Beveiliging op basis van virtualisatie inschakelen: registerwaarde EnableVirtualizationBasedSecurity en 7 meerComputerHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

Beleids-ID: VirtualizationBasedSecurity
Bereik: Computerconfiguratie
Ondersteund op: Minimaal Windows Server 2016, Windows 10
Bron: Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (versie 1.0)
Categorie: Systeem › Device Guard

Register

EnableVirtualizationBasedSecurity

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: 1
Waarde bij uitgeschakeld: 0

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Ingeschakeld
"EnableVirtualizationBasedSecurity"=dword:00000001
; Uitgeschakeld
"EnableVirtualizationBasedSecurity"=dword:00000000

CMD

:: Opties (gebruik er maar één)

:: Ingeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Ingeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Selecteer het niveau van platformbeveiliging:

Opties
Item	Opgeslagen waarde
Beveiligd opstarten	1
Beveiligd opstarten en DMA-beveiliging	3

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Beveiligd opstarten
"RequirePlatformSecurityFeatures"=dword:00000001
; Beveiligd opstarten en DMA-beveiliging
"RequirePlatformSecurityFeatures"=dword:00000003

CMD

:: Opties (gebruik er maar één)

:: Beveiligd opstarten
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Beveiligd opstarten en DMA-beveiliging
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Beveiligd opstarten
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Beveiligd opstarten en DMA-beveiliging
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Beveiliging van code-integriteit op basis van virtualisatie:

Opties
Item	Opgeslagen waarde
Uitgeschakeld	0
Ingeschakeld met UEFI-vergrendeling	1
Ingeschakeld zonder vergrendeling	2
Niet geconfigureerd	3

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Uitgeschakeld
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Ingeschakeld met UEFI-vergrendeling
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Ingeschakeld zonder vergrendeling
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; Niet geconfigureerd
"HypervisorEnforcedCodeIntegrity"=dword:00000003

CMD

:: Opties (gebruik er maar één)

:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Ingeschakeld met UEFI-vergrendeling
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Ingeschakeld zonder vergrendeling
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: Niet geconfigureerd
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Ingeschakeld met UEFI-vergrendeling
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Ingeschakeld zonder vergrendeling
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# Niet geconfigureerd
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Aangevinkt: 1
Niet aangevinkt: 0
Element: UEFI-geheugenkenmerkentabel vereisen
Waardetype: REG_DWORD

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Aangevinkt
"HVCIMATRequired"=dword:00000001
; Niet aangevinkt
"HVCIMATRequired"=dword:00000000

CMD

:: Opties (gebruik er maar één)

:: Aangevinkt
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Niet aangevinkt
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Aangevinkt
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Niet aangevinkt
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Configuratie Credential Guardg:

Opties
Item	Opgeslagen waarde
Uitgeschakeld	0
Ingeschakeld met UEFI-vergrendeling	1
Ingeschakeld zonder vergrendeling	2
Niet geconfigureerd	3

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Uitgeschakeld
"LsaCfgFlags"=dword:00000000
; Ingeschakeld met UEFI-vergrendeling
"LsaCfgFlags"=dword:00000001
; Ingeschakeld zonder vergrendeling
"LsaCfgFlags"=dword:00000002
; Niet geconfigureerd
"LsaCfgFlags"=dword:00000003

CMD

:: Opties (gebruik er maar één)

:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Ingeschakeld met UEFI-vergrendeling
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Ingeschakeld zonder vergrendeling
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: Niet geconfigureerd
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Ingeschakeld met UEFI-vergrendeling
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Ingeschakeld zonder vergrendeling
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# Niet geconfigureerd
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Configuratie van isolatie van computeridentiteit:

Opties
Item	Opgeslagen waarde
Uitgeschakeld	0
Ingeschakeld in controlemodus	1
Ingeschakeld in afdwingingsmodus	2
Niet geconfigureerd	3

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Uitgeschakeld
"MachineIdentityIsolation"=dword:00000000
; Ingeschakeld in controlemodus
"MachineIdentityIsolation"=dword:00000001
; Ingeschakeld in afdwingingsmodus
"MachineIdentityIsolation"=dword:00000002
; Niet geconfigureerd
"MachineIdentityIsolation"=dword:00000003

CMD

:: Opties (gebruik er maar één)

:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Ingeschakeld in controlemodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Ingeschakeld in afdwingingsmodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: Niet geconfigureerd
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Ingeschakeld in controlemodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Ingeschakeld in afdwingingsmodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# Niet geconfigureerd
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Beveiligd starten-configuratie:

Opties
Item	Opgeslagen waarde
Niet geconfigureerd	0
Ingeschakeld	1
Uitgeschakeld	2

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Niet geconfigureerd
"ConfigureSystemGuardLaunch"=dword:00000000
; Ingeschakeld
"ConfigureSystemGuardLaunch"=dword:00000001
; Uitgeschakeld
"ConfigureSystemGuardLaunch"=dword:00000002

CMD

:: Opties (gebruik er maar één)

:: Niet geconfigureerd
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Ingeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Niet geconfigureerd
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Ingeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDComputer

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Huidige sleutel

Waarde bij ingeschakeld: Afhankelijk van de waarde van de optie
Element: Door hardware toegepaste stackbeveiliging in kernelmodus:

Opties
Item	Opgeslagen waarde
Niet geconfigureerd	0
Ingeschakeld in afdwingingsmodus	1
Ingeschakeld in controlemodus	2
Uitgeschakeld	3

Toepassen met .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opties (gebruik er maar één)
; Niet geconfigureerd
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Ingeschakeld in afdwingingsmodus
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Ingeschakeld in controlemodus
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Uitgeschakeld
"ConfigureKernelShadowStacksLaunch"=dword:00000003

CMD

:: Opties (gebruik er maar één)

:: Niet geconfigureerd
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Ingeschakeld in afdwingingsmodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Ingeschakeld in controlemodus
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Uitgeschakeld
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f

PowerShell

# Algemeen: sleutel maken
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opties (gebruik er maar één)
# Niet geconfigureerd
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Ingeschakeld in afdwingingsmodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Ingeschakeld in controlemodus
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Uitgeschakeld
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null