Как настроить изоляцию ядра в Windows 11

Изоляция ядра (Core Isolation) и защита целостности памяти (HVCI) используют аппаратную виртуализацию для изоляции критических системных процессов от вредоносного кода. Эта технология Microsoft Virtualization Based Security существенно усложняет внедрение руткитов и атак типа kernel exploit. В статье разобраны способы включения функции, совместимость с драйверами и решение типичных конфликтов. Для комплексной защиты рекомендуем также изучить материалы о настройке Defender и настройке брандмауэра.

Что такое изоляция ядра и HVCI

Virtualization Based Security (VBS) создает изолированную среду гипервизора, недоступную даже для кода с привилегиями ядра. Внутри этой среды работает Hypervisor-Protected Code Integrity (HVCI), проверяющий каждый драйвер и модуль ядра перед загрузкой.

Для работы функции требуются:

• 64-разрядный процессор с поддержкой виртуализации (Intel VT-x или AMD-V)
• IOMMU (Intel VT-d или AMD-Vi) для изоляции устройств
• UEFI Secure Boot
• TPM 2.0

На совместимых системах HVCI включен по умолчанию при чистой установке Windows 11. На обновленных системах может потребоваться ручная активация. Прочитайте подробнее на сайте Microsoft: документация HVCI.

Включение изоляции ядра через Центр безопасности

Стандартный путь включения через графический интерфейс:

1. Нажмите Win + S и введите Безопасность Windows.
2. Откройте раздел Безопасность устройства.
3. Нажмите Сведения об изоляции ядра.
4. Переведите переключатель Целостность памяти в положение Вкл.
5. Перезагрузите компьютер при появлении запроса.

Если переключатель недоступен или отображается предупреждение о несовместимых драйверах, следуйте инструкциям в следующих разделах.

Убедитесь, что виртуализация включена в BIOS/UEFI. Обычно параметр называется Intel Virtualization Technology или SVM Mode для AMD.

Включение через PowerShell и реестр

Для автоматизации или при проблемах с GUI используйте командную строку. Запустите PowerShell от имени администратора:

# Включить VBS и HVCI через реестр
reg add "HKLMSYSTEMCurrentControlSetControlDeviceGuard" /v EnableVirtualizationBasedSecurity /t REG_DWORD /d 1 /f

reg add "HKLMSYSTEMCurrentControlSetControlDeviceGuard" /v RequirePlatformSecurityFeatures /t REG_DWORD /d 3 /f

reg add "HKLMSYSTEMCurrentControlSetControlDeviceGuardScenariosHypervisorEnforcedCodeIntegrity" /v Enabled /t REG_DWORD /d 1 /f

После выполнения команд перезагрузите систему. Подробнее об работе с реестром через командную строку читайте в нашей статье про основах PowerShell.

Проверить статус VBS можно командой:

msinfo32

В строке Virtualization-based security должно быть Running.

Устранение конфликтов с драйверами

HVCI блокирует драйверы, не соответствующие требованиям подписи. Центр безопасности отображает список несовместимых драйверов с рекомендацией удалить их.

Шаги по устранению конфликтов:

1. В предупреждении нажмите на имя проблемного драйвера для поиска информации.
2. Проверьте наличие обновленной версии на сайте производителя устройства.
3. Если обновление недоступно, удалите устройство через Диспетчер устройств.
4. После удаления всех несовместимых драйверов повторно включите HVCI.

Список проблемных драйверов через PowerShell:

# Список драйверов, несовместимых с HVCI
Get-WindowsDriver -Online | Where-Object {{$_.BootCritical -eq $false}} | Format-Table Driver,Version

Частые источники конфликтов: старые драйверы звуковых карт, виртуальных сетевых адаптеров и утилит разгона процессора.

Влияние на производительность и рекомендации

HVCI добавляет накладные расходы при каждой загрузке страниц памяти ядром. В типичных офисных сценариях снижение производительности незаметно. В задачах, активно использующих ядро (виртуализация, интенсивная компиляция), потери могут достигать 5%. Для игровых систем влияние минимально.

Рекомендации:

• Оставьте HVCI включенным на рабочих и корпоративных компьютерах
• На игровых ПК оцените влияние опытным путем перед отключением
• Всегда создавайте точках восстановления перед изменением настроек безопасности
• Дополните защиту настройками настройке Defender

Лицензионная Windows 11 с полной поддержкой всех функций безопасности доступна в нашем каталоге Windows.

Комплексный подход к безопасности Windows

Одна настройка безопасности не защищает систему. Работает только комплекс мер, где каждый уровень дополняет остальные.

Уровни защиты

Для максимальной защиты используйте Windows 11 Pro или Enterprise — эти редакции включают BitLocker, групповые политики и Hyper-V. Ключи доступны в каталоге Windows 11.

