Изоляция ядра — одна из функций защиты устройства Windows на основе виртуализации (Hypervisor-protected Code Integrity или HVCI), изолирующая сторонние процессы от процессов Windows, призванная повысить защиту от угроз, направленных на ядро Windows. Несмотря на пользу, в некоторых случаях её отключение может повысить производительность системы в играх и сторонних приложениях.
В этой пошаговой инструкции подробно о способах отключить изоляцию ядра в Windows 11 и Windows 10, а также дополнительная информация на тему, которая может оказаться полезной.
Отключение изоляции ядра в «Безопасность Windows»
Базовый способ — использование соответствующей настройки в окне «Безопасность Windows». Шаги для отключения изоляции ядра будут следующими:
- Откройте окно «Безопасность Windows», используя значок в области уведомлений или поиск в панели задач.
- В открывшемся окне «Безопасность Windows» перейдите в раздел «Безопасность устройства».
- В пункте «Изоляция ядра» нажмите «Сведения об изоляции ядра».
- Отключите пункты «Целостность памяти». При появлении запроса контроля учетных записей подтвердите действие.
- В случае, если отключение производится из-за невозможности работы какого-либо драйвера, также отключите пункт «Список заблокированных уязвимых драйверов».
- Появится уведомление о необходимости перезагрузки. Перезагрузите компьютер для применения сделанных настроек.
В результате изоляция ядра и основная её составляющая — «Целостность памяти» будут отключены.
Примечание: открыть «Безопасность Windows» вы можете через «Параметры»:
- В Windows 11 — Параметры — Конфиденциальность и защита — Безопасность Windows
- В Windows 10 — Параметры — Обновление и безопасность — Безопасность Windows
Отключение в редакторе реестра
Вы можете полностью отключить функции изоляции ядра HVCI, используя редактор реестра. Для этого:
- Нажмите правой кнопкой мыши по кнопке «Пуск», выберите пункт «Выполнить», введите regedit и нажмите Enter.
- Перейдите к разделу реестра
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
При отсутствии такого раздела, создайте его.
- В правой панели редактора реестра дважды нажмите по параметру DWORD с именем «Enabled» и измените его значение на 0.
- Примените настройки и перезагрузите компьютер.
В результате изоляция ядра и сопутствующие функции HVCI будут отключены на компьютере.
Вместо ручного редактирования реестра вы можете создать reg-файл со следующим содержимым:
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity] "Enabled"=dword:00000000
Либо использовать команду в командной строке, запущенной от имени Администратора:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f
Настройка HVCI в редакторе локальной групповой политики
Если на вашем компьютере установлена Windows 11/10 Pro или Enterprise, вы можете использовать редактор локальной групповой политики для отключения изоляции ядра и других функций HVCI:
- Нажмите клавиши Win+R на клавиатуре, введите gpedit.msc и нажмите Enter.
- Перейдите в раздел Конфигурация компьютера — Административные шаблоны — Система — Device Guard.
- Дважды нажмите по политике «Включить средство обеспечения безопасности на основе виртуализации».
- Установите значение «Отключено».
- Примените настройки и перезагрузите компьютер.
В результате функции изоляции ядра Windows будут полностью отключены.
Проверка статуса изоляции ядра
Проверить текущий статус функций безопасности на основе виртуализации можно с помощью команды PowerShell (Терминала Windows):
Get-CimInstance -ClassName Win32_DeviceGuard –Namespace root\Microsoft\Windows\DeviceGuard
На скриншоте видно, что все функции HVCI отключены (SecurityServicesRunning и VirtualisationBasedSecurityStatus равны 0).
Еще один способ проверить, включена ли изоляция ядра — в редакторе реестра открыть раздел
HKLM\System\CurrentControlSet\Control\CI\State
Если раздел отсутствует или параметр HVCIEnabled в нём равен 0, изоляция ядра отключена. При значении HVCIEnabled равном 1 — включена.
После отключения изоляции ядра безопасность Windows будет сигнализировать о проблемах в части «Безопасность устройства», а на значке в области уведомлений будет отображаться восклицательный знак. Чтобы этого не происходило, зайдите в раздел «Безопасность устройства» и нажмите «Закрыть» или «Закрыть все».
Насколько безопасно отключать изоляцию ядра Windows? Точного ответа о степени риска дать не получится. В общем случае, при отсутствии каких-либо проблем с производительностью и работой необходимых драйверов лучше оставлять встроенные функции безопасности Windows 11/10 включенными. Но, как отмечалось, иногда отключение изоляции ядра и целостности памяти позволяет повысить производительность в играх, что отмечала и Майкрософт.
