Activar la seguridad basada en la virtualización

Especifica si la seguridad basada en virtualización está habilitada.

La seguridad basada en virtualización usa el hipervisor de Windows para proporcionar compatibilidad con los servicios de seguridad. La seguridad basada en virtualización requiere un arranque seguro y, opcionalmente, se puede habilitar con el uso de protecciones de acceso directo a memoria. Las protecciones de acceso directo a memoria requieren compatibilidad con hardware y solo se habilitarán en dispositivos configurados correctamente.

Protección basada en la virtualización de la integridad de código

Esta configuración habilita la protección basada en la virtualización de la integridad de código del modo supervisor. Cuando esta opción está habilitada, se aplican las protecciones de memoria en modo supervisor y la ruta de validación de integridad de código está protegida por la característica de seguridad basada en virtualización.

La opción "Deshabilitado" desactiva la protección basada en la virtualización de la integridad de código de forma remota si se activó previamente con la opción "Habilitado sin bloqueo".

La opción "Habilitado con bloqueo UEFI" garantiza que la protección basada en la virtualización de la integridad de código no se pueda deshabilitar de forma remota. Para deshabilitar la característica, debes establecer la directiva de grupo en "Deshabilitado", así como quitar la funcionalidad de seguridad de cada equipo, con un usuario físicamente presente, para borrar la configuración persistente en UEFI.

La opción "Habilitado sin bloqueo" permite deshabilitar de forma remota la protección basada en la virtualización de la integridad de código mediante la directiva de grupo.

La opción "No configurado" deja la configuración de directiva sin definir. La directiva de grupo no escribe la configuración de directiva en el registro, por lo que no afecta a los equipos ni a los usuarios. Si hay una configuración actual en el registro, no se modificará.

La opción "Requerir tabla de atributos de memoria UEFI" solo habilitará la protección basada en la virtualización de la integridad de código en dispositivos con compatibilidad con el firmware UEFI para la tabla de atributos de memoria. Los dispositivos sin la tabla de atributos de memoria UEFI pueden tener firmware incompatible con la protección basada en virtualización de la integridad de código que, en algunos casos, puede provocar bloqueos, pérdida de datos o incompatibilidad con determinadas tarjetas de complemento. Si no se establece esta opción, se deben probar los dispositivos de destino para garantizar la compatibilidad.

Advertencia: todos los controladores del sistema deben ser compatibles con esta característica o el sistema puede bloquearse. Asegúrate de que esta configuración de directiva solo se implementa en equipos que se sabe que son compatibles.

Credential Guard

Esta configuración permite a los usuarios activar Credential Guard con seguridad basada en virtualización para ayudar a proteger las credenciales.

Para Windows 11 21H2 y versiones anteriores, la opción "Deshabilitado" desactiva Credential Guard de forma remota si se activó previamente con la opción "Habilitado sin bloqueo". Para versiones posteriores, la opción "Deshabilitado" desactiva Credential Guard de forma remota si se activó previamente con la opción "Habilitado sin bloqueo" o "No configurado".

La opción "Habilitado con bloqueo UEFI" garantiza que Credential Guard no se pueda deshabilitar de forma remota. Para deshabilitar la característica, debes establecer la directiva de grupo en "Deshabilitado", así como quitar la funcionalidad de seguridad de cada equipo, con un usuario físicamente presente, para borrar la configuración persistente en UEFI.

La opción "Habilitado sin bloqueo" permite deshabilitar Credential Guard de forma remota mediante la directiva de grupo. Los dispositivos que usan esta configuración deben ejecutar al menos Windows 10 (versión 1511).

Para Windows 11 21H2 y versiones anteriores, la opción "No configurado" deja la configuración de directiva sin definir. La directiva de grupo no escribe la configuración de directiva en el registro, por lo que no afecta a los equipos ni a los usuarios. Si hay una configuración actual en el registro, no se modificará. Para versiones posteriores, si no hay ninguna configuración actual en el registro, la opción "No configurado" habilitará Credential Guard sin bloqueo UEFI.

