Virtualisierungsbasierte Sicherheit aktivieren

Gibt an, ob virtualisierungsbasierte Sicherheit aktiviert ist.

Virtualisierungsbasierte Sicherheit nutzt den Windows-Hypervisor, um Unterstützung für Sicherheitsdienste bereitzustellen. Virtualisierungsbasierte Sicherheit erfordert Secure Boot und kann optional durch die Verwendung von DMA-Schutzmaßnahmen aktiviert werden. DMA-Schutzmaßnahmen erfordern Hardwareunterstützung und werden nur auf ordnungsgemäß konfigurierten Geräten aktiviert.

Virtualisierungsbasierte Sicherheit der Codeintegrität

Diese Einstellung aktiviert virtualisierungsbasierte Sicherheit der Codeintegrität im Kernelmodus. Wenn dies aktiviert ist, werden Speicherschutzmaßnahmen im Kernelmodus erzwungen, und der Validierungspfad für die Codeintegrität wird durch die Funktion für virtualisierungsbasierte Sicherheit geschützt.

Durch die Option „Deaktiviert“ wird die virtualisierungsbasierte Sicherheit der Codeintegrität remote deaktiviert, wenn sie zuvor über die Option „Ohne Sperre aktiviert“ aktiviert wurde.

Die Option „Mit UEFI-Sperre aktiviert“ stellt sicher, dass die virtualisierungsbasierte Sicherheit der Codeintegrität nicht remote deaktiviert werden kann. Um die Funktion zu deaktivieren, müssen Sie die Gruppenrichtlinie auf „Deaktiviert“ festlegen und die Sicherheitsfunktionalität von jedem Computer mit einer physisch anwesenden Person entfernen, um die in UEFI beibehaltene Konfiguration zu löschen.

Die Option „Aktiviert ohne Sperre“ ermöglicht die Remotedeaktivierung der virtualisierungsbasierten Sicherheit der Codeintegrität mithilfe von Gruppenrichtlinien.

Durch die Option „Nicht konfiguriert“ bleibt die Richtlinieneinstellung undefiniert. Die Richtlinieneinstellung wird durch die Gruppenrichtlinie nicht in die Registrierung geschrieben, sodass sie keine Auswirkungen auf Computer oder Benutzende hat. Wenn eine aktuelle Einstellung in der Registrierung vorhanden ist, wird sie nicht geändert.

Die Option „UEFI-Speicherattributtabelle erforderlich“ aktiviert die virtualisierungsbasierte Sicherheit der Codeintegrität nur auf Geräten mit UEFI-Firmwareunterstützung für die Speicherattributtabelle. Geräte ohne die UEFI-Speicherattributtabelle verfügen möglicherweise über Firmware, die nicht mit der virtualisierungsbasierten Sicherheit der Codeintegrität kompatibel ist, was in einigen Fällen zu Abstürzen oder Datenverlust oder Inkompatibilität mit bestimmten Plug-In-Karten führen kann. Wenn diese Option nicht festgelegt wird, sollten die Zielgeräte auf Kompatibilität geprüft werden.

Warnung: Alle Treiber im System müssen mit dieser Funktion kompatibel sein, oder das System stürzt ab. Stellen Sie sicher, dass diese Richtlinieneinstellung nur auf Computern bereitgestellt wird, von denen bekannt ist, dass sie kompatibel sind.

Credential Guard

Mit dieser Einstellung können Benutzende Credential Guard mit virtualisierungsbasierter Sicherheit aktivieren, um Anmeldeinformationen zu schützen.

Unter Windows 11 21H2 und früher Versionen wird Credential Guard durch die Option „Deaktiviert“ remote deaktiviert, wenn die Funktion zuvor über die Option „Ohne Sperre aktiviert“ aktiviert wurde. Unter neueren Versionen wird Credential Guard durch die Option „Deaktiviert“ remote deaktiviert, wenn die Funktion zuvor über die Option „Ohne Sperre aktiviert“ aktiviert wurde oder „Nicht konfiguriert“ war.

Die Option „Mit UEFI-Sperre aktiviert“ stellt sicher, dass Credential Guard nicht remote deaktiviert werden kann. Um die Funktion zu deaktivieren, müssen Sie die Gruppenrichtlinie auf „Deaktiviert“ festlegen und die Sicherheitsfunktionalität von jedem Computer mit physisch anwesender Person entfernen, um die in UEFI beibehaltene Konfiguration zu löschen.

Durch die Option „Ohne Sperre aktiviert“ kann Credential Guard mithilfe einer Gruppenrichtlinie remote deaktiviert werden. Auf Geräten, die diese Einstellung verwenden, muss mindestens Windows 10 (Version 1511) ausgeführt werden.

Unter Windows 11 21H2 und früheren Versionen bleibt die Richtlinieneinstellung durch die Option „Nicht konfiguriert“ undefiniert. Die Richtlinieneinstellung wird durch die Gruppenrichtlinie nicht in die Registrierung geschrieben, sodass sie keine Auswirkungen auf Computer oder Benutzende hat. Wenn die Registrierung eine aktuelle Einstellung enthält, wird diese nicht geändert. Wenn in neueren Versionen keine aktuelle Einstellung in der Registrierung vorhanden ist, aktiviert die Option „Nicht konfiguriert“ Credential Guard ohne UEFI-Sperre.

