Activar la seguridad basada en la virtualización: valor del Registro EnableVirtualizationBasedSecurity y 7 másEquipoHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

Id. de directiva: VirtualizationBasedSecurity
Ámbito: Configuración del equipo
Compatible con: Se requiere al menos Windows Server 2016 o Windows 10
Origen: Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (versión 1.0)
Categoría: Sistema › Device Guard

Registro

EnableVirtualizationBasedSecurity

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: 1
Valor al deshabilitar: 0

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Habilitada
"EnableVirtualizationBasedSecurity"=dword:00000001
; Deshabilitada
"EnableVirtualizationBasedSecurity"=dword:00000000

CMD

:: Opciones (usar solo una)

:: Habilitada
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Deshabilitada
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Habilitada
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Deshabilitada
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Selecciona el nivel de seguridad de la plataforma:

Opciones
Elemento de lista	Valor almacenado
Arranque seguro	1
Arranque seguro y protección de DMA	3

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Arranque seguro
"RequirePlatformSecurityFeatures"=dword:00000001
; Arranque seguro y protección de DMA
"RequirePlatformSecurityFeatures"=dword:00000003

CMD

:: Opciones (usar solo una)

:: Arranque seguro
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Arranque seguro y protección de DMA
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Arranque seguro
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Arranque seguro y protección de DMA
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Protección basada en la virtualización de la integridad de código:

Opciones
Elemento de lista	Valor almacenado
Deshabilitado	0
Habilitado con el bloqueo UEFI	1
Habilitar sin bloqueo	2
No configurado	3

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Deshabilitado
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Habilitado con el bloqueo UEFI
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Habilitar sin bloqueo
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; No configurado
"HypervisorEnforcedCodeIntegrity"=dword:00000003

CMD

:: Opciones (usar solo una)

:: Deshabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Habilitado con el bloqueo UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Habilitar sin bloqueo
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: No configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Deshabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado con el bloqueo UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitar sin bloqueo
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# No configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Marcada: 1
Sin marcar: 0
Elemento: Necesita la tabla de los atributos de memoria UEFI
Tipo de valor: REG_DWORD

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Marcada
"HVCIMATRequired"=dword:00000001
; Sin marcar
"HVCIMATRequired"=dword:00000000

CMD

:: Opciones (usar solo una)

:: Marcada
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Sin marcar
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Marcada
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Sin marcar
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Configuración de Credential Guard:

Opciones
Elemento de lista	Valor almacenado
Deshabilitado	0
Habilitado con el bloqueo UEFI	1
Habilitar sin bloqueo	2
No configurado	3

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Deshabilitado
"LsaCfgFlags"=dword:00000000
; Habilitado con el bloqueo UEFI
"LsaCfgFlags"=dword:00000001
; Habilitar sin bloqueo
"LsaCfgFlags"=dword:00000002
; No configurado
"LsaCfgFlags"=dword:00000003

CMD

:: Opciones (usar solo una)

:: Deshabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Habilitado con el bloqueo UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Habilitar sin bloqueo
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: No configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Deshabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado con el bloqueo UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitar sin bloqueo
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# No configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Configuración de aislamiento de identidad de equipo:

Opciones
Elemento de lista	Valor almacenado
Deshabilitado	0
Habilitado en modo auditoría	1
Habilitado en modo de cumplimiento	2
No configurado	3

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; Deshabilitado
"MachineIdentityIsolation"=dword:00000000
; Habilitado en modo auditoría
"MachineIdentityIsolation"=dword:00000001
; Habilitado en modo de cumplimiento
"MachineIdentityIsolation"=dword:00000002
; No configurado
"MachineIdentityIsolation"=dword:00000003

CMD

:: Opciones (usar solo una)

:: Deshabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Habilitado en modo auditoría
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Habilitado en modo de cumplimiento
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: No configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# Deshabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado en modo auditoría
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitado en modo de cumplimiento
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# No configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Configuración de inicio seguro:

Opciones
Elemento de lista	Valor almacenado
No configurado	0
Habilitado	1
Deshabilitado	2

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; No configurado
"ConfigureSystemGuardLaunch"=dword:00000000
; Habilitado
"ConfigureSystemGuardLaunch"=dword:00000001
; Deshabilitado
"ConfigureSystemGuardLaunch"=dword:00000002

CMD

:: Opciones (usar solo una)

:: No configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Habilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Deshabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# No configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Deshabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDEquipo

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Clave actual

Valor al habilitar: Depende del valor de la opción
Elemento: Protección de pila aplicada por hardware en modo kernel:

Opciones
Elemento de lista	Valor almacenado
No configurado	0
Habilitado en modo de cumplimiento	1
Habilitado en modo auditoría	2
Deshabilitado	3

Aplicar con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opciones (usar solo una)
; No configurado
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Habilitado en modo de cumplimiento
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Habilitado en modo auditoría
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Deshabilitado
"ConfigureKernelShadowStacksLaunch"=dword:00000003

CMD

:: Opciones (usar solo una)

:: No configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Habilitado en modo de cumplimiento
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Habilitado en modo auditoría
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Deshabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f

PowerShell

# Común: crear la clave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opciones (usar solo una)
# No configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado en modo de cumplimiento
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitado en modo auditoría
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Deshabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null