবহার করে পৃথক এনভায়রনমেন্ট তৈরি করে। হাইপারভাইজার ধরে নেয় যে উইন্ডোজ কমপ্রোমাইজড হতে পারে (যেমন ম্যালিশিয়াস কোড দ্বারা)। এই অনুমানের ভিত্তিতে, এটি মূল সিস্টেম রিসোর্স রক্ষা করার লক্ষ্য রাখে। এটি করতে হাইপারভাইজার হার্ডওয়্যার ভার্চুয়ালাইজেশন সক্ষম করে, এবং ভার্চুয়াল মেশিন (VM) তৈরি করে যা সিস্টেম প্রসেস হোস্ট করে এবং তাদের ডেটা স্টোর করে, কম্পিউটারের অপারেটিং সিস্টেমে সরাসরি সেই প্রসেস চালানোর বদলে। VBS-এর প্রিমাইস হল যদি একটি পৃথক প্রসেস বা অ্যাপ্লিকেশনে আক্রমণ হয়, তবে আক্রমণটি VM-এর বাইরে ছড়িয়ে পড়তে পারে না। একজন আক্রমণকারী এক প্রসেসের ভালনারবিলিটি এক্সপ্লয়েট করে অন্য অ্যাপ্লিকেশন থেকে ডেটা চুরি করতে বা পুরো কম্পিউটারকে র্যানসমওয়্যার দিয়ে আটকে রাখতে পারবে না।

উইন্ডোজে ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি কী?

মাইক্রোসফট প্রথমে ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি উইন্ডোজ ১০-এ অন্তর্ভুক্ত করে Windows Defender Device Guard এবং Credential Guard ফিচারের মাধ্যমে। Device Guard এবং Credential Guard Virtual Secure Mode (VSM) ব্যবহার করে, যা উইন্ডোজ ১০-এ VBS-এর একটি নির্দিষ্ট ফিচার। VSM Microsoft Hyper-V হাইপারভাইজার ব্যবহার করে (কম্পিউটারের হার্ডওয়্যারে সরাসরি ইনস্টলড) নির্দিষ্ট প্রসেস চালাতে এবং তাদের ডেটা OS থেকে স্বতন্ত্রভাবে স্টোর করতে।

• Device Guard তিনটি ফিচারের সেট: Configurable Code Integrity, VSM Protected Code Integrity, Platform and UEFI Secure Boot — যা অবিশ্বস্ত কোড উইন্ডোজ ১০ মেশিনে চালানো থেকে রোধ করে। শুধু বিশ্বস্ত কোড এবং সাইনড, ভেরিফাইড ফার্মওয়্যার চালানো যায়, এবং IT অ্যাডমিন নির্দিষ্ট প্রসেস আইসোলেট করতে পারে অতিরিক্ত সুরক্ষার জন্য।
• Credential Guard VSM ব্যবহার করে ইউজার লগইন, পাসওয়ার্ড এবং অন্যান্য অথেন্টিকেশন ডেটা আইসোলেট ও সিকিউর করে, অননুমোদিত অ্যাক্সেস রোধ করতে।

VBS উইন্ডোজ ১০ এবং উইন্ডোজ সার্ভার ২০১৬ থেকে সব ভার্সনে সাপোর্টেড। উইন্ডোজ ১১-ও VBS সাপোর্ট করে। উইন্ডোজ ১১-এ VBS এবং এর মূল নিরাপত্তা ফিচার যেমন মেমরি ইন্টিগ্রিটি ডিফল্টভাবে অন থাকে। উইন্ডোজ ১০-এর মত উইন্ডোজ ১১-এ VBS মেমরির একটি পৃথক সেকশন তৈরি করে যেখানে বিভিন্ন নিরাপত্তা সমাধান নিরাপদে স্টোর করা যায়। এটি OS-এর জন্য root of trust হিসেবে কাজ করে। VBS নিশ্চিত করে যে শুধু এই এনভায়রনমেন্টের ভেতরের রিসোর্সগুলো বিশ্বস্ত।