Computeridentitätsisolation

Diese Einstellung steuert den Schutz von Active Directory-Computerkonten durch Credential Guard. Für das Aktivieren dieser Richtlinie gelten bestimmte Voraussetzungen. Diese Voraussetzungen und weitere Informationen zu dieser Richtlinie finden Sie unter https://go.microsoft.com/fwlink/?linkid=2251066.

Durch die Option „Nicht konfiguriert“ bleibt die Richtlinieneinstellung undefiniert. Die Richtlinieneinstellung wird durch die Gruppenrichtlinie nicht in die Registrierung geschrieben, sodass sie keine Auswirkungen auf Computer oder Benutzende hat. Wenn eine aktuelle Einstellung in der Registrierung vorhanden ist, wird sie nicht geändert.

Mit der Option „Deaktiviert“ wird die Computeridentitätsisolation deaktiviert. Wenn diese Richtlinie zuvor auf „Im Überwachungsmodus aktiviert“ festgelegt wurde, ist keine weitere Aktion erforderlich. Wenn diese Richtlinie zuvor auf „Im Erzwingungsmodus aktiviert“ festgelegt wurde, muss die Domäneneinbindung des Geräts aufgehoben und erneut hergestellt werden. Weitere Details finden Sie über den obigen Link.

Mit der Option „Im Überwachungsmodus aktiviert“ wird die Computeridentität in Credential Guard kopiert. Sowohl LSA als auch Credential Guard haben Zugriff auf die Computeridentität. Hiermit können Benutzende überprüfen, ob „Im Erzwingungsmodus aktiviert“ in ihrer Active Directory-Domäne funktioniert.

Mit der Option „Im Erzwingungsmodus aktiviert“ wird die Computeridentität in Credential Guard verschoben. Dadurch wird die Computeridentität nur für Credential Guard zugänglich.

Sicherer Start

Mit dieser Einstellung wird die Konfiguration des sicheren Starts festgelegt, um die Startkette zu schützen.

Die Einstellung „Nicht konfiguriert“ ist die Standardeinstellung und ermöglicht die Konfiguration der Funk durch Administrierende.

Mit der Option „Aktiviert“ wird sichereres Starten auf unterstützter Hardware aktiviert.

Mit der Option „Deaktiviert“ wird sicheres Starten unabhängig von der Hardwareunterstützung deaktiviert.

Hardwaregestützter Stapelschutz im Kernelmodus

Diese Einstellung aktiviert den hardwaregestützten Stapelschutz für Code im Kernelmodus. Wenn diese Sicherheitsfunktion aktiviert ist, werden Datenstapel im Kernelmodus mit hardwarebasierten Schattenstapeln abgesichert, die beabsichtigte Rückgabeadressziele speichern, um sicherzustellen, dass der Programmsteuerungsfluss nicht manipuliert wird.

Für diese Sicherheitsfunktion gelten die folgenden Voraussetzungen:
1) Die CPU-Hardware unterstützt hardwarebasierte Schattenstapel.
2) Die virtualisierungsbasierte Sicherheit der Codeintegrität ist aktiviert.

Wenn eine der Voraussetzungen nicht erfüllt ist, wird diese Funktion auch dann nicht aktiviert, wenn für sie eine „Aktiviert“-Option ausgewählt ist. Beachten Sie, dass durch die Auswahl einer „Aktiviert“-Option für diese Funktion nicht automatisch die virtualisierungsbasierte Sicherheit der Codeintegrität aktiviert wird. Dies muss separat erfolgen.

Auf Geräten, auf denen diese Sicherheitsfunktion aktiviert wird, muss mindestens Windows 11 (Version 22H2) ausgeführt werden.

Mit der Option „Deaktiviert“ wird der hardwaregestützte Stapelschutz im Kernelmodus deaktiviert.

Mit der Option „Im Überwachungsmodus aktiviert“ wird der hardwaregestützte Stapelschutz im Kernelmodus im Überwachungsmodus aktiviert, wobei Schattenstapelverletzungen nicht schwerwiegend sind und im Systemereignisprotokoll protokolliert werden.

Mit der Option „Im Erzwingungsmodus aktiviert“ wird der hardwaregestützte Stapelschutz im Kernelmodus im Erzwingungsmodus aktiviert, wobei Schattenstapelverletzungen schwerwiegend sind.

Durch die Option „Nicht konfiguriert“ bleibt die Richtlinieneinstellung undefiniert. Die Richtlinieneinstellung wird durch die Gruppenrichtlinie nicht in die Registrierung geschrieben, sodass sie keine Auswirkungen auf Computer oder Benutzende hat. Wenn eine aktuelle Einstellung in der Registrierung vorhanden ist, wird sie nicht geändert.

Warnung: Alle Treiber im System müssen mit dieser Sicherheitsfunktion kompatibel sein, oder das System stürzt im Erzwingungsmodus ab. Der Überwachungsmodus kann verwendet werden, um inkompatible Treiber zu ermitteln. Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?LinkId=2162953.