Attiva sicurezza basata su virtualizzazione: valore del Registro di sistema EnableVirtualizationBasedSecurity e altri 7ComputerHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

ID criterio: VirtualizationBasedSecurity
Ambito: Configurazione computer
Supportato in: Almeno Windows Server 2016 o Windows 10
Origine: Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (versione 1.0)
Categoria: Sistema › Device Guard

Registro

EnableVirtualizationBasedSecurity

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: 1
Valore disabilitato: 0

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Abilitato
"EnableVirtualizationBasedSecurity"=dword:00000001
; Disabilitato
"EnableVirtualizationBasedSecurity"=dword:00000000

CMD

:: Opzioni (usarne solo una)

:: Abilitato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Disabilitato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Abilitato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Disabilitato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Seleziona il livello di sicurezza della piattaforma:

Opzioni
Voce	Valore memorizzato
Avvio protetto	1
Avvio protetto e protezione DMA	3

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Avvio protetto
"RequirePlatformSecurityFeatures"=dword:00000001
; Avvio protetto e protezione DMA
"RequirePlatformSecurityFeatures"=dword:00000003

CMD

:: Opzioni (usarne solo una)

:: Avvio protetto
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Avvio protetto e protezione DMA
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Avvio protetto
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Avvio protetto e protezione DMA
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Protezione basata su virtualizzazione dell'integrità del codice:

Opzioni
Voce	Valore memorizzato
Disabilitata	0
Abilitato con blocco UEFI	1
Abilitato senza blocco	2
Non configurato	3

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Disabilitata
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Abilitato con blocco UEFI
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Abilitato senza blocco
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; Non configurato
"HypervisorEnforcedCodeIntegrity"=dword:00000003

CMD

:: Opzioni (usarne solo una)

:: Disabilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Abilitato con blocco UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Abilitato senza blocco
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: Non configurato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Disabilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Abilitato con blocco UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Abilitato senza blocco
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# Non configurato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Selezionato: 1
Non selezionato: 0
Elemento: Richiedi tabella attributi di memoria UEFI
Tipo di valore: REG_DWORD

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Selezionato
"HVCIMATRequired"=dword:00000001
; Non selezionato
"HVCIMATRequired"=dword:00000000

CMD

:: Opzioni (usarne solo una)

:: Selezionato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Non selezionato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Selezionato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Non selezionato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Configurazione di Credential Guard:

Opzioni
Voce	Valore memorizzato
Disabilitata	0
Abilitato con blocco UEFI	1
Abilitato senza blocco	2
Non configurato	3

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Disabilitata
"LsaCfgFlags"=dword:00000000
; Abilitato con blocco UEFI
"LsaCfgFlags"=dword:00000001
; Abilitato senza blocco
"LsaCfgFlags"=dword:00000002
; Non configurato
"LsaCfgFlags"=dword:00000003

CMD

:: Opzioni (usarne solo una)

:: Disabilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Abilitato con blocco UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Abilitato senza blocco
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: Non configurato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Disabilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Abilitato con blocco UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Abilitato senza blocco
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# Non configurato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Configurazione isolamento dell’identità del computer:

Opzioni
Voce	Valore memorizzato
Disabilitata	0
Abilitato in modalità di controllo	1
Abilitato in modalità di imposizione	2
Non configurato	3

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Disabilitata
"MachineIdentityIsolation"=dword:00000000
; Abilitato in modalità di controllo
"MachineIdentityIsolation"=dword:00000001
; Abilitato in modalità di imposizione
"MachineIdentityIsolation"=dword:00000002
; Non configurato
"MachineIdentityIsolation"=dword:00000003

CMD

:: Opzioni (usarne solo una)

:: Disabilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Abilitato in modalità di controllo
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Abilitato in modalità di imposizione
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: Non configurato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Disabilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Abilitato in modalità di controllo
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Abilitato in modalità di imposizione
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# Non configurato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Configurazione di Avvio protetto:

Opzioni
Voce	Valore memorizzato
Non configurato	0
Abilitata	1
Disabilitata	2

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Non configurato
"ConfigureSystemGuardLaunch"=dword:00000000
; Abilitata
"ConfigureSystemGuardLaunch"=dword:00000001
; Disabilitata
"ConfigureSystemGuardLaunch"=dword:00000002

CMD

:: Opzioni (usarne solo una)

:: Non configurato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Abilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Disabilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Non configurato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Abilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Disabilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chiave corrente

Valore abilitato: Dipende dal valore dell'opzione
Elemento: Protezione stack applicata dall'hardware in modalità kernel:

Opzioni
Voce	Valore memorizzato
Non configurato	0
Abilitato in modalità di imposizione	1
Abilitato in modalità di controllo	2
Disabilitata	3

Applica con .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opzioni (usarne solo una)
; Non configurato
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Abilitato in modalità di imposizione
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Abilitato in modalità di controllo
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Disabilitata
"ConfigureKernelShadowStacksLaunch"=dword:00000003

CMD

:: Opzioni (usarne solo una)

:: Non configurato
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Abilitato in modalità di imposizione
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Abilitato in modalità di controllo
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Disabilitata
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f

PowerShell

# Comune: crea la chiave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opzioni (usarne solo una)
# Non configurato
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Abilitato in modalità di imposizione
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Abilitato in modalità di controllo
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Disabilitata
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null