Учитывайте, что не на всех устройствах изоляция ядра включена по умолчанию. Если она отключена, чаще всего причина — в неподдерживаемых драйверах устройств, список которых будет отображаться в «Безопасность Windows». Вторая возможная причина — отсутствие необходимых для работы HVCI функций виртуализации.
Все способы:
- Проверка текущего состояния изоляции ядра
- Способ 1: Служба «Безопасность Windows»
- Способ 2: «Редактор реестра»
- Способ 3: «Редактор локальной групповой политики»
- Способ 4: Отключение Hyper-V
- Вопросы и ответы: 5
Проверка текущего состояния изоляции ядра
Перед началом ознакомления со следующими методами мы бы хотели порекомендовать проверить, в каком состоянии сейчас находится функция изоляции ядра. Эта же информация пригодится вам и после изменения настроек, чтобы проверить, вступили ли они в силу. Просмотр требуемых сведений осуществляется через одно классическое приложение в Windows 11.
- Откройте меню «Пуск», в поиске введите
msinfo32, дождитесь отображения соответствий и запустите приложение «Сведения о системе». - После отображения нового окна выберите раздел «Сведения о системе».
- Прокрутите список с информацией вниз и найдите пункт «Безопасность на основе виртуализации». Если рядом с этой строчкой вы видите значение «Выполняется», значит, изоляция ядра сейчас находится в активном состоянии. В противном случае значение будет «Не включено».
Теперь у вас информация о том, как оперативно проверить активность функции изоляции ядра, которая входит в состав компонента безопасности на основе виртуализации. Возвращайтесь к этому меню по необходимости, для проверки выполненных методов, о которых более детально — далее.
Способ 1: Служба «Безопасность Windows»
Первый метод отключения изоляции ядра в Windows 11 подразумевает взаимодействие с графическим меню и подходит абсолютно всем пользователям. Понадобится открыть один из разделов безопасности, найти там переключатель и переместить его в позицию для деактивации функции. На все про все уйдет не больше минуты.
- Откройте меню «Пуск» и перейдите в «Параметры».
- На панели слева выберите раздел «Конфиденциальность и защита», после чего перейдите к категории «Безопасность Windows».
- Вы увидите список всех компонентов защиты, среди которых сейчас вас интересует «Безопасность устройства».
- В новом окне щелкните по ссылке «Сведения об изоляции ядра», чтобы перейти к просмотру конкретной настройки.
- Вы получите информацию о том, за что отвечает рассматриваемая функция, а также сможете ее деактивировать, переместив переключатель в состояние «Откл.».
После выполнения описанных действий лучше отправить компьютер на перезагрузку, чтобы изменения вступили в силу. Теперь вы можете переходить к проверке производительности ПК или другим задачам, ради которых и отключали изоляцию ядра.
Способ 2: «Редактор реестра»
Все настройки операционной системы хранятся в виде отдельных файлов и целых ключей в реестре. Это позволяет Windows 11 всегда работать корректно и знать, какие параметры были выбраны по умолчанию или выставлены вручную пользователем. Изоляцию ядра тоже можно отключить через реестр, создав отдельный параметр и задав для него соответствующее значение.
- Через поиск в «Пуске» отыщите «Редактор реестра» и запустите это классическое приложение.
- В нем перейдите по пути
Компьютер\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuardили просто вставьте данное расположение в адресную строку и нажмите Enter для подтверждения. - В конечной папке вы увидите всего несколько параметров. Если среди них нет «EnableVirtualizationBasedSecurity», понадобится создать его самостоятельно. Для этого щелкните по пустому месту правой кнопкой мыши, наведите курсор на «Создать» и из появившегося меню выберите пункт «Параметр DWORD (32 бита)».
- Задайте для него название «EnableVirtualizationBasedSecurity» и дважды кликните по параметру для открытия свойств.
- Установите значение «0» и подтвердите внесение изменений. После этого обязательно перезагрузите ПК, поскольку только в новом сеансе ОС новые настройки вступят в силу.
Способ 3: «Редактор локальной групповой политики»
Предыдущий метод является универсальным, а внести те же самые изменения, но только через «Редактор локальной групповой политики» могут исключительно обладатели Windows 11 Pro и Enterprise. Если у вас установлена редакция Home, следующая инструкция вам не подойдет, поскольку нужная оснастка просто отсутствует. В таком случае предлагаем использовать метод с самостоятельным редактированием реестра.
