Seminar CHIPSEC – CPU, Microcode, CET und Sicherheitsregister

Das eintägige Seminar konzentriert sich auf klar abgegrenzte CPU- und Registerprüfungen. Innerhalb eines Tages lassen sich Prozessorinventar, Microcodestand, Feature-Control-Locks, ausgewählte Mitigationsmerkmale und CET-relevante Zustände erfassen, verifizieren und in eine technische Baseline überführen.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• CPU-Topologie, CPUID-Merkmale und sicherheitsrelevante Prozessorfunktionen erfassen.
• Microcodestand und Aktualisierungsweg nachvollziehbar dokumentieren.
• MSR-basierte Sicherheitskontrollen und Lock-Zustände bewerten.
• CET- und Mitigationsmerkmale zwischen Hardware, Firmware und Betriebssystem abgleichen.
• Eine wiederholbare CPU- und Microcode-Baseline erstellen.

Schrittweise Seminarinhalte

1. CPU-Inventar und Topologie

Schwerpunkt: Hersteller, Familie, Modell, Stepping, logische Prozessoren, Packages, Kerne, Threads und CPUID-Featureblätter.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „CPU-Inventar und Topologie“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Hersteller, Familie, Modell, Stepping, logische Prozessoren, Packages, Kerne, Threads und CPUID-Featureblätter erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis ein belastbares Prozessorinventar erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

2. Microcode erfassen und bewerten

Schwerpunkt: aktuelle Revision, Updatequelle, Bootpfad, Plattformvergleich, Rückfallzustände und Firmwareabhängigkeit.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Microcode erfassen und bewerten“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von aktuelle Revision, Updatequelle, Bootpfad, Plattformvergleich, Rückfallzustände und Firmwareabhängigkeit erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine nachvollziehbare Microcode-Baseline erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

3. Feature-Control- und Lock-Register

Schwerpunkt: IA32_FEATURE_CONTROL, ausgewählte Sicherheits-MSR, Lock-Bits, Konsistenz über alle logischen Prozessoren und Abweichungen.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „Feature-Control- und Lock-Register“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von IA32_FEATURE_CONTROL, ausgewählte Sicherheits-MSR, Lock-Bits, Konsistenz über alle logischen Prozessoren und Abweichungen erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis einen CPU-Lock-Prüfbericht erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

4. CET und Mitigationsmerkmale

Schwerpunkt: Control-flow Enforcement Technology, Shadow Stack, Indirect Branch Tracking, Spectre-bezogene Merkmale und OS-Nutzung.

1. Prüfziel, Plattformzustand, Schutzbedarf und sichere Grenzen für „CET und Mitigationsmerkmale“ festlegen.
2. Relevante Artefakte, Register, Tabellen und Abhängigkeiten anhand von Control-flow Enforcement Technology, Shadow Stack, Indirect Branch Tracking, Spectre-bezogene Merkmale und OS-Nutzung erfassen und ordnen.
3. Geeignete CHIPSEC-Module und read-only Utility-Abfragen schrittweise ausführen; Änderungen bleiben freigegebenen Laborfällen vorbehalten.
4. Ausgaben, Werte, Locks und Fehlerverhalten durch Vergleich, Plausibilitätskontrolle sowie Positiv- und Negativfälle validieren.
5. Als Arbeitsergebnis eine Hardware-Firmware-OS-Abgleichmatrix erstellen, Befunde priorisieren und konkrete Retestkriterien festlegen.

5. Baseline, Findings und Retest

Schwerpunkt: erwartete Werte, Plattformvarianten, Warnungen, Firmwareupdate, Betriebssystemupdate und Wiederholungsprüfung.

1. Zielzustand, Verantwortlichkeiten, Aussagegrenzen und Kontrollkriterien für „Baseline, Findings und Retest“ festlegen.
2. Benötigte Evidenz und Entscheidungsdaten anhand von erwartete Werte, Plattformvarianten, Warnungen, Firmwareupdate, Betriebssystemupdate und Wiederholungsprüfung in einer prüfbaren Struktur erfassen.
3. Technische Ergebnisse nach Ursache, Auswirkung, Reichweite und Verlässlichkeit bewerten.
4. Maßnahmen, Ausnahmen, Freigaben und Retestkriterien mit Positiv- und Negativfällen operationalisieren.
5. Als Arbeitsergebnis ein wiederverwendbares CPU-Prüfrunbook dokumentieren, fachlich abnehmen und in den Regelprozess überführen.

Praxisübungen und Laborszenarien

• Erfassung von CPU-Topologie, CPUID und Microcoderevision auf einer Laborplattform.
• Vergleich ausgewählter MSR-Werte über alle logischen Prozessoren.
• Erstellung einer Baseline mit Abweichungs- und Retest-Regeln.

Zielgruppe und Voraussetzungen

Zielgruppe: Plattform-Security, Systemarchitektur, Endpoint Engineering, Betriebssystemhärtung und technische Revision.

Voraussetzungen: Grundverständnis von x86-Prozessorarchitektur, Firmwarestart und Betriebssystemhärtung; CHIPSEC-Grundkenntnisse sind hilfreich.

Didaktik und Arbeitsweise

Das Format verwendet kurze Architekturblöcke, unmittelbar gefolgt von read-only Registerabfragen und Vergleichsübungen. Die begrenzte Zahl klar definierter Prüfobjekte erlaubt eine vollständige Bearbeitung innerhalb eines Seminartages.