Beveiliging op basis van virtualisatie inschakelen

Hiermee geeft u op of 'Beveiliging op basis van virtualisatie' is ingeschakeld.

'Beveiliging op basis van virtualisatie' maakt gebruik van de Windows Hypervisor om ondersteuning te bieden voor beveiligingsservices. 'Beveiliging op basis van virtualisatie' vereist Beveiligd opstarten en kan eventueel worden ingeschakeld met het gebruik van DMA-beveiligingen. DMA-beveiligingen vereisen hardwareondersteuning en worden alleen ingeschakeld op juist geconfigureerde apparaten.

Beveiliging van code-integriteit op basis van virtualisatie

Met deze instelling wordt beveiliging van code-integriteit in de kernelmodus op basis van virtualisatie ingeschakeld. Als dit is ingeschakeld, worden geheugenbeveiligingen in de kernelmodus afgedwongen en wordt het validatiepad voor code-integriteit beveiligd door de functie 'Beveiliging op basis van virtualisatie'.

'Beveiliging van code-integriteit op basis van virtualisatie' wordt extern uitgeschakeld met de optie Uitgeschakeld als deze eerder was ingeschakeld met de optie 'Ingeschakeld zonder vergrendeling'.

De optie 'Ingeschakeld met UEFI-vergrendeling' zorgt ervoor dat 'Beveiliging van code-integriteit op basis van virtualisatie' niet extern kan worden uitgeschakeld. Als u de functie wilt uitschakelen, moet u het groepsbeleid instellen op Uitgeschakeld en de beveiligingsfunctionaliteit van elke computer verwijderen, met een fysiek aanwezige gebruiker, om de configuratie in UEFI te wissen.

Met de optie 'Ingeschakeld zonder vergrendeling' kan 'Beveiliging van code-integriteit op basis van virtualisatie' extern worden uitgeschakeld met behulp van Groepsbeleid.

Met de optie Niet geconfigureerd blijft de beleidsinstelling ongedefinieerd. Groepsbeleid schrijft de beleidsinstelling niet naar het register en heeft dus geen invloed op computers of gebruikers. Als er een huidige instelling in het register is, wordt deze niet gewijzigd.

Met de optie 'UEFI-geheugenkenmerkentabel vereisen' wordt alleen 'Beveiliging van code-integriteit op basis van virtualisatie' ingeschakeld op apparaten met UEFI-firmwareondersteuning voor de geheugenkenmerkentabel. Apparaten zonder de UEFI-geheugenkenmerkentabel hebben mogelijk firmware die niet compatibel is met 'Beveiliging van code-integriteit op basis van virtualisatie', wat in sommige gevallen kan leiden tot crashes of gegevensverlies of incompatibiliteit met bepaalde invoegtoepassingskaarten. Als u deze optie niet instelt, moeten de doelapparaten worden getest om compatibiliteit te garanderen.

Waarschuwing: alle stuurprogramma's op het systeem moeten compatibel zijn met deze functie, anders kan het systeem vastlopen. Zorg ervoor dat deze beleidsinstelling alleen wordt geïmplementeerd op computers waarvan bekend is dat ze compatibel zijn.

Credential Guard

Met deze instelling kunnen gebruikers Credential Guard inschakelen met beveiliging op basis van virtualisatie om referenties te beveiligen.

Voor Windows 11 21H2 en eerder wordt Credential Guard extern uitgeschakeld met de optie Uitgeschakeld als deze eerder was ingeschakeld met de optie 'Ingeschakeld zonder vergrendeling'. Voor latere versies wordt Credential Guard extern uitgeschakeld met de optie Uitgeschakeld als deze eerder was ingeschakeld met de optie 'Ingeschakeld zonder vergrendeling' of als de optie niet geconfigureerd was.

De optie 'Ingeschakeld met UEFI-vergrendeling' zorgt ervoor dat Credential Guard niet extern kan worden uitgeschakeld. Als u de functie wilt uitschakelen, moet u het groepsbeleid instellen op Uitgeschakeld en de beveiligingsfunctionaliteit van elke computer verwijderen, met een fysiek aanwezige gebruiker, om de configuratie in UEFI te wissen.

Met de optie 'Ingeschakeld zonder vergrendeling' kan Credential Guard extern worden uitgeschakeld met behulp van Groepsbeleid. Op de apparaten die deze instelling gebruiken, moet ten minste Windows 10 (versie 1511) worden uitgevoerd.

Bij Windows 11 21H2 en eerder blijft met de optie Niet geconfigureerd de beleidsinstelling ongedefinieerd. Groepsbeleid schrijft de beleidsinstelling niet naar het register en heeft dus geen invloed op computers of gebruikers. Als er een huidige instelling in het register is, wordt deze niet gewijzigd. Als er voor latere versies geen huidige instelling in het register is, schakelt de optie Niet geconfigureerd Credential Guard in zonder UEFI-vergrendeling.

