Microsoft Defender ATP新增UEFI扫描功能

微软端点防护Microsoft Defender ATP将新增统一可延伸固件界面（Unified Extensible Firmware Interface，UEFI）扫描功能，可用于扫描Windows 10 PC固件，防止攻击硬件的Rootkit程式。

近年安全防护产品能力让操作系统上的恶意程式难以遁形，促使攻击程式转向硬件和固件层。攻击者着眼于入侵开机程序，降低低阶恶意程式行为被侦测的机会，因而成为新兴的企业安全威胁。

Windows 10原本已有Windows Defender系统安全防护（Windows Defender System Guard）功能，提供hypervisor验证和安全启动（Secure Launch）等硬件安全功能提供开机安全。安全启动是微软和芯片及PC商合作的“安全核心PC (Secured core PC)”计划的一环，利用英特尔、AMD、高通的动态量测信任根（Dynamic Root of Trust Measurement，DRTM）技术，防止PC开机程序遭固件攻击，但只限于该计划下的PC。最新的UEFI扫描，则是在Microsoft/ Windows Defender ATP加入UEFI扫描引擎元件，将固件扫描提供给更多PC。

UEFI扫描引擎使Microsoft Defender ATP得以扫描固件档案系统内部，并进行安全分析。它可和主板芯片组进行互动，在执行时读取固件档案系统。这个引擎分析是否有rootkit经由序列周边界面（Serial Peripheral Interface，SPI）进入固件、借由载入可疑驱动程式及定期性系统扫描，来检视全固件档案系统的内容、侦测引擎则可辨识攻击程式及恶意行为。

所有侦测都整合在Windows Security App中的防护纪录（Protection History）项之下，而若有侦测到异常行为则会透过Microsoft Defender安全中心发出告警，方便IT管理员的调查和分析、回应，也可以利用Microsoft Defender ATP的进阶猎捕功能来追查威胁程式。

这些资讯也可整合于跨端点、电子邮件、Azure、云端App安全的微软威胁防护（Microsoft Threat Protection，MTP）之中。