Activer la sécurité basée sur la virtualisation

Spécifie si la sécurité basée sur la virtualisation est activée.

La sécurité basée sur la virtualisation utilise l'hyperviseur Windows pour fournir un support pour les services de sécurité. La sécurité basée sur la virtualisation nécessite un démarrage sécurisé et peut éventuellement être activée avec l'utilisation de protections DMA. Les protections DMA nécessitent un support matériel et ne sont activées que sur des appareils correctement configurés.

Protection basée sur la virtualisation de l'intégrité du code

Ce paramètre permet la protection basée sur la virtualisation de l'intégrité du code en mode noyau. Lorsque cette option est activée, les protections de mémoire en mode noyau sont appliquées et le chemin d'accès de validation de l'intégrité du code est protégé par la fonctionnalité de sécurité basée sur la virtualisation.

L'option « Désactivé » désactive la protection basée sur la virtualisation de l'intégrité du code à distance si elle a été précédemment activée avec l'option « Activé sans verrou ».

L'option « activé avec verrouillage UEFI » garantit que la protection basée sur la virtualisation de l'intégrité du code ne peut pas être désactivée à distance. Pour désactiver la fonctionnalité, vous devez définir la stratégie de groupe sur « Désactivé » et supprimer la fonctionnalité de sécurité de chaque ordinateur, avec un utilisateur physiquement présent, afin d'effacer la configuration persistante dans UEFI.

L'option « Activé sans verrou » permet à la protection basée sur la virtualisation de l'intégrité du code d'être désactivée à distance à l'aide de la stratégie de groupe.

L'option « Non configuré » laisse le paramètre de stratégie non défini. La stratégie de groupe n'écrit pas le paramètre de stratégie dans le Registre et n'a donc aucune incidence sur les ordinateurs ou les utilisateurs. S'il y a un paramètre actuel dans le Registre, il ne sera pas modifié.

L'option « Exiger une table d'attributs de mémoire UEFI » permet uniquement la protection basée sur la virtualisation de l'intégrité du code sur les appareils avec support du microprogramme UEFI pour la table des attributs de mémoire. Les appareils sans la table des attributs de mémoire UEFI peuvent avoir des microprogrammes qui sont incompatibles avec la protection basée sur la virtualisation de l'intégrité du code qui, dans certains cas, peut entraîner des incidents, des pertes de données ou une incompatibilité avec certaines cartes de plug-in. Si cette option n'est pas paramétrée, les appareils ciblés doivent être testés pour assurer la compatibilité.

Avertissement : tous les pilotes du système doivent être compatibles avec cette fonction ou le système peut se bloquer. Assurez-vous que ce paramètre de stratégie est uniquement déployé sur des ordinateurs reconnus compatibles.

Credential Guard

Ce paramètre permet aux utilisateurs d'activer Credential Guard avec la sécurité basée sur la virtualisation pour protéger les informations d'identification.

L'option « Désactivé » désactive Credential Guard à distance s'il a été précédemment activé avec l'option « Activé sans verrou ».

L'option « Activé avec verrouillage UEFI » garantit que Credential Guard ne peut pas être désactivé à distance. Pour désactiver la fonctionnalité, vous devez définir la stratégie de groupe sur « Désactivé » et supprimer la fonctionnalité de sécurité de chaque ordinateur, avec un utilisateur physiquement présent, afin d'effacer la configuration persistante dans UEFI.

L'option « Activé sans verrou » permet de désactiver Credential Guard à distance à l'aide de la stratégie de groupe. Les appareils qui utilisent ce paramètre doivent exécuter au moins Windows 10 (version 1511).

L'option « Non configuré » laisse le paramètre de stratégie non défini. La stratégie de groupe n'écrit pas le paramètre de stratégie dans le Registre et n'a donc aucune incidence sur les ordinateurs ou les utilisateurs. S'il y a un paramètre actuel dans le Registre, il n'est pas modifié.

Lancement sécurisé

Ce paramètre définit la configuration du Lancement sécurisé de manière à sécuriser la chaîne de démarrage.

Le paramètre « Non configuré » est la valeur par défaut et permet la configuration de la fonctionnalité par les utilisateurs d'administration.

L'option « Activé » active le lancement sécurisé sur le matériel pris en charge.

L'option « Désactivé » désactive le lancement sécurisé, quel que soit le support matériel.

Sélectionner le niveau de sécurité de plateforme :

0. Démarrage sécurisé
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	RequirePlatformSecurityFeatures
   Value Type	REG_DWORD
   Value	1

1. Démarrage sécurisé et protection contre les DMA
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	RequirePlatformSecurityFeatures
   Value Type	REG_DWORD
   Value	3

Protection basée sur la virtualisation de l'intégrité du code :

0. Désactivé
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	0

1. Activé avec le verrouillage UEFI
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	1

2. Activé sans verrouillage
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	2

3. Non configuré
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	HypervisorEnforcedCodeIntegrity
   Value Type	REG_DWORD
   Value	3

Demander la table des attributs de mémoire UEFI

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Value Name	HVCIMATRequired
Value Type	REG_DWORD
Default Value	0
True Value	1
False Value	0

Configuration Credential Guard :

0. Désactivé
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	0

1. Activé avec le verrouillage UEFI
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	1

2. Activé sans verrouillage
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	2

3. Non configuré
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	LsaCfgFlags
   Value Type	REG_DWORD
   Value	3

Configuration de démarrage sécurisé :

0. Non configuré
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	0

1. Activé
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	1

2. Désactivé
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
   Value Name	ConfigureSystemGuardLaunch
   Value Type	REG_DWORD
   Value	2