Ativar Segurança Baseada em Virtualização: valor do Registro EnableVirtualizationBasedSecurity e mais 7ComputadorHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard

ID da política: VirtualizationBasedSecurity
Escopo: Configuração do Computador
Compatível com: Pelo menos Windows Server 2016, Windows 10
Fonte: Administrative Templates (.admx) for Windows 11 2026 Update (26H2) (versão 1.0)
Categoria: Sistema › Device Guard

Registro

EnableVirtualizationBasedSecurity

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: 1
Valor desabilitado: 0

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Habilitada
"EnableVirtualizationBasedSecurity"=dword:00000001
; Desabilitada
"EnableVirtualizationBasedSecurity"=dword:00000000

CMD

:: Opções (use apenas uma)

:: Habilitada
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
:: Desabilitada
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 0 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Habilitada
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 1 -Force | Out-Null
# Desabilitada
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'EnableVirtualizationBasedSecurity' -PropertyType DWord -Value 0 -Force | Out-Null

RequirePlatformSecurityFeatures

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Selecione o Nível de Segurança da Plataforma:

Opções
Item	Valor armazenado
Inicialização Segura	1
Inicialização segura e a proteção de DMA	3

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Inicialização Segura
"RequirePlatformSecurityFeatures"=dword:00000001
; Inicialização segura e a proteção de DMA
"RequirePlatformSecurityFeatures"=dword:00000003

CMD

:: Opções (use apenas uma)

:: Inicialização Segura
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
:: Inicialização segura e a proteção de DMA
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Inicialização Segura
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 1 -Force | Out-Null
# Inicialização segura e a proteção de DMA
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'RequirePlatformSecurityFeatures' -PropertyType DWord -Value 3 -Force | Out-Null

HypervisorEnforcedCodeIntegrity

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Proteção com Base em Virtualização de Integridade de Código:

Opções
Item	Valor armazenado
Desabilitado	0
Habilitada com o bloqueio UEFI	1
Habilitada sem bloqueio	2
Não Configurado	3

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Desabilitado
"HypervisorEnforcedCodeIntegrity"=dword:00000000
; Habilitada com o bloqueio UEFI
"HypervisorEnforcedCodeIntegrity"=dword:00000001
; Habilitada sem bloqueio
"HypervisorEnforcedCodeIntegrity"=dword:00000002
; Não Configurado
"HypervisorEnforcedCodeIntegrity"=dword:00000003

CMD

:: Opções (use apenas uma)

:: Desabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 0 /f
:: Habilitada com o bloqueio UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 1 /f
:: Habilitada sem bloqueio
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 2 /f
:: Não Configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HypervisorEnforcedCodeIntegrity" /t REG_DWORD /d 3 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Desabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitada com o bloqueio UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitada sem bloqueio
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 2 -Force | Out-Null
# Não Configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HypervisorEnforcedCodeIntegrity' -PropertyType DWord -Value 3 -Force | Out-Null

HVCIMATRequired

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Marcado: 1
Desmarcado: 0
Elemento: Exigir Tabela de Atributos de Memória UEFI
Tipo de valor: REG_DWORD

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Marcado
"HVCIMATRequired"=dword:00000001
; Desmarcado
"HVCIMATRequired"=dword:00000000

CMD

:: Opções (use apenas uma)

:: Marcado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 1 /f
:: Desmarcado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "HVCIMATRequired" /t REG_DWORD /d 0 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Marcado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 1 -Force | Out-Null
# Desmarcado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'HVCIMATRequired' -PropertyType DWord -Value 0 -Force | Out-Null

LsaCfgFlags

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Configuração do Credential Guard:

Opções
Item	Valor armazenado
Desabilitado	0
Habilitada com o bloqueio UEFI	1
Habilitada sem bloqueio	2
Não Configurado	3

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Desabilitado
"LsaCfgFlags"=dword:00000000
; Habilitada com o bloqueio UEFI
"LsaCfgFlags"=dword:00000001
; Habilitada sem bloqueio
"LsaCfgFlags"=dword:00000002
; Não Configurado
"LsaCfgFlags"=dword:00000003