VBS দ্বারা সুরক্ষিত রিসোর্স ও নিরাপত্তা সমাধান

VBS এবং উইন্ডোজ হাইপারভাইজার বেশ কিছু সিস্টেম ও OS রিসোর্স ও নিরাপত্তা সমাধান রক্ষা করতে লক্ষ্য করে। এক ऐसा রিসোর্স হল Model-Specific Registers (MSRs)। MSRs হল প্রসেসরের কন্ট্রোল রেজিস্টার যা সাধারণত ডিবাগিং, পারফরম্যান্স মনিটরিং এবং প্রসেসরের আচরণের নির্দিষ্ট দিক কন্ট্রোল করার জন্য ব্যবহৃত হয়।

MSRs কোম্প্রোমাইজড হলে এবং সেটিংস পরিবর্তন হলে পুরো সিস্টেম কমপ্রোমাইজড হতে পারে। সিস্টেমের আচরণ অনিচ্ছাকৃতভাবে বদলে যেতে পারে বা থ্রেট এক্টর সিস্টেম বা এর নিরাপত্তা অ্যাসেটে অননুমোদিত অ্যাক্সেস পেতে পারে।

এই সমস্যাগুলো রোধ করতে হাইপারভাইজার VBS ব্যবহার করে। VBS-এর মাধ্যমে হাইপারভাইজার MSRs-কে ম্যালিশিয়াস কার্নেল মোড কোড থেকে রক্ষা করে এবং তাদের মিসইউজ রোধ করে:

• সব MSRs-এ অ্যাক্সেস মনিটর ও কন্ট্রোল করা।
• কার্নেল মোড কোডকে শুধু যেসব MSRs নিরাপদ জানা আছে সেগুলোতে অ্যাক্সেস দেয়া।
• অনজান (হাইপারভাইজারের কাছে) MSRs-এ অ্যাক্সেস ব্লক করা।
• ব্লক করা MSRs-এ অ্যাক্সেসের চেষ্টা ফ্ল্যাগ করা (Windows System log-এ Event Viewer-এ ইভেন্ট লগ করে)।

VBS অথেনটিকেটেড ইউজার ক্রেডেনশিয়াল এবং উইন্ডোজ নিরাপত্তার জন্য দায়বদ্ধ কোডকে সিকিউর ভার্চুয়াল এনভায়রনমেন্টে রাখে।

ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি এবং মেমরি ইন্টিগ্রিটি

মেমরি ইন্টিগ্রিটি হল উইন্ডোজ OS-এ VBS-এর একটি ফিচার। হাইপারভাইজার পৃথক ভার্চুয়াল এনভায়রনমেন্ট তৈরি করার পর, মেমরি ইন্টিগ্রিটি এই এনভায়রনমেন্টের ভেতরে কার্নেল মোড কোড ইন্টিগ্রিটি চালায় যাতে অবিশ্বস্ত ড্রাইভার বা সিস্টেম ফাইল সিস্টেম মেমরিতে লোড হতে না পারে। ফলে এটি OS রক্ষা করে এবং ম্যালওয়্যার উইন্ডোজ কার্নেল কমপ্রোমাইজ করতে না দেয়।

মেমরি ইন্টিগ্রিটি নিশ্চিত করে যে কার্নেল মেমরি পেজগুলো সিকিউয়ার রানটাইম এনভায়রনমেন্টের ভেতরে কোড ইন্টিগ্রিটি চেক পাস করার পরেই এক্সিকিউট হয়। এছাড়া এটি এক্সিকিউটেবল কোড পেজ মডিফাই হওয়া এবং মডিফাইড মেমরি এক্সিকিউট হওয়া থেকে রোধ করে। এভাবে এটি কার্নেল মেমরি এলোকেশন সীমাবদ্ধ করে এবং সিস্টেম কমপ্রোমাইজ হতে না দেয়।

