Attiva sicurezza basata su virtualizzazione

Specifica se la sicurezza basata sulla virtualizzazione è abilitata.

La sicurezza basata sulla virtualizzazione usa Windows Hypervisor per fornire supporto ai servizi di sicurezza. La sicurezza basata sulla virtualizzazione richiede l'avvio protetto e può essere abilitata facoltativamente con l'uso di protezioni DMA. Le protezioni DMA richiedono il supporto hardware e verranno abilitate solo nei dispositivi configurati correttamente.

Protezione basata sulla virtualizzazione dell'integrità del codice

Questa impostazione abilita la protezione basata sulla virtualizzazione dell'integrità del codice in modalità kernel. Quando questa opzione è abilitata, vengono applicate le protezioni della memoria in modalità kernel e il percorso di convalida dell'integrità del codice è protetto dalla funzionalità di sicurezza basata sulla virtualizzazione.

L'opzione "Disabilitato" disattiva la protezione basata sulla virtualizzazione dell'integrità del codice in remoto se è stata attivata in precedenza con l'opzione "Abilitato senza blocco".

L'opzione "Abilitato con blocco UEFI" garantisce che la protezione basata sulla virtualizzazione dell'integrità del codice non possa essere disabilitata da remoto. Per disabilitare la funzionalità, è necessario impostare Criteri di gruppo su "Disabilitato", nonché rimuovere la funzionalità di sicurezza da ogni computer, con la presenza fisica di un utente, in modo da cancellare la configurazione persistente in UEFI.

L'opzione "Abilitato senza blocco" consente di disabilitare da remoto la protezione basata sulla virtualizzazione dell'integrità del codice tramite Criteri di gruppo.

L'opzione "Non configurato" lascia l'impostazione dei criteri non definita. Criteri di gruppo non scrive l'impostazione dei criteri nel registro e quindi non influisce sui computer o sugli utenti. Se nel registro è presente un'impostazione, questa non verrà modificata.

L'opzione "Richiedi tabella attributi di memoria UEFI" abiliterà la protezione basata sulla virtualizzazione dell'integrità del codice solo nei dispositivi con supporto del firmware UEFI per la tabella degli attributi di memoria. I dispositivi privi di tabella degli attributi di memoria UEFI possono disporre di un firmware incompatibile con la protezione basata sulla virtualizzazione dell'integrità del codice, che in alcuni casi può causare arresti anomali, perdita di dati o incompatibilità con determinate schede plug-in. Se non si imposta questa opzione, i dispositivi di destinazione devono essere testati per garantire la compatibilità.

Avviso: tutti i driver del sistema devono essere compatibili con questa funzionalità oppure il sistema potrebbe arrestarsi in modo anomalo. Assicurarsi che questa impostazione dei criteri venga distribuita solo ai computer che sono considerati compatibili.

Credential Guard

Questa impostazione consente agli utenti di attivare Credential Guard con la sicurezza basata sulla virtualizzazione per proteggere le credenziali.

Per Windows 11 21H2 e versioni precedenti, l'opzione "Disabilitato" disattiva Credential Guard da remoto se è stata attivata in precedenza con l'opzione "Abilitato senza blocco". Per le versioni successive, l'opzione "Disabilitato" disattiva Credential Guard da remoto se in precedenza era attivata con l'opzione "Abilitato senza blocco" o "Non configurato".

L'opzione "Abilitato con blocco UEFI" garantisce che Credential Guard non possa essere disabilitato da remoto. Per disabilitare la funzionalità, è necessario impostare Criteri di gruppo su "Disabilitato", nonché rimuovere la funzionalità di sicurezza da ogni computer, con la presenza fisica di un utente, in modo da cancellare la configurazione persistente in UEFI.

L'opzione "Abilitato senza blocco" consente di disabilitare Credential Guard da remoto tramite Criteri di gruppo. I dispositivi che usano questa impostazione devono eseguire almeno Windows 10 (versione 1511).

Per Windows 11 21H2 e versioni precedenti, l'opzione "Non configurato" lascia l'impostazione dei criteri non definita. Criteri di gruppo non scrive l'impostazione dei criteri nel registro e quindi non influisce sui computer o sugli utenti. Se nel registro è presente un'impostazione, questa non verrà modificata. Per le versioni successive, se non è presente nessuna impostazione nel registro, l'opzione "Non configurato" abiliterà Credential Guard senza blocco UEFI.