- Если же версия ОС совместима с «Редактором локальной групповой политики», откройте утилиту «Выполнить», используя сочетание клавиш Win + R, в поле введите
gpedit.mscи нажмите Enter для подтверждения команды. - В окне с политиками разверните «Конфигурация компьютера», выберите каталог «Административные шаблоны», в нем — «Система», а затем щелкните левой кнопкой мыши по «Device Guard».
- Справа появится список из двух политик. Вам понадобится дважды щелкнуть левой кнопкой мыши по «Включить средство обеспечения безопасности на основе виртуализации».
- Установите значение для данной политики как «Отключено» и примените изменения, после чего отправьте ПК на перезагрузку.
Способ 4: Отключение Hyper-V
Мы оставили данный метод напоследок, поскольку выполнять его следует только в том случае, если ни один из предыдущих не принес должного результата и изоляция ядра все равно находится в активном состоянии или спустя время активируется. Это может быть связано с включенным стандартным компонентом Hyper-V, который и требует доступ к VBS. Отключение компонента осуществляется так:
- Откройте меню «Пуск», через поиск отыщите приложение «Панель управления» и запустите его.
- Среди значков отыщите «Программы и компоненты» и дважды щелкните по названию ЛКМ.
- На панели слева вас интересует ссылка «Включение или отключение компонентов Windows».
- В окне «Компоненты Windows» снимите галочку с пункта «Hyper-V» и нажмите «ОК». По завершении обязательно перезагрузите операционную систему.
Наша группа в TelegramПолезные советы и помощь
Отключение изоляции ядра в «Windows 11»
1. Откройте меню «Пуск» и перейдите в «Параметры» операционной системы «Windows 11».
2. Откройте категорию «Конфиденциальность и защита» и перейдите в раздел «Безопасность Windows».
3. Появится список областей защиты. Откройте область под названием «Безопасность устройства».
4. Откроются параметры безопасности устройства. Нажмите кнопку «Сведения об изоляции ядра».
5. Переведите ползунок параметра с названием «Целостность памяти» в положение «Отключено».
6. Перезагрузите устройство. После этого изоляция ядра защитника «Windows» будет отключена.
Отключение изоляции ядра в «Windows 10»
1. Откройте меню «Пуск» и перейдите в «Параметры» операционной системы «Windows 10».
2. Откроется общий список категорий. Откройте категорию «Обновление и безопасность».
3. Откройте раздел «Безопасность Windows» и перейдите в область «Безопасность устройства».
4. Откроется список параметров безопасности. Нажмите кнопку «Сведения об изоляции ядра».
5. Переведите ползунок параметра «Целостность памяти» в положение «Отключено».
6. Перезагрузите устройство. После этого изоляция ядра защитника «Windows» будет отключена.
Другие руководства
- Переключение технологии «DEP»;
- Настройка файла подкачки;
- Диагностика оперативной памяти;
- Диагностика дисковых устройств;
- Режимы питания в «Windows 11»;
- Отключение компонента «Hyper-V»;
- Установка системы «Windows 11»;
- Обновление системы «Windows»;
- Отключение загрузки приложений;
- Установка системы «Windows 10»;
- Добавление схем электропитания;
- Коррекция времени «Windows»;
- Удаление приложений в системе;
- Отключение визуальных эффектов;
- Отчёты «MSInfo32» и «DxDiag»;
- Отключение индексации диска;
- Оптимизация дискового устройства;
- Проверка целостности «Windows»;
- Удаление среды «Java options»;
- Восстановление системных шрифтов;
- Отключение параметра отладки;
- Расположение списка приложений;
- Режимы питания в «Windows 10»;
- Отключение удалённого помощника;
- Сброс операционной системы;
- Активация операционной системы;
- Включение контроля памяти;
- Удаление временных файлов;
- Приостановка обновлений системы.
Страница безопасности устройства приложения Безопасность Windows предназначена для управления функциями безопасности, встроенными в устройство Windows. Страница разделена на следующие разделы:
-
Компьютер с защищенными ядрами. Если ваше устройство является компьютером с защищенными ядрами, на нем отображаются сведения о функциях защищенного компьютера.
-
Изоляция ядра. Здесь можно настроить функции безопасности, защищающие ядро Windows.
-
Обработчик безопасности. Предоставляет сведения о обработчике безопасности, который называется доверенным платформенным модулем (TPM).
-
Безопасная загрузка: если включена безопасная загрузка, вы можете найти дополнительные сведения о ней.