উইন্ডোজে VBS চালানোর জন্য প্রয়োজনীয়তা

• Windows Hypervisor সঠিকভাবে কনফিগার্ড থাকতে হবে (সর্বোচ্চ গুরুত্বপূর্ণ)।
• প্রসেসর সেকেন্ড-লেভেল অ্যাড্রেস ট্রান্সলেশন সহ ভার্চুয়ালাইজেশন সাপোর্ট করতে হবে।
• সभी DMA-ক্ষমতা সম্পন্ন I/O ডিভাইস Input-Output Memory Management Unit (IOMMU)-র পিছনে থাকতে হবে।
• সব সিস্টেম ফার্মওয়্যার Windows SMM Security Mitigation Table (WMST)-র মতে System Management Mode কোড হার্ডেন করা থাকতে হবে।
• সব UEFI ফার্মওয়্যার EFI রানটাইম মেমরি রেঞ্জ (কোড ও ডেটার জন্য) পৃথক করে রিপোর্ট করতে হবে, এবং EFI পেজ প্রোটেকশন অন্তর্ভুক্ত করতে হবে (যেমন, এক্সিকিউটেবল UEFI মেমরি রিড-অনলি, রাইটেবল মেমরি এক্সিকিউটেবল নয়)।
• সব সিস্টেম ড্রাইভার মেমরি ইন্টিগ্রিটির সাথে কম্প্যাটিবিলিটি যাচাই করতে হবে।
• Secure Memory Overwrite Request revision 2 ইমপ্লিমেন্ট করা থাকতে হবে এডভান্সড মেমরি আক্রমণ থেকে রক্ষা করতে।
• Microsoft সুপারিশ করে (বাধ্যতামূলক নয়) Trusted Platform Module (TPM) ইমপ্লিমেন্ট করা হার্ডওয়্যার-ভিত্তিক নিরাপত্তার জন্য।

Windows 10 বা 11-এ VBS এনাবলড কিনা চেক করা

1. Windows Search-এ "System Information" অ্যাপ খুঁজুন।
2. অ্যাপটি খুলুন।
3. "Virtualization-based security" রোয়টি খুঁজুন (নিচের দিকে স্ক্রোল করুন)।
4. যদি "running" লেখা থাকে, তবে VBS এনাবলড।

Windows 10 বা 11-এ VBS/HVCI ডিজেবল করা

নিরাপত্তা সুবিধা থাকা সত্ত্বেও, উইন্ডোজ ১০ ও ১১-এ VBS এনাবল করা সিস্টেম পারফরম্যান্স ধীর করতে পারে। ফিচারটি ডিজেবল করলে পারফরম্যান্স উন্নত হয় — যদিও নিরাপত্তা সমাধানগুলো ভালনারবিলিটি ও এক্সপ্লয়েটের আশঙ্কায় থাকে।

1. Windows Search-এ "Core Isolation" খুঁজুন বা System Settings থেকে খুলুন।
2. Memory Integrity অফ করুন (যদি অন থাকে)।
3. সিস্টেম রিস্টার্ট করুন।
4. System Information অ্যাপ খুলুন।
5. "Virtualization-based security" রোয় চেক করুন।
6. যদি "not enabled" লেখা থাকে, তবে VBS ডিজেবলড।

যদি VBS এখনও এনাবলড থাকে, তবে সিস্টেম রেজিস্ট্রি থেকে ডিজেবল করতে হবে (অ্যাডমিন অ্যাক্সেস ও অভিজ্ঞতা প্রয়োজন):

1. regedit রান করুন রেজিস্ট্রি এডিটর খোলার জন্য।
2. নেভিগেট করুন: Computer\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\DeviceGuard
3. EnableVirtualizationBasedSecurity ফাইল খুলুন এবং মান ০ সেট করুন।
4. regedit বন্ধ করুন।
5. PC রিস্টার্ট করুন।
6. System Information অ্যাপে কনফার্ম করুন যে VBS ডিজেবলড।

Windows ভার্চুয়ালাইজেশন-বেসড সিকিউরিটি ফিচার সম্পর্কে আরও জানুন এবং ভার্চুয়াল এনভায়রনমেন্ট সিকিউর করার সময় কী কী খেয়াল রাখতে হয় সেটি দেখুন। Windows Defender Device Guard এনাবল করার পদ্ধতি এবং Windows Server-এর জন্য এন্ডপয়েন্ট ডিটেকশন এন্ড রেসপন্স টুল তুলনা করুন।