CMD

:: Opções (use apenas uma)

:: Desabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 0 /f
:: Habilitada com o bloqueio UEFI
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 1 /f
:: Habilitada sem bloqueio
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 2 /f
:: Não Configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "LsaCfgFlags" /t REG_DWORD /d 3 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Desabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitada com o bloqueio UEFI
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitada sem bloqueio
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 2 -Force | Out-Null
# Não Configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'LsaCfgFlags' -PropertyType DWord -Value 3 -Force | Out-Null

MachineIdentityIsolation

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Configuração de Isolamento de Identidade do Computador:

Opções
Item	Valor armazenado
Desabilitado	0
Habilitado no modo de auditoria	1
Habilitado no modo de imposição	2
Não Configurado	3

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Desabilitado
"MachineIdentityIsolation"=dword:00000000
; Habilitado no modo de auditoria
"MachineIdentityIsolation"=dword:00000001
; Habilitado no modo de imposição
"MachineIdentityIsolation"=dword:00000002
; Não Configurado
"MachineIdentityIsolation"=dword:00000003

CMD

:: Opções (use apenas uma)

:: Desabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 0 /f
:: Habilitado no modo de auditoria
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 1 /f
:: Habilitado no modo de imposição
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 2 /f
:: Não Configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "MachineIdentityIsolation" /t REG_DWORD /d 3 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Desabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado no modo de auditoria
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitado no modo de imposição
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 2 -Force | Out-Null
# Não Configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'MachineIdentityIsolation' -PropertyType DWord -Value 3 -Force | Out-Null

ConfigureSystemGuardLaunch

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Configuração de Inicialização Segura:

Opções
Item	Valor armazenado
Não Configurado	0
Habilitado	1
Desabilitado	2

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Não Configurado
"ConfigureSystemGuardLaunch"=dword:00000000
; Habilitado
"ConfigureSystemGuardLaunch"=dword:00000001
; Desabilitado
"ConfigureSystemGuardLaunch"=dword:00000002

CMD

:: Opções (use apenas uma)

:: Não Configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 0 /f
:: Habilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 1 /f
:: Desabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureSystemGuardLaunch" /t REG_DWORD /d 2 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Não Configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Desabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureSystemGuardLaunch' -PropertyType DWord -Value 2 -Force | Out-Null

ConfigureKernelShadowStacksLaunch

REG_DWORDComputador

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard Chave atual

Valor habilitado: Depende do valor da opção
Elemento: Proteção de pilha imposta por hardware no modo kernel:

Opções
Item	Valor armazenado
Não Configurado	0
Habilitado no modo de imposição	1
Habilitado no modo de auditoria	2
Desabilitado	3

Aplicar com .reg · CMD · PowerShell

.reg

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard]

; Opções (use apenas uma)
; Não Configurado
"ConfigureKernelShadowStacksLaunch"=dword:00000000
; Habilitado no modo de imposição
"ConfigureKernelShadowStacksLaunch"=dword:00000001
; Habilitado no modo de auditoria
"ConfigureKernelShadowStacksLaunch"=dword:00000002
; Desabilitado
"ConfigureKernelShadowStacksLaunch"=dword:00000003

CMD

:: Opções (use apenas uma)

:: Não Configurado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 0 /f
:: Habilitado no modo de imposição
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 1 /f
:: Habilitado no modo de auditoria
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 2 /f
:: Desabilitado
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard" /v "ConfigureKernelShadowStacksLaunch" /t REG_DWORD /d 3 /f

PowerShell

# Comum: criar a chave
New-Item -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Force | Out-Null

# Opções (use apenas uma)
# Não Configurado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 0 -Force | Out-Null
# Habilitado no modo de imposição
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 1 -Force | Out-Null
# Habilitado no modo de auditoria
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 2 -Force | Out-Null
# Desabilitado
New-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard' -Name 'ConfigureKernelShadowStacksLaunch' -PropertyType DWord -Value 3 -Force | Out-Null