Аудит текущего состояния безопасности

# Проверка состояния защитника Windows
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated

# Состояние BitLocker
manage-bde -status

# Проверка Secure Boot
Confirm-SecureBootUEFI

Рекомендации для корпоративной среды

В организациях настройка безопасности отличается от домашней. Масштаб и требования к контролю выше.

Групповые политики (GPO)

Все описанные в статье настройки можно централизованно развернуть через GPO на домен Active Directory. Это гарантирует единообразие конфигурации на всех рабочих станциях.

Минимальные требования для бизнеса

• Windows 11 Pro или Enterprise на всех рабочих станциях
• BitLocker включен на системных и съемных дисках
• Windows Hello for Business для аутентификации
• LAPS для управления локальными паролями администратора
• Microsoft Defender for Endpoint или аналог

Для серверной инфраструктуры используйте Windows Server с актуальными обновлениями безопасности. Лицензии доступны в каталоге Windows Server.

Советы по устранению проблем

Если описанные выше методы не дали результата, попробуйте расширенный набор действий. Каждый шаг проверен на практике и занимает не более 10 минут.

Проверка обновлений Windows

Убедитесь, что установлены все доступные обновления. Многие ошибки исправляются именно через обновления:

# Проверка и установка обновлений через PowerShell
# Установка модуля (один раз)
Install-Module PSWindowsUpdate -Force -Scope CurrentUser
# Проверка доступных обновлений
Get-WindowsUpdate
# Установка всех обновлений
Install-WindowsUpdate -AcceptAll

Чистая загрузка Windows

Сторонние программы и службы могут конфликтовать с системными функциями. Чистая загрузка отключает все лишнее и помогает изолировать проблему:

1. Нажмите Win + R, введите msconfig
2. На вкладке Службы поставьте галочку Не отображать службы Microsoft
3. Нажмите Отключить все
4. Перейдите на вкладку Автозагрузка > Открыть диспетчер задач
5. Отключите все элементы автозагрузки
6. Перезагрузите компьютер

Если проблема исчезла в чистой загрузке, включайте службы по одной, перезагружаясь каждый раз. Так вы найдете конфликтующую программу.

Создание нового профиля пользователя

Поврежденный профиль вызывает множество непредсказуемых сбоев. Создайте тестовый аккаунт:

# Создание нового локального администратора
net user TestAdmin Pa$$w0rd /add
net localgroup Administrators TestAdmin /add

Войдите под новым аккаунтом и проверьте, сохраняется ли проблема. Если нет — дело в профиле. Перенесите эти из старого профиля в новый через папку C:Users.

Настройка Core Isolation через групповые политики

В корпоративной среде ручная настройка каждого компьютера неэффективна. Групповые политики (GPO) решают задачу централизованно.

Через редактор локальных политик

1. Нажмите Win + R, введите gpedit.msc
2. Перейдите: Конфигурация компьютера > Административные шаблоны > Система > Device Guard
3. Откройте Включить средство защиты на основе виртуализации
4. Установите значение Включено
5. В разделе Целостность кода выберите нужный уровень защиты

Проверка через PowerShell

# Проверка статуса HVCI (Hypervisor-protected Code Integrity)
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard | Select-Object -Property VirtualizationBasedSecurityStatus, SecurityServicesRunning

# Значения VirtualizationBasedSecurityStatus:
# 0 = выключено, 1 = включено, 2 = работает

Для работы Core Isolation необходим процессор с поддержкой виртуализации (Intel VT-x или AMD-V) и включенная виртуализация в BIOS. Проверьте: Диспетчер задач > Производительность > ЦП > Виртуализация.

Совместимость с программами

Core Isolation может конфликтовать с некоторыми старыми драйверами и программами виртуализации. Если после включения возникают BSOD или не запускаются программы:

• Проверьте список несовместимых драйверов: Безопасность Windows > Безопасность устройства > Изоляция ядра > Несовместимые драйверы
• Обновите проблемные драйверы через сайт производителя
• Если драйвер не обновляется — временно отключите Core Isolation до выхода обновления

Часто задаваемые вопросы

Почему переключатель целостности памяти недоступен?

Причины: виртуализация отключена в BIOS, Secure Boot выключен, TPM 2.0 отсутствует, или групповая политика организации запрещает изменение параметра.

Можно ли включить HVCI без TPM 2.0?

Технически VBS может работать без TPM, но ряд функций защиты будет недоступен. На Windows 11 TPM 2.0 — это системным требованием.

Отключает ли HVCI возможность разгона?

Не напрямую. Однако некоторые утилиты разгона используют неподписанные драйверы, которые HVCI заблокирует. Для разгона нужно будет либо обновить утилиту, либо отключить HVCI.

Как проверить, что HVCI работает?

Откройте msinfo32 и найдите строку Virtualization-based security services running. Там должны быть Credential Guard и Hypervisor enforced Code Integrity.