-
Шифрование данных. Здесь можно найти ссылку на параметры Windows, где можно настроить шифрование устройства и другие параметры BitLocker.
-
Возможности аппаратной безопасности. Оценка функций аппаратной безопасности устройства
В приложении «Безопасность Windows» на компьютере, выберите Безопасность устройства или используйте следующий ярлык:
Безопасность устройства
Защищенный основной компьютер
Компьютер с защищенными ядрами предназначен для предоставления дополнительных функций безопасности прямо из коробки. Эти компьютеры интегрируют оборудование, встроенное ПО и программное обеспечение, чтобы обеспечить надежную защиту от сложных угроз.
В приложении «Безопасность Windows» на компьютере, выберите Безопасность устройства > Сведения о безопасности.
Дополнительные сведения см. в разделе Windows 11 компьютеры с защищенными ядрами.
Изоляция ядра
Изоляция ядра предоставляет функции безопасности, предназначенные для защиты основных процессов Windows от вредоносных программ путем их изоляции в памяти. Это делается путем запуска этих основных процессов в виртуализированной среде.
В приложении «Безопасность Windows» на компьютере, выберите Безопасность устройства > сведения об изоляции ядра или используйте следующее сочетание клавиш:
Изоляция ядра
Примечание: Функции, предоставляемые на странице изоляции ядра, зависят от используемой версии Windows и установленных компонентов оборудования.
Целостность памяти, также известная как целостность кода, защищенная гипервизором (HVCI), — это функция безопасности Windows, которая затрудняет использование вредоносными программами низкоуровневых драйверов для захвата компьютера.
Драйвер — это программное обеспечение, которое позволяет операционной системе (в данном случае Windows) и устройству (например, клавиатуре или веб-камере) общаться друг с другом. Когда устройство хочет, чтобы Windows что-то делало, оно использует драйвер для отправки этого запроса.
Целостность памяти работает путем создания изолированной среды с помощью аппаратной виртуализации.
Подумайте об этом как о охраннике внутри запертой кабины. Эта изолированная среда (заблокированная кабина в нашем аналогии) предотвращает незаконное изменение функции целостности памяти злоумышленником. Программа, которая хочет запустить фрагмент кода, который может быть опасным, должна передать код в целостность памяти внутри этой виртуальной кабины, чтобы его можно было проверить. Когда целостность памяти удобна, что код в безопасности, он передает код обратно в Windows для выполнения. Как правило, это происходит очень быстро.
Без выполнения целостности памяти охранник выделяется прямо в открытом месте, где злоумышленнику гораздо легче вмешиваться или саботировать охранника, что упрощает вредоносный код пробираться в прошлое и вызывать проблемы.
Вы можете включить илиотключить целостность памяти с помощью переключателя.
Примечание: Чтобы использовать целостность памяти, необходимо включить аппаратную виртуализацию в системе UEFI или BIOS.
Что делать, если написано, что у меня несовместимый драйвер?
Если целостность памяти не удается включить, это может сказать вам, что у вас уже установлен несовместимый драйвер устройства. Обратитесь к производителю устройства, чтобы узнать, доступен ли обновленный драйвер. Если у них нет совместимого драйвера, вы можете удалить устройство или приложение, использующее этот несовместимый драйвер.
Примечание: При попытке установить устройство с несовместимым драйвером после включения целостности памяти может появиться то же сообщение. В этом случае применяется тот же совет: проверка с производителем устройства, чтобы узнать, есть ли у него обновленный драйвер, который можно скачать, или не установить это конкретное устройство, пока не будет доступен совместимый драйвер.
Аппаратная защита стека — это аппаратная функция безопасности, которая затрудняет использование вредоносными программами низкоуровневых драйверов для захвата компьютера.
Драйвер — это программное обеспечение, которое позволяет операционной системе (в данном случае Windows) и устройству (например, клавиатуре или веб-камере) общаться друг с другом. Когда устройство хочет, чтобы Windows что-то делало, оно использует драйвер для отправки этого запроса.
Защита аппаратного стека предотвращает атаки, которые изменяют возвращаемые адреса в памяти в режиме ядра для запуска вредоносного кода. Для этой функции безопасности требуется ЦП, который содержит возможность проверки возвращаемых адресов выполняемого кода.
