Изоляция ядра windows 11 что это включать или нет

Описание технологии

Система безопасности Windows 11 давно не ограничивается штатной программой Microsoft Defender Antivirus. «Изоляция ядра» – еще одна защитная технология, которая обеспечивает безопасность устройства и операционной системы путем запуска важных процессов в специальной виртуализированной области.

Ее главная функция — «Целостность памяти», которая затрудняет получение злоумышленниками доступа к компьютеру через вредоносное программное обеспечение. Перед запуском приложения часть его кода отправляется в изолированную среду, созданную с помощью аппаратной виртуализации, а после проверки, если ничего подозрительного найдено не было, передается обратно операционной системе для выполнения.

В зависимости от устройства и версии ОС «Изоляция ядра» может поддерживать дополнительные функции. К таким относится «Защита ядра DMA», которая блокирует атаки с прямым доступом к памяти через периферийные устройства, подключенные к внешним и внутренним PCI-портам, например Thunderbolt или M.2.

Кроме того, может поддерживаться «System Guard» Защитника Windows – набор инструментов, способных отслеживать и блокировать попытки взлома устройства через прошивку еще до загрузки системы. А также функция защиты учетных данных, которая особенно полезна для офисных и школьных компьютеров, так как позволяет скрывать от мошенников маркеры доступа к различным ресурсам в одной организации.

Управление функцией

«Изоляции ядра» работает в пассивном режиме и каких-то специальных настроек не имеет. Главное, чтобы была включена «Целостность памяти». В Windows 11, по крайней мере в последних ее сборках, технология безопасности обычно активна по умолчанию, но мы на всякий случай покажем, где она находится, а заодно и как ее запустить.

1. Сочетанием клавиш «Windows+I» открываем системные «Параметры», во вкладке «Конфиденциальность и защита» кликаем плитку «Безопасность Windows»,
   

   затем «Безопасность устройства»,

   

   находим блок «Изоляция ядра», жмем на ссылку «Сведения»,

   

   и включаем «Целостность памяти».



2. Альтернативный путь начинается с системного трея. Нажимаем стрелочку вверх на панели задач, кликаем иконку в виде щита,
   

   переходим к инструментам защиты оборудования, а далее таким же образом активируем функцию.



Если все так замечательно, как описывают Microsoft, то, конечно, лучше, чтобы технология работала, но бывают случаи, в которых отключение «Целостности памяти» может пригодиться. И на это есть сразу несколько способов, которые подробно описаны в отдельной статье на нашем сайте.

Подробнее: Отключение изоляции ядра в Windows 11

Возможные проблемы

Учитывая принцип работы «Изоляции ядра», компьютер должен обязательно поддерживать технологию виртуализации и важно, чтобы она была включена везде, где это возможно, начиная с BIOS/UEFI.

Подробнее: Как включить виртуализацию в Windows 11

Кроме того, на компьютере могут быть установлены драйверы, которые несовместимы с этой технологией. И так как их запуск считается более приоритетным, блокируется защитная функция. Обычно это какие-нибудь устаревшие драйверы и тогда оптимальный вариант – обновить их.

Проблема в том, что определить, какие именно драйверы конфликтуют, иногда бывает сложно. Если у вас это получится, попробуйте получить обновления с помощью «Диспетчера устройств». Кроме того, наличие апдейтов можно посмотреть в «Центре обновления Виндовс» или воспользоваться специальными программами, которые подскажут, каких драйверов не хватает на компьютере.

Подробнее:
Как обновить драйвера на компьютере
Программы для установки драйверов

В нашем случае обновить драйверы не получилось, поэтому будем их удалять, но помним, что Microsoft такого делать не рекомендует, ведь есть вероятность, что какое-нибудь оборудование после этого перестанет отвечать. С другой стороны, может быть так, что раньше вы подключали какое-то устройство, а теперь перестали им пользоваться, а значит, и драйверы для него не нужны.

1. Итак, если функция заблокирована из-за несовместимости драйверов, как это показано на скриншоте ниже, открываем их список.



2. Теперь жмем на любой из них
   

   и выясняем имя.



3. Кликаем правой кнопкой мышки «Пуск» и вызываем «Диспетчер устройств».



