가상화 기반 보안 켜기

가상화 기반 보안을 사용할지 여부를 지정합니다.

가상화 기반 보안은 Windows 하이퍼바이저를 사용하여 보안 서비스를 지원합니다. 가상화 기반 보안에는 보안 부팅이 필요하며 필요에 따라 DMA 보호를 이용하여 사용 설정할 수 있습니다. DMA 보호는 하드웨어 지원이 필요하며 올바르게 구성된 디바이스에서만 사용하도록 설정됩니다.

코드 무결성의 가상화 기반 보호

이 설정을 사용하면 커널 모드 코드 무결성을 가상화 기반으로 보호할 수 있습니다. 이 기능을 사용하도록 설정하면 커널 모드 메모리 보호가 적용되고 코드 무결성 유효성 검사 경로가 가상화 기반 보안 기능으로 보호됩니다.

"사용 안 함" 옵션은 이전에 "잠금 없이 사용" 옵션으로 설정된 경우 코드 무결성의 가상화 기반 보호를 원격으로 해제합니다.

"UEFI 잠금으로 사용됨" 옵션을 사용하면 코드 무결성의 가상화 기반 보호를 원격으로 사용하지 않도록 설정할 수 없습니다. 이 기능을 사용하지 않으려면 그룹 정책을 "사용 안 함"으로 설정하고 실제 사용자가 있는 각 컴퓨터에서 보안 기능을 제거하여 UEFI에서 지속되는 구성을 지워야 합니다.

"잠금 없이 사용" 옵션을 사용하면 그룹 정책 사용하여 코드 무결성의 가상화 기반 보호를 원격으로 사용하지 않도록 설정할 수 있습니다.

"구성되지 않음" 옵션은 정책 설정을 정의되지 않은 상태로 둡니다. 그룹 정책은 레지스트리에 정책 설정을 쓰지 않으므로 컴퓨터나 사용자에게 영향을 주지 않습니다. 레지스트리에 현재 설정이 있으면 수정되지 않습니다.

"UEFI 메모리 특성 테이블 필요" 옵션은 메모리 특성 테이블에 대한 UEFI 펌웨어 지원이 있는 디바이스에서만 코드 무결성의 가상화 기반 보호를 사용하도록 설정합니다. UEFI 메모리 특성 테이블이 없는 디바이스에는 가상화 기반 코드 무결성 보호와 호환되지 않는 펌웨어가 있을 수 있으며, 경우에 따라 충돌 또는 데이터 손실 또는 특정 플러그인 카드와의 비호환성이 발생할 수 있습니다. 이 옵션을 설정하지 않으면 대상 디바이스를 테스트하여 호환성을 확인해야 합니다.

경고: 시스템의 모든 드라이버가 이 기능과 호환되어야 하며 그렇지 않으면 시스템이 충돌할 수 있습니다. 이 정책 설정이 호환되는 것으로 알려진 컴퓨터에만 배포되었는지 확인합니다.

Credential Guard

이 설정을 통해 사용자는 자격 증명을 보호하기 위해 가상화 기반 보안으로 Credential Guard를 켤 수 있습니다.

Windows 11 21H2 이하의 경우 "사용 안 함" 옵션은 이전에 "잠금 없이 사용됨" 옵션으로 설정된 경우 Credential Guard를 원격으로 해제합니다. 이후 버전의 경우 "사용 안 함" 옵션은 이전에 "잠금 없이 사용" 옵션으로 설정되었거나 "구성되지 않음"인 경우 Credential Guard를 원격으로 끕니다.

"UEFI 잠금으로 사용됨" 옵션을 사용하면 Credential Guard를 원격으로 사용하지 않도록 설정할 수 없습니다. 이 기능을 사용하지 않으려면 그룹 정책을 "사용 안 함"으로 설정하고 실제 사용자가 있는 각 컴퓨터에서 보안 기능을 제거하여 UEFI에서 지속되는 구성을 지워야 합니다.

"잠금 없이 사용됨" 옵션을 사용하면 그룹 정책을 사용하여 Credential Guard를 원격으로 사용하지 않도록 설정할 수 있습니다. 이 설정을 사용하는 디바이스는 Windows 10 이상을 실행해야 합니다(버전 1511).

Windows 11 21H2 이하의 경우 "구성되지 않음" 옵션은 정책 설정을 정의되지 않은 상태로 둡니다. 그룹 정책은 레지스트리에 정책 설정을 쓰지 않으므로 컴퓨터나 사용자에게 영향을 주지 않습니다. 레지스트리에 현재 설정이 있으면 수정되지 않습니다. 이후 버전의 경우 레지스트리에 현재 설정이 없는 경우 "구성되지 않음" 옵션은 UEFI 잠금 없이 Credential Guard를 사용하도록 설정합니다.