При выполнении кода в режиме ядра возвращаемые адреса в стеке режима ядра могут быть повреждены вредоносными программами или драйверами, чтобы перенаправить нормальное выполнение кода в вредоносный код. На поддерживаемых ЦП хранит вторую копию допустимых возвращаемых адресов в теневой стеке только для чтения, который драйверы не могут изменить. Если обратный адрес в обычном стеке был изменен, ЦП может обнаружить это несоответствие, проверив копию возвращаемого адреса в теневом стеке. При возникновении такого несоответствия компьютер запрашивает stop-ошибку, иногда называемую синим экраном, чтобы предотвратить выполнение вредоносного кода.
Не все драйверы совместимы с этой функцией безопасности, так как небольшое количество законных водителей участвуют в изменении адреса возврата в не вредоносных целях. Корпорация Майкрософт взаимодействует с многочисленными издателями драйверов, чтобы убедиться, что их последние драйверы совместимы с аппаратной принудительной защитой стека.
Вы можете включить илиотключить аппаратную защиту стека с помощью переключателя.
Чтобы использовать аппаратную защиту стека, необходимо включить целостность памяти и использовать ЦП, поддерживающий технологию intel Control-Flow принудительного применения или AMD Shadow Stack.
Что делать, если написано, что у меня несовместимый драйвер или служба?
Если не удается включить защиту аппаратного принудительного стека, это может сказать, что у вас уже установлен несовместимый драйвер устройства или служба. Обратитесь к производителю устройства или издателю приложения, чтобы узнать, доступен ли обновленный драйвер. Если у них нет совместимого драйвера, вы можете удалить устройство или приложение, использующее этот несовместимый драйвер.
Некоторые приложения могут устанавливать службу вместо драйвера во время установки приложения и устанавливать драйвер только при запуске приложения. Для более точного обнаружения несовместимых драйверов также перечисляются службы, которые, как известно, связаны с несовместимыми драйверами.
Примечание: При попытке установить устройство или приложение с несовместимым драйвером после включения аппаратной принудительной защиты стека может появиться то же сообщение. В этом случае применяется тот же совет: проверка с производителем устройства или издателем приложения, чтобы узнать, есть ли у них обновленный драйвер, который можно скачать, или не установить это конкретное устройство или приложение, пока не будет доступен совместимый драйвер.
Также известная как защита DMA ядра, эта функция безопасности защищает устройство от атак, которые могут произойти, когда вредоносное устройство подключено к порту PCI, например к порту Thunderbolt.
Простым примером одной из таких атак может быть то, что кто-то покидает свой компьютер для быстрого перерыва на кофе, и пока он был в отъезде, злоумышленник войдет в систему, подключит USB-устройство и уйдет с конфиденциальными данными с компьютера или введет вредоносную программу, которая позволяет им управлять компьютером удаленно.
Защита доступа к памяти предотвращает такие атаки, запрещая прямой доступ к памяти для этих устройств, за исключением особых обстоятельств, особенно когда компьютер заблокирован или пользователь выходит из системы.
Каждое устройство имеет некоторое программное обеспечение, записанное в память устройства только для чтения ( в основном записанное на микросхему на системной плате), которое используется для основных функций устройства, таких как загрузка операционной системы, которая запускает все приложения, которые мы привыкли использовать. Так как это программное обеспечение трудно (но не невозможно) изменить, мы называем его встроенным ПО.
Поскольку встроенное ПО загружается сначала и выполняется в операционной системе, средства безопасности и функции, работающие в операционной системе, трудно обнаружить его или защититься от него. Как и в доме, который зависит от хорошей основы для обеспечения безопасности, компьютер нуждается в безопасности встроенного ПО, чтобы обеспечить безопасность операционной системы, приложений и данных на этом компьютере.
System Guard — это набор функций, которые помогают гарантировать, что злоумышленники не смогут запустить ваше устройство с недоверенным или вредоносным встроенным ПО.
Платформы, которые обеспечивают защиту встроенного ПО, обычно также защищают режим управления системой (СММ), режим работы с высоким уровнем привилегий, в той или иной степени. Вы можете ожидать одно из трех значений, с более высоким числом, указывающим на большую степень защиты СММ:
-
Ваше устройство соответствует защите встроенного ПО версии 1: это обеспечивает базовые меры по устранению рисков безопасности, которые помогают SMM противостоять эксплуатации вредоносными программами и предотвращает кражу секретов из ОС (включая VBS)
-
Ваше устройство соответствует защите встроенного ПО версии 2: в дополнение к защите встроенного ПО версии 1, версия 2 гарантирует, что КОМАНДА СММ не может отключить защиту на основе виртуализации (VBS) и защиту DMA ядра.