4. Открываем вкладку «Вид» и выбираем тип сортировки – «Устройства по драйверу».



5. Находим нужную запись, правой кнопкой мышки открываем контекстное меню, жмем «Удалить»,
   

   подключаем опцию принудительного удаления и подтверждаем операцию.



6. Один из драйверов, как видно на скриншоте ниже, не имеет конкретного названия, поэтому мы не смогли его найти в «Диспетчере устройств».



7. В этом случае его можно поискать и удалить в системной папке. Переходим в директорию:

   C:\Windows\System32\drivers

   ищем и удаляем запись.



8. После этого запускаем повторное сканирование
   

   и, если все нормально, функция включится сразу после перезагрузки системы.



Процесс удаления драйверов не всегда завершается успешно, и если это ваш случай, ознакомьтесь с отдельной статьей на нашем сайте, где помимо системных инструментов, используется для этого стороннее программное обеспечение.

Подробнее: Полное удаление драйвера с компьютера

Выключение Core Isolation может помочь в некоторых случаях, например, если вы используете устаревшее приложение, которое несовместимо с этой функцией. Однако перед тем как отключить изоляцию ядра в Windows 11, необходимо убедиться, что это не повлияет на стабильность и безопасность ОС.

Что это такое

Изоляция ядра в Windows 11 — это функция безопасности, разделяющая привилегии между компонентами ОС, чтобы снизить риск повреждения системы вирусами и шпионскими программами. Она ограничивает доступ вредоносного ПО к критическим системным ресурсам, таким как память и процессор, что затрудняет их работу и предотвращает повреждение системы.

Когда следует отключать

Отключать изоляцию нужно в случае, если вы уверены, что это необходимо для работы определенного приложения или драйвера. Если вы решили отключить изоляцию ядра, то обязательно делайте это временно и только для необходимых приложений или драйверов. После использования таких программ не забудьте снова включить изоляцию для обеспечения безопасности системы.

Проверка статуса изоляции

Проверить статус изоляции можно несколькими способами. Первый — с помощью терминала.

1. Нажмите ПКМ на значок Пуска и выберите «Терминал (Администратор)».
2. Впишите следующий запрос: Get-CimInstance -ClassName Win32_DeviceGuard –Namespace root\Microsoft\Windows\DeviceGuard
3. Если указано значение «0», значит изоляция отключена.

Второй метод будет с помощью реестра.

1. Нажмите Win + R и впишите regedit.
2. Перейдите к этому каталогу:

Если в параметре HVCIEnabled указано «0», изоляция отключена. Если стоит «1» — включена.

Отключение или включение функции

Теперь рассмотрим способы отключения и включения изоляции ядра в Windows 11. Все методы описаны с использованием стандартных приложений без дополнительного ПО.

Безопасность Windows

Один из самых простых и стандартных отключения изоляции ядра – через Безопасность Windows.

Безопасность Windows — это компонент, отвечающий за защиту ПК от различных угроз, таких как вирусы, трояны, шпионы и другие виды вредоносного ПО. Он также обеспечивает защиту личных данных пользователя и предотвращает несанкционированный доступ к ПК.

1. Нажмите кнопки Win+I и выберите Конфиденциальность и защита. Запустите Безопасность Windows.
2. Зайдите в «Безопасность устройства».
3. Вы увидите раздел «Изоляция ядра». Вы должны кликнуть на надпись «Сведения об изоляции ядра».
4. Теперь нужно убрать ползунок возле пункта «Целостность памяти» (memory integrity).

Отключение целостности памяти в Windows 11 снимет контроль с драйверов в системе.

Если этот ползунок недоступен, то можете сразу переходить к другим методам.

1. Появится оповещение, в котором будет предложено перезагрузить компьютер. Подтверждаем операцию.

Чтобы вернуть ПК в прежнее состояние, зайдите в приложение Безопасность и включите целостность памяти Windows 11. Не забудьте перезагрузить ПК.

Нужно ли включать целостность памяти? В 80% сборок Windows целостность отключена. Когда целостность работает, она проверяет, что все работающие процессы, авторизованы и не пытаются выполнить несанкционированные операции. Это сильно нагружает систему и снижает производительность (особенно в играх). В первую очередь это касается слабых ПК и ноутбуков.