컴퓨터 ID 격리

이 설정은 Active Directory 컴퓨터 계정의 Credential Guard 보호를 제어합니다. 이 정책을 사용하도록 설정하려면 특정 필수 구성 요소가 있습니다. 이 정책에 대한 필수 구성 요소 및 자세한 내용은 https://go.microsoft.com/fwlink/?linkid=2251066 링크에서 찾을 수 있습니다.

"구성되지 않음" 옵션은 정책 설정을 정의되지 않은 상태로 둡니다. 그룹 정책은 레지스트리에 정책 설정을 쓰지 않으므로 컴퓨터나 사용자에게 영향을 주지 않습니다. 레지스트리에 현재 설정이 있으면 수정되지 않습니다.

"사용 안 함" 옵션은 컴퓨터 ID 격리를 해제합니다. 이 정책이 이전에 "감사 모드에서 사용됨"으로 설정된 경우 추가 작업이 필요하지 않습니다. 이 정책이 이전에 "적용 모드에서 사용됨"으로 설정된 경우 디바이스를 조인 해제하고 도메인에 다시 조인해야 합니다. 자세한 내용은 위의 링크에서 확인할 수 있습니다.

"감사 모드에서 사용됨" 옵션은 컴퓨터 ID를 Credential Guard에 복사합니다. LSA와 Credential Guard는 모두 컴퓨터 ID에 액세스할 수 있습니다. 이를 통해 사용자는 "적용 모드에서 사용됨"이 Active Directory 도메인에서 작동하는지 확인할 수 있습니다.

"적용 모드에서 사용됨" 옵션은 컴퓨터 ID를 Credential Guard로 이동합니다. 이렇게 하면 Credential Guard에서만 컴퓨터 ID에 액세스할 수 있습니다.

보안 시작

이 설정은 부팅 체인을 보호하기 위해 보안 실행의 구성을 설정합니다.

"구성되지 않음" 설정은 기본값이며 관리자가 기능을 구성할 수 있도록 허용합니다.

"사용" 옵션은 지원되는 하드웨어에서 보안 실행을 켭니다.

"사용 안 함" 옵션은 하드웨어 지원에 관계없이 보안 실행을 해제합니다.

커널 모드 하드웨어 기반 스택 보호

이 설정을 사용하면 커널 모드 코드에 대해 하드웨어 적용 스택 보호를 사용할 수 있습니다. 이 보안 기능을 사용하도록 설정하면 커널 모드 데이터 스택이 하드웨어 기반 섀도 스택으로 강화되어 프로그램 제어 흐름이 변조되지 않도록 의도된 반환 주소 대상을 저장합니다.

이 보안 기능에는 다음과 같은 필수 구성 요소가 있습니다.
1) CPU 하드웨어는 하드웨어 기반 섀도 스택을 지원합니다.
2) 코드 무결성의 가상화 기반 보호가 사용됩니다.

필수 구성 요소 중 하나가 충족되지 않으면 이 기능에 대해 "사용" 옵션을 선택한 경우에도 이 기능을 사용할 수 없습니다. 이 기능에 대해 "사용" 옵션을 선택하면 코드 무결성의 가상화 기반 보호가 자동으로 활성화되지 않으며, 별도로 수행해야 합니다.

이 보안 기능을 사용하도록 설정하는 디바이스는 Windows 11(버전 22H2) 이상을 실행해야 합니다.

"사용 안 함" 옵션은 커널 모드 하드웨어 적용 스택 보호를 해제합니다.

"감사 모드에서 사용됨" 옵션은 섀도 스택 위반이 치명적이지 않고 시스템 이벤트 로그에 기록되는 감사 모드에서 커널 모드 하드웨어 적용 스택 보호를 사용 설정합니다.

"적용 모드에서 사용됨" 옵션은 섀도 스택 위반이 치명적인 적용 모드에서 커널 모드 하드웨어 적용 스택 보호를 사용 설정합니다.

"구성되지 않음" 옵션은 정책 설정을 정의되지 않은 상태로 둡니다. 그룹 정책은 레지스트리에 정책 설정을 쓰지 않으므로 컴퓨터나 사용자에게 영향을 주지 않습니다. 레지스트리에 현재 설정이 있으면 수정되지 않습니다.

경고: 시스템의 모든 드라이버가 이 보안 기능과 호환되어야 하며, 그렇지 않으면 시스템이 적용 모드에서 충돌할 수 있습니다. 감사 모드를 사용하여 호환되지 않는 드라이버를 검색할 수 있습니다. 자세한 정보는 https://go.microsoft.com/fwlink/?LinkId=2162953 페이지를 참조하세요.