-
Ваше устройство соответствует защите встроенного ПО версии 3: в дополнение к защите встроенного ПО версии 2, это еще больше усиливает защиту SMM, предотвращая доступ к определенным регистрам, которые могут скомпрометировать ОС (включая VBS).
Защита локального центра безопасности (LSA) — это функция безопасности Windows, которая помогает предотвратить кражу учетных данных, используемых для входа в Windows.
Локальный центр безопасности (LSA) — это важнейший процесс в Windows, участвующий в проверке подлинности пользователей. Он отвечает за проверку учетных данных во время входа и управление маркерами проверки подлинности и билетами, используемыми для включения единого входа в службы. Защита LSA помогает предотвратить запуск ненадежного программного обеспечения в LSA или доступ к памяти LSA.
Разделы справки управлять защитой локального центра безопасности?
Вы можете включить илиотключить защиту LSA с помощью переключателя.
После изменения параметра необходимо перезагрузить его, чтобы он вступил в силу.
Примечание: Чтобы обеспечить безопасность учетных данных, защита LSA включена по умолчанию на всех устройствах. Для новых установок он включается немедленно. Для обновлений он включается после перезагрузки после ознакомительного периода в пять дней.
Что делать, если у меня есть несовместимое программное обеспечение?
Если включена защита LSA и она блокирует загрузку программного обеспечения в службу LSA, уведомление указывает на заблокированный файл. Вы можете удалить программное обеспечение, загружающее файл, или отключить будущие предупреждения для этого файла, если он заблокирован для загрузки в LSA.
Примечание: Credential Guard доступен на устройствах с корпоративной или образовательной версиями Windows.
Когда вы используете рабочее или учебное устройство, оно будет спокойно входить в систему и получать доступ к различным вещам, таким как файлы, принтеры, приложения и другие ресурсы в вашей организации. Обеспечение безопасности и простоты этого процесса для пользователя означает, что на вашем компьютере есть ряд маркеров проверки подлинности в любой момент времени.
Если злоумышленник может получить доступ к одному или нескольким из этих маркеров, он может использовать их для получения доступа к ресурсу организации (конфиденциальным файлам и т. д.), для которых предназначен маркер. Credential Guard помогает защитить эти маркеры, помещая их в защищенную виртуализированную среду, где только определенные службы могут получить к ним доступ при необходимости.
Драйвер — это программное обеспечение, которое позволяет операционной системе (в данном случае Windows) и устройству (например, клавиатуре или веб-камере) общаться друг с другом. Когда устройство хочет, чтобы Windows что-то делало, оно использует драйвер для отправки этого запроса. Из-за этого драйверы имеют большой конфиденциальный доступ в вашей системе.
Windows 11 включает список блокировок драйверов, которые имеют известные уязвимости системы безопасности, подписаны сертификатами, используемыми для подписывания вредоносных программ, или которые обходят модель Безопасность Windows.
Если вы включили целостность памяти, управление интеллектуальными приложениями или режим Windows S, список блокировки уязвимых драйверов также будет включен.
Примечание: Если вы видите баннер под названием «Помощник по совместимости программ» с сообщением о том, что драйвер не может загрузиться или что параметр безопасности запрещает загрузку драйвера, проверка для обновленных драйверов через клиентский компонент Центра обновления Windows или через диспетчер устройств. Если обновления недоступны, обратитесь к производителю оборудования для получения обновленного драйвера.
Обработчик безопасности
Параметры обработчика безопасности на странице Безопасность устройства в приложении Безопасность Windows содержат сведения о доверенном платформенного модуля (TPM) на вашем устройстве. TPM — это аппаратный компонент, предназначенный для повышения безопасности путем выполнения криптографических операций.
Примечание: Если на этом экране не отображается запись «Обработчик безопасности», скорее всего, у вашего устройства нет необходимого оборудования TPM (доверенный платформенный модуль) для этой функции или оно не включено в UEFI (единый интерфейс EFI). Обратитесь к производителю устройства, чтобы узнать, поддерживает ли ваше устройство TPM (доверенный платформенный модуль), и, если да, то как включить его.
Здесь вы найдете сведения о производителе и номерах версий обработчика безопасности, а также информацию о состоянии обработчика безопасности.
