Изоляция ядра Windows 11¶
Изоляция ядра Windows 11 — набор средств аппаратной и программной защиты операционной системы Windows 11, обеспечивающих разделение ядра ОС и критически важных процессов от пользовательского кода. Технология объединяет виртуализацию на основе гипервизора Microsoft Hyper-V, безопасную загрузку (Secure Boot), модуль доверенной платформы (TPM 2.0), а также механизм изоляции памяти (Memory Integrity), известный в ранних версиях как HVCI (Hypervisor-protected Code Integrity). С 2024 года Microsoft также развивает технологию изоляции ядра VBS Enclave для изоляции пользовательского кода.
¶Состав и принцип работы
Изоляция ядра реализуется через виртуальную машину безопасности (Virtualization-Based Security, VBS), которая создаётся гипервизором Hyper-V ещё до запуска основной операционной системы. При включённой VBS ядро Windows запускается в виртуальной машине высокого уровня (VM), а часть критических компонентов, включая подсистему Credential Guard, выносится в изолированные виртуальные машины. Такое разделение позволяет защитить механизмы аутентификации и целостность кода даже при компрометации основного ядра.
Ключевые компоненты:
- Memory Integrity (HVCI) — принудительная проверка цифровой подписи всех исполняемых в режиме ядра страниц памяти. Неподписанный драйвер не загружается.
- Credential Guard — изоляция хешей паролей и билетов Kerberos в отдельной виртуальной машине, защищающая от атак типа «pass-the-hash».
- Secure Boot — проверка подписи загрузчика и компонентов UEFI при старте.
- TPM 2.0 — аппаратное хранилище ключей и измерений платформы.
Для работы изоляции ядра требуется поддержка виртуализации аппаратных средств (Intel VT-x, AMD-V, SLAT), TPM 2.0 и совместимый процессор. На старом оборудовании без TPM 2.0 или с отключённой виртуализацией в BIOS/UEFI технология недоступна.
¶Как отключить изоляцию ядра
Отключение изоляции ядра снижает уровень защиты системы и может сделать её уязвимой для руткитов и вредоносных драйверов. Microsoft рекомендует оставлять технологию включённой, однако в ряде случаев (низкая производительность в играх, несовместимость со старыми драйверами, необходимость отладки) пользователи прибегают к её временному отключению.
¶Через параметры безопасности Windows
- Открыть «Параметры» → «Конфиденциальность и безопасность» → «Безопасность Windows» → «Безопасность устройства».
- В разделе «Изоляция ядра» нажать «Детали изоляции ядра».
- Переключить «Целостность памяти» в положение «Выкл.».
- Перезагрузить компьютер.
В некоторых сборках Windows 11 пункт «Изоляция ядра» доступен по пути «Параметры» → «Конфиденциальность и безопасность» → «Безопасность Windows» → «Безопасность устройства» → «Изоляция ядра».
¶Через редактор реестра
Ключ HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity содержит параметр Enabled (DWORD). Установка значения 0 отключает HVCI после перезагрузки. Для включения параметр возвращается к значению 1.
¶Через локальные групповые политики
В редакторе локальных групповых политик (gpedit.msc) раздел «Конфигурация компьютера» → «Административные шаблоны» → «Система» → «Изоляция ядра» содержит политики «Включить безопасность ядра» и «Принудительная проверка целостности памяти». Политики применимы в редакциях Windows Pro, Enterprise и Education.
¶Через командную строку (для продвинутых сценариев)
Утилита bcdedit позволяет управлять загрузкой гипервизора:
`` bcdedit /set hypervisorlaunchtype off ``
Команда отключает запуск гипервизора при загрузке, что полностью прекращает работу VBS, включая Credential Guard и HVCI. Для включения используется значение auto. Изменения вступают в силу после перезагрузки.
¶Влияние на производительность и совместимость
Включение изоляции ядра увеличивает время загрузки системы и добавляет накладные расходы на операции с памятью. По данным независимых тестов, в играх и приложениях, интенсивно работающих с памятью, прирост производительности при отключении HVCI может составлять от 2 до 10 процентов. В серверных сценариях с высокой нагрузкой на ядро эффект сопоставим.
Отключение изоляции ядра может потребоваться при использовании старых драйверов без цифровой подписи, некоторых античит-систем, а также при отладке драйверов. Ряд эмуляторов и виртуальных машин (например, старые версии Android-эмуляторов) также может конфликтовать с гипервизором Hyper-V.
¶Изоляция ядра VBS Enclave
В 2024 году Microsoft представила технологию VBS Enclave, которая использует механизм изоляции ядра для защиты пользовательского кода, а не только системных компонентов. VBS Enclave позволяет разработчикам запускать критические фрагменты приложений (криптографию, обработку ключей) в изолированной виртуальной машине, недоступной основной ОС. Технология доступна в Windows 11 и Windows Server 2025, поддерживается в Visual Studio и рассчитана на корпоративные сценарии защиты данных.
¶См. также
- Hyper-V
- Trusted Platform Module
- Secure Boot
- Credential Guard
¶Источники
- Документация Microsoft Learn: Virtualization-Based Security
- Microsoft TechCommunity: Memory Integrity (HVCI) deployment guidance
- Документация Microsoft по VBS Enclave