Isolatie van computeridentiteit

Met deze instelling beheert u de Credential Guard-beveiliging van Active Directory-computeraccounts. Als u dit beleid inschakelt, gelden er bepaalde vereisten. De vereisten en meer informatie over dit beleid vindt u op https://go.microsoft.com/fwlink/?linkid=2251066.

Met de optie Niet geconfigureerd blijft de beleidsinstelling ongedefinieerd. Groepsbeleid schrijft de beleidsinstelling niet naar het register en heeft dus geen invloed op computers of gebruikers. Als er een huidige instelling in het register is, wordt deze niet gewijzigd.

Met de optie Uitgeschakeld wordt Isolatie van computeridentiteit uitgeschakeld. Als dit beleid eerder is ingesteld op Ingeschakeld in controlemodus, is er geen verdere actie nodig. Als dit beleid eerder is ingesteld op Ingeschakeld in afdwingingsmodus, moet het apparaat worden ontkoppeld en opnieuw worden toegevoegd aan het domein. Meer informatie vindt u via de bovenstaande koppeling.

Met de optie Ingeschakeld in controlemodus kopieert u de computeridentiteit naar Credential Guard. Zowel LSA als Credential Guard hebben toegang tot de computeridentiteit. Hierdoor kunnen gebruikers valideren dat Ingeschakeld in afdwingingsmodus werkt in hun Active Directory-domein.

Met de optie Ingeschakeld in afdwingingsmodus wordt de computeridentiteit verplaatst naar Credential Guard. Hierdoor is de computeridentiteit alleen toegankelijk voor Credential Guard.

Beveiligd opstarten

Met deze instelling stelt u de configuratie van Beveiligd opstarten in om de opstartketen te beveiligen.

De instelling Niet geconfigureerd is de standaardinstelling en staat configuratie van de functie door gebruikers met beheerdersrechten toe.

Met de optie Ingeschakeld wordt Beveiligd opstarten op ondersteunde hardware ingeschakeld.

Met de optie Uitgeschakeld wordt Beveiligd starten uitgeschakeld, ongeacht hardwareondersteuning.

Door hardware afgedwongen voorraadbescherming in kernelmodus

Met deze instelling wordt 'Door hardware afgedwongen voorraadbescherming' ingeschakeld voor code in de kernelmodus. Wanneer deze beveiligingsfunctie is ingeschakeld, worden gegevensstacks in de kernelmodus beveiligd met op hardware gebaseerde schaduwstacks die beoogde retouradresdoelen opslaan om ervoor te zorgen dat er niet met de programmabesturingsstroom wordt geknoeid.

Deze beveiligingsfunctie heeft de volgende vereisten:
1) De CPU-hardware ondersteunt op hardware gebaseerde schaduwstacks.
2) 'Beveiliging van code-integriteit op basis van virtualisatie' is ingeschakeld.

Als aan een van beide vereisten niet is voldaan, wordt deze functie niet ingeschakeld, zelfs niet als er een optie Ingeschakeld is geselecteerd voor deze functie. Als u een optie Ingeschakeld selecteert voor deze functie, wordt 'Beveiliging van code-integriteit op basis van virtualisatie' niet automatisch ingeschakeld. Dit moet afzonderlijk worden gedaan.

Op apparaten die deze beveiligingsfunctie inschakelen, moet ten minste Windows 11 (versie 22H2) worden uitgevoerd.

Met de optie Uitgeschakeld wordt 'Door hardware afgedwongen voorraadbescherming in kernelmodus' uitgeschakeld.

Met de optie 'Ingeschakeld in controlemodus' wordt 'Door hardware afgedwongen voorraadbescherming in kernelmodus' in de controlemodus ingeschakeld, waarbij schaduwstackchendingen niet onherstelbaar zijn en worden geregistreerd in het systeemgebeurtenislogboek.

Met de optie 'Ingeschakeld in afdwingingsmodus' wordt 'Door hardware afgedwongen voorraadbescherming in kernelmodus' ingeschakeld in de afdwingingsmodus, waarbij schaduwstackschendingen onherstelbaar zijn.

Met de optie Niet geconfigureerd blijft de beleidsinstelling ongedefinieerd. Groepsbeleid schrijft de beleidsinstelling niet naar het register en heeft dus geen invloed op computers of gebruikers. Als er een huidige instelling in het register is, wordt deze niet gewijzigd.

Waarschuwing: alle stuurprogramma's op het systeem moeten compatibel zijn met deze beveiligingsfunctie, anders kan het systeem vastlopen in de afdwingingsmodus. De controlemodus kan worden gebruikt om incompatibele stuurprogramma's te detecteren. Raadpleeg https://go.microsoft.com/fwlink/?LinkId=2162953 voor meer informatie.