Włącz zabezpieczenia oparte na wirtualizacji

Określa, czy zabezpieczenia oparte na wirtualizacji są włączone.

Aby zapewnić obsługę usług zabezpieczeń, zabezpieczenia oparte na wirtualizacji korzystają z funkcji Hypervisor systemu Windows. Zabezpieczenia oparte na wirtualizacji wymagają bezpiecznego rozruchu. Opcjonalnie można je włączyć przy użyciu ochrony DMA. Ochrona DMA wymaga wsparcia sprzętowego i będzie włączona tylko na poprawnie skonfigurowanych urządzeniach.

Ochrona integralności kodu oparta na wirtualizacji

To ustawienie włącza ochronę integralności kodu w trybie jądra opartą na wirtualizacji. Włączenie tej opcji wymusza ochronę pamięci w trybie jądra, a ścieżka weryfikacji integralności kodu jest chroniona przez funkcję zabezpieczeń opartych na wirtualizacji.

Opcja „Wyłączone” wyłącza zdalnie ochronę integralności kodu opartą na wirtualizacji, jeśli wcześniej została włączona z opcją „Włączone bez blokady”.

Opcja „Włączone z blokadą interfejsu UEFI” zapewnia, że ochrona integralności kodu oparta na wirtualizacji nie może być wyłączona zdalnie. Aby wyłączyć tę funkcję, należy ustawić zasady grupy na wartość „Wyłączone”, a także usunąć funkcje zabezpieczeń z każdego komputera z fizycznie obecnym użytkownikiem, aby wyczyścić konfigurację utrwaloną w interfejsie UEFI.

Opcja „Włączone bez blokady” pozwala na zdalne wyłączenie ochrony integralności kodu opartej na wirtualizacji przy użyciu zasad grupy.

Opcja „Nieskonfigurowane” pozostawia ustawienie zasad niezdefiniowane. Zasady grupy nie zapisują ustawienia zasad w rejestrze, więc nie ma to wpływu na komputery ani użytkowników. Jeśli w rejestrze istnieje bieżące ustawienie, nie zostanie ono zmodyfikowane.

Opcja „Wymagaj tabeli atrybutów pamięci interfejsu UEFI” włączy ochronę integralności kodu opartą na wirtualizacji tylko na urządzeniach z obsługą oprogramowania układowego UEFI dla tabeli atrybutów pamięci. Urządzenia bez tabeli atrybutów pamięci interfejsu UEFI mogą mieć oprogramowanie układowe niezgodne z ochroną integralności kodu opartą na wirtualizacji, co w niektórych przypadkach może prowadzić do awarii, utraty danych lub niezgodności z niektórymi kartami wtyczek. Jeśli ta opcja nie zostanie ustawiona, urządzenia docelowe powinny zostać przetestowane w celu zapewnienia zgodności.

Ostrzeżenie: wszystkie sterowniki w systemie muszą być zgodne z tą funkcją, w przeciwnym razie system może ulec awarii. Upewnij się, że to ustawienie zasad jest wdrażane tylko na komputerach, o których wiadomo, że są zgodne.

Credential Guard

To ustawienie umożliwia użytkownikom włączanie funkcji Credential Guard z zabezpieczeniami opartymi na wirtualizacji w celu ochrony poświadczeń.

W przypadku systemu Windows 11 21H2 i starszych wersji opcja „Wyłączone” wyłącza zdalnie funkcję Credential Guard, jeśli wcześniej została włączona z opcją „Włączone bez blokady”. W przypadku nowszych wersji opcja „Wyłączone” wyłącza zdalnie funkcję Credential Guard, jeśli wcześniej została włączona z opcją „Włączone bez blokady” lub „Nieskonfigurowane”.

Opcja „Włączone z blokadą interfejsu UEFI” zapewnia, że funkcja Credential Guard nie może być wyłączona zdalnie. Aby wyłączyć tę funkcję, należy ustawić zasady grupy na wartość „Wyłączone”, a także usunąć funkcje zabezpieczeń z każdego komputera z fizycznie obecnym użytkownikiem, aby wyczyścić konfigurację utrwaloną w interfejsie UEFI.

Opcja „Włączone bez blokady” pozwala na zdalne wyłączenie funkcji Credential Guard przy użyciu zasad grupy. Na urządzeniach korzystających z tego ustawienia musi być uruchomiony co najmniej system Windows 10 (wersja 1511).

W przypadku systemu Windows 11 21H2 i starszych wersji opcja „Nieskonfigurowane” pozostawia ustawienie zasad niezdefiniowane. Zasady grupy nie zapisują ustawienia zasad w rejestrze, więc nie ma to wpływu na komputery ani użytkowników. Jeśli w rejestrze istnieje bieżące ustawienie, nie zostanie ono zmodyfikowane. W przypadku nowszych wersji, jeśli w rejestrze nie ma bieżącego ustawienia, opcja „Nieskonfigurowane” włączy funkcję Credential Guard bez blokady interfejsu UEFI.

