Aktiver virtualiseringsbasert sikkerhet

Angir om Virtualiseringsbasert sikkerhet er aktivert.

Virtualiseringsbasert sikkerhet bruker Windows Hypervisor til å gi støtte for sikkerhetstjenester. Virtualiseringsbasert sikkerhet krever sikker oppstart, og du kan også aktivere ved hjelp av DMA-beskyttelse. DMA-beskyttelse krever maskinvarestøtte og aktiveres bare på riktig konfigurerte enheter.

Virtualiseringsbasert beskyttelse av kodeintegritet

Denne innstillingen aktiverer Virtualiseringsbasert beskyttelse av kodeintegritet for kjernemodus. Når dette er aktivert, håndheves beskyttelser for kjernemodusminnet og banen for validering av kodeintegritet beskyttes av funksjonen Virtualiseringsbasert sikkerhet.

Alternativet Deaktivert deaktiverer Virtualiseringsbasert beskyttelse av kodeintegritet eksternt hvis det tidligere ble aktivert med alternativet Aktivert uten lås.

Alternativet Aktivert med UEFI-lås sikrer at Virtualiseringsbasert beskyttelse av kodeintegritet ikke kan deaktiveres eksternt. Hvis du vil deaktivere funksjonen, må du sette gruppepolicyen til Deaktivert og i tillegg fjerne sikkerhetsfunksjonene fra hver datamaskin som har en pålogget bruker, for å fjerne konfigurasjonen i UEFI.

Alternativet Aktivert uten lås tillater at Virtualiseringsbasert beskyttelse av kodeintegritet kan deaktiveres eksternt ved hjelp av gruppepolicy.

Alternativet Ikke konfigurert lar policyinnstillingen være udefinert. Gruppepolicy skriver ikke policyinnstillingen til registret, og dermed har den ingen innvirkning på datamaskiner eller brukere. Hvis det finnes en gjeldende innstilling i registret, blir den ikke endret.

Alternativet Krev attributtabell for UEFI-minne aktiverer bare Virtualiseringsbasert beskyttelse av kodeintegritet på enheter med UEFI-fastvarestøtte for minneattributtabellen. Enheter uten attributtabell for UEFI-minne kan ha fastvare som er inkompatibel med Virtualiseringsbasert beskyttelse av kodeintegritet, som i enkelte tilfeller kan føre til krasj eller datatap eller manglende kompatibilitet med bestemte kort for plugin-moduler. Målrettede enheter som ikke angir dette alternativet, bør testes for å sikre kompatibilitet.

Advarsel: Alle drivere i systemet må være kompatible med denne funksjonen, ellers kan det hende systemet krasjer. Sørg for at denne policyinnstillingen bare brukes på datamaskiner som er kjent for å være kompatible.

Credential Guard

Denne innstillingen lar brukere aktivere Credential Guard med virtualiseringsbasert sikkerhet for å beskytte legitimasjon.

Alternativet Deaktivert deaktiverer Credential Guard eksternt hvis det tidligere ble aktivert med alternativet Aktivert uten lås.

Alternativet Aktivert med UEFI-lås sikrer at Credential Guard ikke kan deaktiveres eksternt. Hvis du vil deaktivere funksjonen, må du sette gruppepolicyen til Deaktivert og i tillegg fjerne sikkerhetsfunksjonene fra hver datamaskin som har en pålogget bruker, for å fjerne konfigurasjonen i UEFI.

Alternativet Aktivert uten lås tillater at Credential Guard deaktiveres eksternt ved hjelp av Gruppepolicy. Enhetene som bruker denne innstillingen, må kjøre minst Windows 10 (versjon 1511).

Alternativet Ikke konfigurert lar policyinnstillingen være udefinert. Gruppepolicy skriver ikke policyinnstillingen til registret, og dermed har den ingen innvirkning på datamaskiner eller brukere. Hvis det finnes en gjeldende innstilling i registret, blir den ikke endret.

Sikker oppstart

Denne innstillingen setter konfigurasjonen for Sikker oppstart til å sikre startkjeden

Innstillingen Ikke konfigurert er standard, og tillater at funksjonen kan konfigureres av administratorer.

Alternativet Aktivert aktiverer Sikker oppstart på maskinvare som støttes.

Alternativet Deaktivert deaktiverer Sikker oppstart uavhengig av maskinvarestøtte.

Støttes av: Minst Windows 10 Server, Windows 10 eller Windows 10 RT

Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Value NameEnableVirtualizationBasedSecurity
Value TypeREG_DWORD
Enabled Value1
Disabled Value0

Velg plattformsikkerhetsnivå:


  1. Sikker oppstart
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameRequirePlatformSecurityFeatures
    Value TypeREG_DWORD
    Value1
  2. Sikker oppstart og DMA-beskyttelse
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameRequirePlatformSecurityFeatures
    Value TypeREG_DWORD
    Value3

Virtualiseringsbasert beskyttelse av kodeintegritet:


  1. Deaktivert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameHypervisorEnforcedCodeIntegrity
    Value TypeREG_DWORD
    Value0
  2. Aktivert med UEFI-lås
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameHypervisorEnforcedCodeIntegrity
    Value TypeREG_DWORD
    Value1
  3. Aktivert uten lås
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameHypervisorEnforcedCodeIntegrity
    Value TypeREG_DWORD
    Value2
  4. Ikke konfigurert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameHypervisorEnforcedCodeIntegrity
    Value TypeREG_DWORD
    Value3

Krev attributtabellen for UEFI-minne
Registry HiveHKEY_LOCAL_MACHINE
Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Value NameHVCIMATRequired
Value TypeREG_DWORD
Default Value0
True Value1
False Value0
Konfigurasjon for Credential Guard:


  1. Deaktivert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameLsaCfgFlags
    Value TypeREG_DWORD
    Value0
  2. Aktivert med UEFI-lås
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameLsaCfgFlags
    Value TypeREG_DWORD
    Value1
  3. Aktivert uten lås
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameLsaCfgFlags
    Value TypeREG_DWORD
    Value2
  4. Ikke konfigurert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameLsaCfgFlags
    Value TypeREG_DWORD
    Value3

Konfigurasjon av sikker oppstart:


  1. Ikke konfigurert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameConfigureSystemGuardLaunch
    Value TypeREG_DWORD
    Value0
  2. Aktivert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameConfigureSystemGuardLaunch
    Value TypeREG_DWORD
    Value1
  3. Deaktivert
    Registry HiveHKEY_LOCAL_MACHINE
    Registry PathSOFTWARE\Policies\Microsoft\Windows\DeviceGuard
    Value NameConfigureSystemGuardLaunch
    Value TypeREG_DWORD
    Value2


deviceguard.admx

Administrative maler (datamaskiner)

Administrative maler (brukere)