Целостность памяти в Windows 11/10

За последние несколько лет, кибер-атаки изменились. Хакеры теперь могут захватить ваш компьютер и заблокировать файлы в Windows 11/10, если вы не готовы заплатить им деньги. Эти типы атак называются Ransomware, и они используют эксплойты уровня ядра, которые пытаются запустить вредоносное ПО с наивысшими привилегиями, например WannaCry и Petya. Чтобы смягчить эти типы атак, Microsoft развернула функцию, позволяющую включить Целостность памяти в изоляции ядра для предотвращения таких атак.

💡Отмечу фот факт, что многие сайты пишут как отключить изоляцию ядра, что неверно, так как отключается целостность памяти. И сейчас ниже поймете почему.

Изоляция ядра (Core isolation) - это общая технология для безопасности на базе виртуализации (VBS), которая изолирует критические компоненты Windows 11/10 от остальной системы и предотвращает их компрометацию через уязвимости ядра. Другими словами, она создает гипервизорную область памяти, которая служит доверенным корнем для проверки целостности компонентов ОС.

Целостность памяти (Memory integrity) - это функция внутри изоляции ядра, которая обеспечивает дополнительную защиту от вредоносных программ и других атак, изолируя процессы компьютера от операционной системы и устройства. При включении она требует, чтобы драйверы и код уровня ядра соответствовали политике целостности. Выполняет проверку в изолированном гипервизором пространстве. Также, целостность памяти, называется сокращено HVCI (Hypervisor‑protected Code Integrity).

Как отключить и включить "Целостностью памяти" в изоляции ядра Windows 11/10

1. Откройте Безопасность Windows (Microsoft Defender), нажав на панели задач на иконку щита или написав в поиске "Безопасность Windows".

2. Перейдите в параметр "Безопасность устройства" и справа нажмите по "Сведения об изоляции ядра".

3. В графе "Целостность памяти" перетащите ползунок в режим Включено или Отключено. После этого, компьютер нужно перезагрузить, чтобы изменения вступили в силу.

4. Если вы включили ползунок и вам выдает ошибку "Не удается обеспечить целостность памяти. Возможно несовместимость", то включите в БИОСе функцию Secure Boot (смотрите ниже).

5. Если пункта "Целостность памяти" нет вовсе, то нужно включить аппаратную виртуализацию в BIOS/UEFI (полное руководство, как вернуть пункт целостности памяти).

Как принудительно включить целостность памяти в Windows 11/10 через реестр

Эти методы помогают, если переключатель "заблокирован" или отсутствует в пункте изоляции ядра Microsoft Defender.

Способ 1. Самый быстрый способ, это запустить командную строку от имени администратора и ввести ниже команду, после чего перезагрузиться.

• Для включения:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 1 /f

• Для отключения:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f

Способ 2. Метод как и выше, заключается только в ручном редактировании параметра HypervisorEnforcedCodeIntegrity в реестре.

• Нажмите Win+R и введите regedit и перейдите по следующему пути ниже

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity

• Справа нажмите два раза мышкой на параметры Enabled.
• Установите значение 0, чтобы отключить.
• Установите 1, чтобы включить.
• Перезагрузите компьютер.
• Откройте Microsoft Defender и ползунок станет активным.

Что нужно включить в BIOS, чтобы работала и была целостность памяти в Microsoft Defender?

• Secure Boot (безопасная загрузка).
• Виртуализация (называется Intel VT-x для процессоров Intel или SVM Mode для процессоров AMD).
• TPM 2.0 (обычно называется PTT у Intel или FTPM у AMD).

Как проверить состояние целостности памяти?

Запустите PowerShell от имени администратора и введите ниже команду:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

• Найдите графу "VirtualizationBasedSecurityStatus".
• Если в пункте будет 0, то не поддерживается.
• 1 доступно, но не включена, а 2 включено и работает.

Зачем включать целостность памяти?

• Руткиты и атаки на уровне ядра: изолирует критические процессы Windows в виртуальной среде, защищая системную память от вредоносных программ.
• Вредоносные драйверы: проверяет все драйверы на безопасность и блокирует неподписанные и несовместимые драйверы.
• Компрометация ядра Windows: выполняет проверку целостности кода в изолированной виртуальной среде VBS.
• Снижение уязвимости: ограничивает выделение памяти ядра, которое может использоваться для атак на систему.

Зачем отключить целостность памяти?

• Производительность в играх: может снижать FPS примерно на 5% в среднем, особенно в CPU-тяжёлых играх и на системах без аппаратной виртуализации.
• Несовместимость драйверов: блокирует загрузку старых и несовместимых драйверов, что может выдать BSOD при запуске Windows 11/10.
• Специфическое ПО: некоторые программы (Docker, виртуальные машины, античиты игр, специализированный софт) могут работать некорректно.