Ativar Segurança Baseada em Virtualização

Especifica se a Segurança Baseada em Virtualização está habilitada.

A Segurança Baseada em Virtualização usa o Hipervisor do Windows para dar suporte para serviços de segurança. A Segurança Baseada em Virtualização requer a Inicialização Segura e opcionalmente pode ser habilitada com o uso de Proteções de DMA. As proteções do DMA exigem suporte de hardware e só serão habilitadas em dispositivos configurados corretamente.

Proteção baseada em virtualização da integridade do código

Essa configuração habilita a Proteção baseada em virtualização da integridade de código no modo kernel. Quando essa opção está habilitada, as proteções de memória do modo kernel são aplicadas e o caminho de validação da integridade do código é protegido pelo recurso de Segurança Baseada em Virtualização.

A opção "Desabilitado" desativará remotamente a Proteção Baseada em Virtualização da Integridade de Código se ela tiver sido previamente ativada com a opção "Habilitado sem bloqueio".

A opção "Habilitado com bloqueio UEFI" garante que a Proteção Baseada em Virtualização da Integridade de Código não possa ser desabilitada remotamente. Para desabilitar o recurso, você deve definir a Política de Grupo como "Desabilitado", bem como remover a funcionalidade de segurança de cada computador, com um usuário fisicamente presente, para limpar a configuração persistente na UEFI.

A opção "Habilitado sem bloqueio" permite que a Proteção Baseada em Virtualização da Integridade de Código seja desabilitada remotamente usando a Política de Grupo.

A opção "Não Configurado" deixa a configuração da política indefinida. A Política de Grupo não grava a configuração de política no registro e, portanto, não tem impacto sobre computadores ou usuários. Se houver uma configuração atual no registro, ela não será modificada.

A opção "Exigir a Tabela de Atributos de Memória UEFI" só habilitará a Proteção Baseada em Virtualização da Integridade de Código em dispositivos com suporte do firmware UEFI para a Tabela de Atributos de Memória. Dispositivos sem a Tabela de Atributos de Memória UEFI podem ter um firmware incompatível com a Proteção Baseada em Virtualização da Integridade de Código, o que, em alguns casos, pode resultar em falhas, perda de dados ou incompatibilidade com certos cartões de plug-in. Se essa opção não for definida, os dispositivos visados deverão ser testados para garantir a compatibilidade.

Aviso: Todos os drivers no sistema devem ser compatíveis com esse recurso ou o sistema pode falhar. Certifique-se de que essa configuração de política seja implantada somente em computadores que sejam reconhecidamente compatíveis.

Credential Guard

Essa configuração permite que os usuários ativem o Credential Guard com a segurança baseada em virtualização para ajudar a proteger as credenciais.

Para o Windows 11 21H2 e versões anteriores, a opção "Desabilitado" desativa o Credential Guard remotamente se ele tiver sido previamente ativado com a opção "Habilitado sem bloqueio". Para versões posteriores, a opção "Desabilitado" desativará o Credential Guard remotamente se ele tiver sido ativado anteriormente com a opção "Habilitado sem bloqueio" ou se "Não Configurado".

A opção "Habilitado com bloqueio UEFI" garante que o Credential Guard não possa ser desabilitado remotamente. Para desabilitar o recurso, você deve definir a Política de Grupo como "Desabilitado", bem como remover a funcionalidade de segurança de cada computador, com um usuário fisicamente presente, para limpar a configuração persistente na UEFI.

A opção "Habilitado sem bloqueio" permite que o Credential Guard seja desabilitado remotamente usando a Política de Grupo. Os dispositivos que usam essa configuração devem estar executando pelo menos Windows 10 (versão 1511).

Para o Windows 11 21H2 e versões anteriores, a opção "Não Configurado" deixa a configuração de política indefinida. A Política de Grupo não grava a configuração de política no registro e, portanto, não tem impacto sobre computadores ou usuários. Se houver uma configuração atual no registro, ela não será modificada. Para versões posteriores, se não houver nenhuma configuração atual no Registro, a opção "Não Configurado" habilitará o Credential Guard sem bloqueio UEFI.