В приложении «Безопасность Windows» на компьютере, выберите Безопасность устройства> Сведения о обработчике безопасности или используйте следующий ярлык:
Сведения о обработчике безопасности
Если ваш обработчик безопасности работает неправильно, можно щелкнуть ссылку Устранение неполадок с обработчиком безопасности, чтобы просмотреть сообщения об ошибках и дополнительные параметры, или использовать следующее сочетание клавиш:
Устранение неполадок обработчика безопасности
На странице устранения неполадок обработчика безопасности содержатся все соответствующие сообщения об ошибках доверенного платформенного модуля. Ниже приведен список сообщений об ошибках и подробные сведения:
|
Сообщение |
Подробности |
|---|---|
|
Для обработчика безопасности (доверенного платформенного модуля) требуется обновление встроенного ПО. |
Системная плата вашего устройства в настоящее время не поддерживает TPM, но обновление встроенного ПО может устранить эту проблему. Обратитесь к производителю устройства, чтобы узнать, доступно ли обновление встроенного ПО и как его установить. Обновления встроенного ПО обычно бесплатны. |
|
Доверенный платформенный модуль отключен и требует внимания. |
Модуль доверенной платформы, вероятно, отключен в системном BIOS (базовая система ввода-вывода) или UEFI (единый расширяемый интерфейс встроенного ПО). Инструкции по ее включению см. в документации по поддержке изготовителя устройства или в службу технической поддержки. |
|
Хранилище доверенного платформенного модуля недоступно. Очистите доверенный платформенный модуль. |
Кнопка очистки доверенного платформенного модуля находится на этой странице. Прежде чем продолжить, необходимо убедиться, что у вас есть хорошая резервная копия данных. |
|
Подтверждение работоспособности устройства недоступно. Очистите доверенный платформенный модуль. |
Кнопка очистки доверенного платформенного модуля находится на этой странице. Прежде чем продолжить, необходимо убедиться, что у вас есть хорошая резервная копия данных. |
|
Подтверждение работоспособности устройства не поддерживается на этом устройстве. |
Это означает, что устройство не предоставляет нам достаточно информации, чтобы определить, почему доверенный платформенный модуль может неправильно работать на вашем устройстве. |
|
TPM несовместим с встроенным ПО и может работать неправильно. |
Обратитесь к производителю устройства, чтобы узнать, доступно ли обновление встроенного ПО и как его получить и установить. Обновления встроенного ПО обычно бесплатны. |
|
Отсутствует журнал измеряемой загрузки доверенного платформенного модуля. Попробуйте перезапустить устройство. |
|
|
Возникла проблема с доверенным платформенным модулем. Попробуйте перезапустить устройство. |
Если после устранения сообщения об ошибке по-прежнему возникают проблемы, обратитесь к производителю устройства для получения помощи.
Выберите Очистить доверенный платформенный модуль, чтобы восстановить параметры по умолчанию обработчика безопасности.
Внимание: Перед очисткой доверенного платформенного модуля не забудьте создать резервную копию данных.
Безопасная загрузка
Безопасная загрузка предотвращает загрузку сложного и опасного типа вредоносных программ ( rootkit) при запуске устройства. Пакеты программ rootkit используют такие же разрешения, как и операционная система, и запускаются раньше нее, что позволяет им полностью скрыть себя. Зачастую программы rootkit входят в набор вредоносных программ, которые могут обходить процедуры входа, записывать пароли и нажатые клавиши, перемещать конфиденциальные файлы и получать криптографические данные.
Для запуска некоторых графических карт, оборудования или операционных систем, таких как Linux или более ранние версии Windows, может потребоваться отключить безопасную загрузку.
Дополнительные сведения см. в статье Безопасная загрузка.
Аппаратные возможности обеспечения безопасности
В последнем разделе страницы безопасности устройства отображаются сведения, указывающие на возможности безопасности устройства. Ниже приведен список сообщений и подробных сведений:
|
Сообщение |
Подробности |
|---|---|
|
Ваше устройство соответствует требованиям к стандартной аппаратной безопасности. |
Это означает, что устройство поддерживает целостности памяти и изоляцию ядра, а также:
|
|
Ваше устройство соответствует требованиям к усиленной аппаратной безопасности. |
Это означает, что в дополнение к стандартным требованиям к безопасности оборудования, на устройстве также включена функция целостности памяти. |
|
На устройстве включены все функции защищенного компьютера. |
Это означает, что в дополнение к обеспечению соответствия требованиям к усиленной безопасности оборудования, на устройстве также включена функция защиты режима управления системой (SMM). |
|
Standard аппаратной безопасности не поддерживается. |
Это означает, что устройство не соответствует по крайней мере одному из стандартных требований к безопасности оборудования. |
Улучшенная аппаратная безопасность
Если уровень системы безопасности устройства вас не устраивает, может потребоваться включить определенные аппаратные функции (такие как безопасная загрузка, если она поддерживается) или изменить параметры в BIOS вашей системы. Обратитесь к изготовителю оборудования, чтобы узнать, какие функции поддерживаются вашим оборудованием и как их активировать.