Izolacja tożsamości komputera

To ustawienie steruje ochroną funkcji Credential Guard dla kont komputerów w usłudze Active Directory. Włączenie tych zasad ma pewne wymagania wstępne. Aby zapoznać się z wymaganiami wstępnymi i uzyskać więcej informacji o tych zasadach, zobacz: https://go.microsoft.com/fwlink/?linkid=2251066.

Opcja „Nieskonfigurowane” pozostawia ustawienie zasad niezdefiniowane. Zasady grupy nie zapisują ustawienia zasad w rejestrze, więc nie ma to wpływu na komputery ani użytkowników. Jeśli w rejestrze istnieje bieżące ustawienie, nie zostanie ono zmodyfikowane.

Opcja „Wyłączone” wyłącza izolację tożsamości komputera. Jeśli dla tych zasad została wcześniej ustawiona wartość „Włączone w trybie inspekcji”, nie są wymagane żadne dalsze działania. Jeśli dla tych zasad została wcześniej ustawiona wartość „Włączone w trybie wymuszania”, urządzenie musi zostać odłączone od domeny i ponownie do niej dołączone. Więcej szczegółów można znaleźć pod powyższym linkiem.

Opcja „Włączone w trybie inspekcji” kopiuje tożsamość komputera do funkcji Credential Guard. Zarówno lokalne uwierzytelnianie zabezpieczeń, jak i funkcja Credential Guard będą miały dostęp do tożsamości maszyny. Dzięki temu użytkownicy mogą zweryfikować, czy opcja „Włączone w trybie wymuszania” będzie działać w ich domenie usługi Active Directory.

Opcja „Włączone w trybie wymuszania” przenosi tożsamość komputera do funkcji Credential Guard. Dzięki temu tożsamość maszyny jest dostępna tylko dla funkcji Credential Guard.

Bezpieczne uruchamianie

To ustawienie ustawia konfigurację bezpiecznego uruchamiania, aby zabezpieczać łańcuch rozruchowy.

Ustawienie „Nieskonfigurowane” jest ustawieniem domyślnym i umożliwia konfigurację funkcji przez użytkowników administracyjnych.

Opcja „Włączone” włącza bezpieczne uruchamianie na obsługiwanym sprzęcie.

Opcja „Wyłączone” wyłącza bezpieczne uruchamianie, niezależnie od obsługi sprzętu.

Wymuszona sprzętowo ochrona stosu w trybie jądra

To ustawienie włącza wymuszoną sprzętowo ochronę stosu dla kodu w trybie jądra. Po włączeniu tej funkcji zabezpieczeń stosy danych w trybie jądra są wzmacniane za pomocą stosów w tle opartych na sprzęcie, które przechowują docelowe adresy zwrotne, aby zapewnić, że przepływ sterowania programem nie zostanie naruszony.

Ta funkcja zabezpieczeń ma następujące wymagania wstępne:
1) Sprzęt procesora CPU obsługuje sprzętowe stosy w tle.
2) Włączono ochronę integralności kodu opartą na wirtualizacji.

Jeśli któreś z wymagań wstępnych nie zostanie spełnione, ta funkcja nie zostanie włączona, nawet jeśli wybrano dla niej opcję „Włączone”. Wybranie opcji „Włączone” dla tej funkcji nie spowoduje automatycznego włączenia ochrony integralności kodu opartej na wirtualizacji — należy to zrobić oddzielnie.

Na urządzeniach, które włączają tę funkcję zabezpieczeń, musi działać co najmniej system Windows 11 (wersja 22H2).

Opcja „Wyłączone” wyłącza wymuszoną sprzętowo ochronę stosu w trybie jądra

Opcja „Włączone w trybie inspekcji” włącza wymuszoną sprzętowo ochronę stosu w trybie jądra w trybie inspekcji, gdzie naruszenia dotyczące stosu w tle nie są krytyczne i będą rejestrowane w dzienniku zdarzeń systemowych.

Opcja „Włączone w trybie wymuszania” włącza wymuszoną sprzętowo ochronę stosu w trybie jądra w trybie wymuszania, gdzie naruszenia dotyczące stosu w tle są krytyczne.

Opcja „Nieskonfigurowane” pozostawia ustawienie zasad niezdefiniowane. Zasady grupy nie zapisują ustawienia zasad w rejestrze, więc nie ma to wpływu na komputery ani użytkowników. Jeśli w rejestrze istnieje bieżące ustawienie, nie zostanie ono zmodyfikowane.

Ostrzeżenie: wszystkie sterowniki w systemie muszą być zgodne z tą funkcją zabezpieczeń, w przeciwnym razie system może ulec awarii w trybie wymuszania. Tryb inspekcji może służyć do odnajdywania niezgodnych sterowników. Aby uzyskać więcej informacji, zobacz: https://go.microsoft.com/fwlink/?LinkId=2162953.