Isolamento da Identidade do Computador

Essa configuração controla a proteção do Credential Guard das contas de máquina do Active Directory. Habilitar essa política tem determinados pré-requisitos. Os pré-requisitos e mais informações sobre essa política podem ser encontrados em https://go.microsoft.com/fwlink/?linkid=2251066.

A opção "Não Configurado" deixa a configuração da política indefinida. A Política de Grupo não grava a configuração de política no registro e, portanto, não tem impacto sobre computadores ou usuários. Se houver uma configuração atual no registro, ela não será modificada.

A opção "Desabilitado" desativa o Isolamento de identidade do computador. Se essa política tiver sido definida anteriormente como "Habilitada no modo de auditoria", nenhuma ação adicional será necessária. Se essa política tiver sido definida anteriormente como "Habilitada no modo de imposição", o dispositivo deverá sair e ingressar novamente no domínio. Mais detalhes podem ser encontrados no link acima.

A opção "Habilitado no modo de auditoria" copia a identidade do computador para o Credential Guard. O LSA e o Credential Guard terão acesso à identidade do computador. Isso permite que os usuários validem que "Habilitado no modo de imposição" funcionará em seus Domínios do Active Directory.

A opção "Habilitado no modo de imposição" move a identidade do computador para o Credential Guard. Isso torna a identidade do computador acessível somente para o Credential Guard.

Inicialização Segura

Essa configuração define a configuração de Inicialização Segura para proteger a cadeia de inicialização.

A configuração "Não Configurado" é a padrão e permite a configuração do recurso por usuários administrativos.

A opção "Habilitado" ativa a Inicialização Segura no hardware com suporte.

A opção "Desabilitado" desativa a Inicialização Segura, independentemente do suporte de hardware.

Proteção da pilha imposta por hardware no modo kernel

Essa configuração habilita a proteção da pilha imposta por hardware para o código no modo kernel. Quando esse recurso de segurança está habilitado, as pilhas de dados do modo kernel são protegidas com pilhas de sombra baseadas em hardware, que armazenam destinos de endereço de retorno pretendidos para garantir que o fluxo de controle do programa não seja violado.

Esse recurso de segurança tem os seguintes pré-requisitos:
1) O hardware da CPU dá suporte a pilhas de sombras baseadas em hardware.
2) A Proteção Baseada em Virtualização da Integridade de Código está habilitada.

Se algum dos pré-requisitos não for atendido, este recurso não será habilitado, mesmo que uma opção "Habilitado" esteja selecionada para esse recurso. Observe que selecionar a opção "Habilitado" para este recurso não habilitará automaticamente a Proteção Baseada em Virtualização da Integridade de Código, isso precisa ser feito separadamente.

Os dispositivos que habilitam esse recurso de segurança devem estar executando pelo menos o Windows 11 (versão 22H2).

A opção "Desabilitado" desativa a proteção da pilha imposta por hardware no modo kernel.

A opção "Habilitar no modo de auditoria" habilita a Proteção de Pilha Executada em Modo de Hardware no modo de auditoria, em que as violações da pilha de sombra não são fatais e serão registradas no log de eventos do sistema.

A opção "Habilitado no modo de imposição" habilita a proteção da pilha imposta por hardware no modo de imposição, em que as violações de pilha de sombra são fatais.

A opção "Não Configurado" deixa a configuração da política indefinida. A Política de Grupo não grava a configuração de política no registro e, portanto, não tem impacto sobre computadores ou usuários. Se houver uma configuração atual no registro, ela não será modificada.

Aviso: Todos os drivers no sistema devem ser compatíveis com esse recurso de segurança ou o sistema pode falhar no modo de imposição. O modo de auditoria pode ser usado para descobrir drivers incompatíveis. Para obter mais informações, confira https://go.microsoft.com/fwlink/?LinkId=2162953.