Диспетчер ПК
|
В этом случае также может оказаться полезным приложение «Диспетчер ПК». Для получения дополнительных сведений см. Диспетчер ПК (Майкрософт). Примечание: Диспетчер ПК (Майкрософт) доступен не во всех регионах. |
Enabling or disabling core isolation takes minutes following the step-by-step methods mentioned in our guidelines.
Windows Security options provide a built-in malware protection system for your computer to protect it from malicious software attacks. In Windows 11, we get the Core Isolation feature for an added layer of protection against malware or any malicious attack by isolating various processes from the operating system and device.
Core Isolation comes with a Hypervisor-protected Code Integrity security feature called Memory Integrity. Memory Integrity blocks the malicious code from accessing high-security tasks by creating an isolated environment for hardware virtualization in case of a malicious attack.
Hence Core Isolation’s Memory Integrity assures the security of your device. But will it affect performance, and is it worth enabling? In this article, we will guide you on how to enable or disable Core Isolation in Windows 11 by following two step-by-step methods. We will also discuss if Memory Integrity affects the overall performance of your device.
Enabling or Disabling Core Isolation in Windows 11
If you don’t know how to enable or disable Core Isolation in Windows 11, our two practical methods will help you to achieve this task by following a step-by-step approach.
Method #1: From Windows Security
This method follows a rather simpler approach to enable or disable Core Isolation by following these methods.
- Go to ‘Start Menu’ and type ‘Windows Security.’
- Click ‘Device Security’ from the panel on the left side.
- Click the ‘Core Isolation Details’ in the Device Security tab.
- Click the toggle switch below Memory Integrity to turn Core Isolation ‘on’ or ‘off.’
- Restart your computer system to apply the changes, and you’re all done.
Method #2: From Windows Registry
Enabling or disabling Core Isolation in Windows 11 from the Windows Registry only takes a minute by following these methods.
- Press ‘Windows Key’ + ‘R’ to open the ‘Run’ dialogue.
- Type ‘regedit’ and press Enter key.
- Click ‘Yes’ to proceed and open the ‘Registry Editor.’
- Enter the following path in the search panel entry starting with ‘Computer’ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
- Double-click the ‘Enabled’ registry file and set the ‘Base’ for Value Data to ‘Hexadecimal.’
- Enter ‘0’ to disable and ‘1’ to enable Core Isolation, and click ‘OK.’
- Restart your computer system to apply the changes.
Does Core Isolation Affect Gaming Performance?
Core Isolation is enabled on Windows by default and isolates the processes from Windows and the device, which means that it is actually consuming hardware resources and adding latency. Hence enabling Core Isolation can affect the performance while playing CPU Intensive games or performing any processor-consuming task. Based on CPU benchmarks with Core Isolation enabled, you may face less than a 5% drop in performance.
Final Words
Core Isolation & Memory Integrity protect your computer system from malicious attacks and viruses. Therefore, enabling the Core Isolation on your device is vital to enhance the security for a small compromise on performance is vital. However, if you’re more into gaming on an old CPU dated back to the 6th generation, you may want to disable it for a better experience.
FAQ
How to Resolve ‘Incompatible Drivers’ for Core Isolation on Windows 11?
To use the particular incompatible app or device with Core Isolation enabled, you must update it for the latest drivers. You can check the manufacturer’s website for the driver update of your PC’s model and generation. If no compatible drivers are available, you may have to remove the app that uses incompatible drivers.
Is it Safe to Turn off Core Isolation on Windows 11?
It is always better to have an extra layer of security to save your files and operating system from malicious attacks. Therefore, Core Isolation should be enabled on Windows 11.
Is Core Isolation Enabled on Windows 11 by Default?
In Windows 11 2022 Update (22H2), Core Isolation Memory Integrity is enabled by default, so you don’t have to do it manually. You can check Windows version to see if an update is required to enable the option.
Hi there! I’m a passionate content creator and gamer. Being devoted to making a difference through my publications, I chose to blog for a career to share my knowledge and expertise in gaming technology. Compiling my tech knowledge and gaming experience, I am here to bring you the latest updates and news from the gaming world. Follow me on Twitter .