Отключение в редакторе реестра

Второй способ отключения — с помощью редактора реестра.

1. Зажмите Win + R и впишите запрос regedit.
2. Теперь нужно перейти по таком пути: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

В файле «EnableVirtualizationBasedSecurity» нужно поменять данные на «0». Дважды кликните ЛКМ по параметру, впишите цифру 0 и щёлкните на ОК. Если такого параметра нет, его нужно создать вручную.

1. На свободном месте кликните ПКМ и нажмите Создать>Параметр DWORD 32 бита. Впишите название и укажите значение «0».
2. Перезагрузите ПК.

Редактор локальной групповой политики

Отключить изоляцию ядра в Windows 11 можно с помощью групповых политик. Важно знать, что метод будет работать только на Windows версии Pro или Enterprise.

1. Зажмите Win + R и впишите gpedit.msc и нажмите Enter.
2. Перейдите в каталог по пути Конфигурация компьютера>Административные шаблоны>Система>Device Guard. Кликните дважды по файлу, который выделен на скриншоте ниже:
3. Появится новое окно. Отметьте пункт «Отключено». Затем нажмите на «ОК».
4. Перезагрузите устройство.

Чтобы включить защиту DMA ядра обратно, сделайте то же самое, только в окне, где вы указывали значение «Отключить» нужно выбрать «Включить».

Hyper V

Hyper-V (Hyper-V Virtualization) — это встроенная платформа виртуализации, разработанная корпорацией Microsoft и предназначенная для запуска виртуальных машин (ВМ) на серверах и компьютерах под управлением Windows. Эта технология позволяет создавать и управлять различными виртуальными средами на одном физическом хосте, что делает ее полезной для разработчиков, системных администраторов и технических специалистов.

Если отключить Hyper-V, то это отключит изоляцию ядра. Важно помнить, что пользоваться этим методом стоит только в том случае, когда выше перечисленные способы не принесли результата.

Чтобы отключить Hyper-V нужно сделать следующее:

1. Откройте панель управления через меню Пуск.
2. Вместо категорий выберите «Крупные значки», чтобы появился список значков.
3. Откройте «Программы и компоненты».
4. Щёлкните на пункте «Включение или отключение компонентов Windows».
5. Отключаем Hyper-V снятием галочки возле соответствующего каталога.

Нажмите ОК, и перезапустите ПК. Устройство запустится с обновлённым набором настроек.

Сделать это можно также через редактор реестра.

• Запустите редактор через Пуск, или как мы делали это ранее.
• Затем перейдите по такому пути: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity.
• Щёлкните дважды ЛКМ на параметр «Enabled» и поставьте значение «0».

Возможные проблемы

При отключении изоляции могут возникнуть следующие неприятности:

• Уязвимость системы к вредоносному ПО. Отключение изоляции ядра создаёт уязвимость для атак вирусами, так как они получают больше доступа к службам операционки.
• Проблемы с совместимостью. Устаревшие приложения и драйверы могут работать некорректно. Это может поспособствовать сбоям в работе или потере данных.

Cyber-attacks have changed over the past few years. Rogue hackers can now take over your PC and lock down files unless you are ready to pay them money. These types of attacks are called Ransomware, and they use kernel-level exploits that attempt to run malware with the highest privileges, e.g., WannaCry and Petya ransomware. In order to mitigate these types of attacks, Microsoft has rolled out a feature that allows you to enable Core Isolation and Memory Integrity to prevent such attacks.

What is Core Isolation?

Core isolation is a security feature in Windows that protects important core processes of Windows from malicious software by isolating them in memory, by running those core processes in a virtualized environment. Core Isolation feature include Memory integrity and Kernel-mode Hardware-enforced Stack Protection.

What is Memory Integrity?

Memory integrity, also known as Hypervisor-protected Code Integrity (HVCI) is a security feature in Windows that makes it difficult for malicious programs to use low-level drivers to hijack your computer.

Windows Defender Security Center offer these features. Called Device Security, it offers status reporting and management of security features built into your devices – including toggling features on to provide enhanced protection. However, It doesn’t work on a software level; the hardware needs to support it as well. Your firmware should support Virtualization, which enables the Windows 11/10 PC to run applications in a container, so they don’t get access to other parts of the system.