Isolamento dell’identità del computer

Questa impostazione controlla la protezione di Credential Guard per gli account dei computer di Active Directory. L'abilitazione di questo criterio prevede alcuni prerequisiti. I prerequisiti e altre informazioni su questo criterio sono disponibili in https://go.microsoft.com/fwlink/?linkid=2251066.

L'opzione "Non configurato" lascia l'impostazione dei criteri non definita. Criteri di gruppo non scrive l'impostazione dei criteri nel registro e quindi non influisce sui computer o sugli utenti. Se nel registro è presente un'impostazione, questa non verrà modificata.

L'opzione "Disabilitato" disattiva l'isolamento dell'identità del computer. Se questo criterio è stato impostato in precedenza su "Abilitato in modalità di controllo", non sono necessarie ulteriori azioni. Se questo criterio è stato precedentemente impostato su "Abilitato in modalità di imposizione", il dispositivo deve essere disconnesso e aggiunto di nuovo al dominio. Per altri dettagli, vedere il collegamento precedente.

L'opzione "Abilitato in modalità di controllo" copia l'identità del computer in Credential Guard. Sia LSA che Credential Guard avranno accesso all'identità del computer. In questo modo gli utenti possono verificare che l'opzione "Abilitato in modalità di imposizione" funzioni nel Dominio di Active Directory.

L'opzione "Abilitato in modalità di imposizione" sposta l'identità del computer in Credential Guard. In questo modo l'identità del computer è accessibile solo a Credential Guard.

Avvio sicuro

Questa impostazione imposta la configurazione di Avvio sicuro per proteggere la catena di avvio.

L'impostazione "Non configurato" è quella predefinita e consente agli utenti amministratori di configurare la funzionalità.

L'opzione "Abilitato" attiva Avvio protetto negli hardware supportati.

L'opzione "Disabilitato" disattiva Avvio sicuro, indipendentemente dal supporto hardware.

Protezione dello stack applicata tramite hardware in modalità kernel

Questa impostazione abilita la protezione dello stack applicata tramite hardware per il codice in modalità kernel. Quando questa funzionalità di sicurezza è attiva, gli stack di dati in modalità kernel vengono rafforzati con shadow stack basati su hardware, che archiviano gli indirizzi di ritorno previsti per garantire che il flusso di controllo del programma non venga alterato.

Questa funzionalità di sicurezza presenta i prerequisiti seguenti:
1) L'hardware della CPU supporta gli stack shadow basati su hardware.
2) La protezione basata sulla virtualizzazione dell'integrità del codice è abilitata.

Se uno dei prerequisiti non viene soddisfatto, questa funzionalità non verrà abilitata, anche se viene selezionata l’opzione "Abilitato". La selezione dell'opzione "Abilitato" per questa funzionalità non abilita automaticamente la protezione dell'integrità del codice basata sulla virtualizzazione, che deve essere eseguita separatamente.

I dispositivi che abilitano questa funzionalità di sicurezza devono eseguire almeno Windows 11 (versione 22H2).

L'opzione "Disabilitato" disattiva la protezione stack applicata dall'hardware in modalità kernel.

L'opzione "Abilitato in modalità di controllo" abilita la protezione in modalità kernel dello stack applicata tramite hardware in modalità di controllo, in cui le violazioni dello stack shadow non sono irreversibili e verranno registrate nel registro eventi di sistema.

L'opzione "Abilitato in modalità di imposizione" abilita la protezione in modalità kernel dello stack applicata tramite hardware in modalità di imposizione, in cui le violazioni dello stack shadow sono irreversibili.

L'opzione "Non configurato" lascia l'impostazione dei criteri non definita. Criteri di gruppo non scrive l'impostazione dei criteri nel registro e quindi non influisce sui computer o sugli utenti. Se nel registro è presente un'impostazione, questa non verrà modificata.

Avviso: tutti i driver nel sistema devono essere compatibili con questa funzionalità di sicurezza oppure il sistema potrebbe arrestarsi in modo anomalo in modalità di imposizione. La modalità di controllo può essere usata per individuare driver incompatibili. Per altre informazioni, vedere https://go.microsoft.com/fwlink/?LinkId=2162953.