Wyszukiwarka zasad grupyWyszukiwarka zasad grupy
Polski

Włącz zabezpieczenia oparte na wirtualizacji: wartość rejestru EnableVirtualizationBasedSecurity i 7 więcejKomputerHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

Identyfikator zasady
VirtualizationBasedSecurity
Zakres
Konfiguracja komputera
Obsługiwane w systemach
Co najmniej Windows Server 2016, Windows 10
Źródło
Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (wersja 1.0)
Kategoria
System › Device Guard

Rejestr

EnableVirtualizationBasedSecurity

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
1
Wartość wyłączona
0
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Włączone
"EnableVirtualizationBasedSecurity"=dword:00000001
; Wyłączone
"EnableVirtualizationBasedSecurity"=dword:00000000
CMD
:: Opcje (użyj tylko jednej)

:: Włączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Włączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Wybierz poziom zabezpieczeń platformy:
Opcje
PozycjaZapisana wartość
Bezpieczny rozruch1
Bezpieczny rozruch i ochrona DMA3
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Bezpieczny rozruch
"RequirePlatformSecurityFeatures"=dword:00000001
; Bezpieczny rozruch i ochrona DMA
"RequirePlatformSecurityFeatures"=dword:00000003
CMD
:: Opcje (użyj tylko jednej)

:: Bezpieczny rozruch
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Bezpieczny rozruch i ochrona DMA
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Bezpieczny rozruch
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Bezpieczny rozruch i ochrona DMA
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Ochrona integralności kodu oparta na wirtualizacji:
Opcje
PozycjaZapisana wartość
Wyłączone0
Włączone z blokadą UEFI1
Włączone bez blokady2
Nie skonfigurowano3
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Wyłączone
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Włączone z blokadą UEFI
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Włączone bez blokady
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; Nie skonfigurowano
"HypervisorEnforcedCodeIntegrity"=dword:00000003
CMD
:: Opcje (użyj tylko jednej)

:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Włączone z blokadą UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Włączone bez blokady
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: Nie skonfigurowano
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Włączone z blokadą UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Włączone bez blokady
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# Nie skonfigurowano
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Zaznaczone
1
Niezaznaczone
0
Element
Wymagaj tabeli atrybutów pamięci UEFI
Typ wartości
REG_DWORD
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Zaznaczone
"HVCIMATRequired"=dword:00000001
; Niezaznaczone
"HVCIMATRequired"=dword:00000000
CMD
:: Opcje (użyj tylko jednej)

:: Zaznaczone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Niezaznaczone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Zaznaczone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Niezaznaczone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Konfiguracja funkcji Credential Guard:
Opcje
PozycjaZapisana wartość
Wyłączone0
Włączone z blokadą UEFI1
Włączone bez blokady2
Nie skonfigurowano3
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Wyłączone
"LsaCfgFlags"=dword:00000000
; Włączone z blokadą UEFI
"LsaCfgFlags"=dword:00000001
; Włączone bez blokady
"LsaCfgFlags"=dword:00000002
; Nie skonfigurowano
"LsaCfgFlags"=dword:00000003
CMD
:: Opcje (użyj tylko jednej)

:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Włączone z blokadą UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Włączone bez blokady
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: Nie skonfigurowano
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Włączone z blokadą UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Włączone bez blokady
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# Nie skonfigurowano
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Konfiguracja izolacji tożsamości komputera:
Opcje
PozycjaZapisana wartość
Wyłączone0
Włączone w trybie inspekcji1
Włączone w trybie wymuszania2
Nie skonfigurowano3
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Wyłączone
"MachineIdentityIsolation"=dword:00000000
; Włączone w trybie inspekcji
"MachineIdentityIsolation"=dword:00000001
; Włączone w trybie wymuszania
"MachineIdentityIsolation"=dword:00000002
; Nie skonfigurowano
"MachineIdentityIsolation"=dword:00000003
CMD
:: Opcje (użyj tylko jednej)

:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Włączone w trybie inspekcji
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Włączone w trybie wymuszania
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: Nie skonfigurowano
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Włączone w trybie inspekcji
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Włączone w trybie wymuszania
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# Nie skonfigurowano
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Konfiguracja funkcji Bezpieczne uruchomienie:
Opcje
PozycjaZapisana wartość
Nie skonfigurowano0
Włączone1
Wyłączone2
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Nie skonfigurowano
"ConfigureSystemGuardLaunch"=dword:00000000
; Włączone
"ConfigureSystemGuardLaunch"=dword:00000001
; Wyłączone
"ConfigureSystemGuardLaunch"=dword:00000002
CMD
:: Opcje (użyj tylko jednej)

:: Nie skonfigurowano
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Włączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Nie skonfigurowano
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Włączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDKomputer
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Bieżący klucz
Wartość włączona
Zależy od wartości opcji
Element
Ochrona stosu wymuszana sprzętowo w trybie jądra:
Opcje
PozycjaZapisana wartość
Nie skonfigurowano0
Włączone w trybie wymuszania1
Włączone w trybie inspekcji2
Wyłączone3
Zastosuj przez .reg · CMD · PowerShell
.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opcje (użyj tylko jednej)
; Nie skonfigurowano
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Włączone w trybie wymuszania
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Włączone w trybie inspekcji
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Wyłączone
"ConfigureKernelShadowStacksLaunch"=dword:00000003
CMD
:: Opcje (użyj tylko jednej)

:: Nie skonfigurowano
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Włączone w trybie wymuszania
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Włączone w trybie inspekcji
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Wyłączone
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f
PowerShell
# Wspólne: utwórz klucz
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opcje (użyj tylko jednej)
# Nie skonfigurowano
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Włączone w trybie wymuszania
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Włączone w trybie inspekcji
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Wyłączone
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null