Your device must meet the requirements for standard hardware security This means your device should support memory integrity and core isolation and also have:

• TPM 2.0 (also referred to as your security processor)
• Secure boot enabled
• DEP
• UEFI MAT.

1. Sign in as an administrator and open Windows Defender Security Center
2. Look for Device Security option.
3. Here you should check if Core Isolation under Virtualization is enabled on your PC.
4. Core isolation provides virtualization-based security features to protect core parts of your device.
5. Click on Core isolation details, and you will be offered to enable Memory Integrity.

Memory integrity (hypervisor-protected code integrity) is a security feature of Core isolation that prevents attacks from inserting malicious code into high-security processes. Toggle to turn it On.

Once enabled, it will ask you to restart the PC to completely enable Memory Integrity.

If later on, you face application compatibility issues, you may need to turn this off.

Related: Memory Integrity greyed out or won’t Turn On/Off.

Enable or Disable Core Isolation and Memory Integrity using Registry

You can also use the Registry, to enable or disable Core isolation Memory integrity using Registry Editor, follow these steps:

1. Press Win+R to open the Run dialog.
2. Type regedit and hit the Enter button.
3. Click on the Yes option.
4. Navigate to Scenarios in HKEY_LOCAL_MACHINE.
5. Right-click on Scenarios > New > Key.
6. Name it as HypervisorEnforcedCodeIntegrity.
7. Right-click on it > New > DWORD (32-bit) Value.
8. Name it as Enabled.
9. Double-click on it to set the Value data as 1 to enable and 0 to disable.
10. Click the OK button.
11. Restart your computer.

To learn more about these steps, keep reading.

Precaution: Before heading to the REGEDIT steps, don’t forget to create a System Restore point.

To get started, press Win+R to open the Run dialog, type regedit, and hit the Enter button. If the UAC prompt appears on your screen, click on the Yes option to open the Registry Editor.

Next, navigate to the following path:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios

Right-click on the Scenarios key > New > Key, and name it as HypervisorEnforcedCodeIntegrity.

Then, you have to create a REG_DWORD value. For that, right-click on HypervisorEnforcedCodeIntegrity > New > DWORD (32-bit) Value, and name it as Enabled.

By default, it comes with a Value data of 0, meaning it is disabled. However, if you want to enable this functionality, double-click on it to set the Value data as 1.

Click the OK button and restart your computer.

Related:

• Core Isolation turned off by itself
• Kernel-mode Hardware-enforced Stack Protection is off

That said, there are two more options that might be available depending on the hardware of your PC.

1. Security Processor only shows up if you have TPM available with your PC hardware. They are discrete chips soldered to a computer’s motherboard by the OEM. To get the most out of TPM, OEM must carefully integrate system hardware and firmware with the TPM to send it commands and react to its responses. The newer TPMs can also provide security and privacy benefits to the system hardware itself. So make sure to check for all of these if you are buying a new PC.
2. Secure Boot prevents malicious code to load up before your OS. They are hard to crack but with secure boot it’s taken care of.

Windows 11/10 also offers Hypervisor Protected Code Integrity (HVCI)  when you start with clean installs. Those who are on old hardware, will have the ability to opt-in post the upgrade using the UI in Windows Defender Security Center (WDSC). This enhancement will ensure that the kernel process that verifies code integrity runs in a secure runtime environment.

What is Memory Integrity Scan Tool?

Memory Integrity Scan Tool is a free tool from Microsoft to check your computer’s compatibility with Memory Integrity or HVCI (Hypervisor-protected code integrity).

You can download the hvciscan.exe for your system architecture (AMD64 or ARM64) from the Microsoft Download Center and from an elevated command window or PowerShell, run hvciscan.exe. THis will help you review the resulting output to identify any incompatibilities.

What is Memory access protection?

Kernel DMA protection or Memory access protection protects your device against attacks that can occur when a malicious device is plugged into a PCI (Peripheral Component Interconnect) port like a Thunderbolt port, by denying direct access to the memory to those devices except under special circumstances, particularly when the PC is locked or the user is signed out.

Read:

• Incompatible driver turns off Memory Integrity in Windows 11
• Standard hardware security not supported in Windows 11
• Virtualization-based Security not enabled in Windows 11.

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.