Aislamiento de identidad de la máquina

Esta configuración controla la protección de Credential Guard de las cuentas de la máquina de Active Directory. La habilitación de esta directiva tiene ciertos requisitos previos. Los requisitos previos y más información sobre esta directiva se pueden encontrar en https://go.microsoft.com/fwlink/?linkid=2251066.

La opción "No configurado" deja la configuración de directiva sin definir. La directiva de grupo no escribe la configuración de directiva en el registro, por lo que no afecta a los equipos ni a los usuarios. Si hay una configuración actual en el Registro, no se modificará.

La opción "Deshabilitado" desactiva el aislamiento de identidad de la máquina. Si esta directiva se estableció previamente en "Habilitado en modo auditoría", no es necesario realizar ninguna otra acción. Si esta directiva se estableció anteriormente en "Habilitado en modo de cumplimiento", el dispositivo debe separarse y volver a unirse al dominio. Puedes encontrar más detalles en el vínculo anterior.

La opción "Habilitado en modo auditoría" copia la identidad de la máquina en Credential Guard. LSA y Credential Guard tendrán acceso a la identidad de la máquina. Esto permite a los usuarios validar que la opción "Habilitado en modo de cumplimiento" funcionará en su Dominio de Active Directory.

La opción "Habilitado en modo de cumplimiento" mueve la identidad de la máquina a Credential Guard. Esto hace que la identidad de la máquina solo sea accesible para Credential Guard.

Inicio seguro

Esta opción establece la configuración de inicio seguro para proteger la cadena de arranque.

El valor "No configurado" es el valor predeterminado y permite que los usuarios administrativos configuren la característica.

La opción "Habilitado" activa el inicio seguro en el hardware compatible.

La opción "Deshabilitado" desactiva el inicio seguro, independientemente de la compatibilidad con el hardware.

Protección de pila aplicada por hardware en modo supervisor

Esta configuración habilita la protección de pila reforzada por hardware para el código en modo supervisor. Cuando esta característica de seguridad está habilitada, las pilas de datos en modo supervisor se refuerzan con las pilas paralelas basadas en hardware, que almacenan los destinos de dirección de retorno previstos para garantizar que el flujo de control del programa no se altere.

Esta característica de seguridad tiene los siguientes requisitos previos:
1) El hardware de CPU admite pilas paralelas basadas en hardware.
2) La protección basada en la virtualización de la integridad de código está habilitada.

Si no se cumple alguno de los requisitos previos, esta característica no se habilitará, incluso si se selecciona la opción "Habilitado" para esta característica. Ten en cuenta que al seleccionar la opción "Habilitada" para esta característica no se habilitará automáticamente la protección basada en virtualización de la integridad de código, que debe realizarse por separado.

Los dispositivos que habilitan esta característica de seguridad deben ejecutar al menos Windows 11 (versión 22H2).

La opción "Deshabilitado" desactiva la protección de pila reforzada por hardware en modo supervisor

La opción "Habilitado en modo auditoría" habilita la protección de pila reforzada por hardware en modo supervisor en modo auditoría, donde las infracciones de la pila paralela no son irrecuperables y se registrarán en el registro de eventos del sistema.

La opción "Habilitado en modo de cumplimiento" habilita la protección de pila reforzada por hardware en modo supervisor en modo de cumplimiento, donde las infracciones de la pila paralela son irrecuperables.

La opción "No configurado" deja la configuración de directiva sin definir. La directiva de grupo no escribe la configuración de directiva en el registro, por lo que no afecta a los equipos ni a los usuarios. Si hay una configuración actual en el registro, no se modificará.

Advertencia: todos los controladores del sistema deben ser compatibles con esta característica de seguridad o el sistema puede bloquearse en modo de cumplimiento. El modo auditoría se puede usar para detectar controladores incompatibles. Para obtener más información, visita https://go.microsoft.com/fwlink/?LinkId=2162953.