Device Guard nie działa

Device Guard nie działa wskazuje na niespełnione wymagania sprzętowe wirtualizacji (VBS, Secure Boot, TPM) potrzebne do uruchomienia tej zaawansowanej funkcji ochrony jądra systemu.

Device Guard nie działa — co oznacza ten komunikat

Problem określany jako „Device Guard nie działa” oznacza, że system Windows nie może uruchomić pełnego mechanizmu ochrony opartego na izolowaniu wybranych składników systemu. Funkcja ta korzysta z zabezpieczeń sprzętowych i ustawień firmware’u, aby oddzielić wrażliwe procesy od pozostałej części środowiska Windows. Jeżeli którykolwiek z wymaganych elementów jest wyłączony, niedostępny albo niepoprawnie skonfigurowany, ochrona może pozostać nieaktywna mimo prawidłowego uruchamiania komputera.

Device Guard bywa kojarzony wyłącznie z ustawieniem w Zabezpieczeniach systemu Windows, jednak jego działanie zależy od kilku warstw jednocześnie. Znaczenie mają między innymi tryb uruchamiania systemu, obsługa bezpiecznego rozruchu, moduł TPM, funkcje wirtualizacji procesora oraz zgodność wersji Windows z daną polityką ochrony. Błąd może pojawić się także po aktualizacji systemu, zmianie ustawień UEFI lub przywróceniu domyślnej konfiguracji płyty głównej.

Nie zawsze oznacza to awarię podzespołu. Czasem wykrywana jest jedynie niespójność między konfiguracją firmware’u a ustawieniami zabezpieczeń zapisanymi w systemie. W innych przypadkach problem wynika ze starszego oprogramowania UEFI, niezgodnej polityki zabezpieczeń, wyłączonej funkcji integralności pamięci albo sterownika, który nie spełnia wymagań mechanizmu izolacji.

Wymagania sprzętowe i ustawienia systemowe

Podstawą działania Device Guard jest prawidłowe połączenie funkcji sprzętowych z konfiguracją Windows. W ustawieniach UEFI należy zweryfikować, czy aktywne są opcje związane z wirtualizacją procesora, bezpiecznym rozruchem oraz modułem TPM. Nazwy tych parametrów mogą się różnić zależnie od producenta płyty głównej lub laptopa, dlatego samo odnalezienie jednej opcji nie przesądza jeszcze o poprawności całej konfiguracji.

Istotny jest również tryb startu systemu. Bezpieczny rozruch zwykle wymaga uruchamiania Windows w trybie UEFI, a nie w starszym trybie zgodności. Jeżeli system został zainstalowany przy innym układzie partycji albo komputer jest przełączany pomiędzy trybami startowymi, funkcja może przestać działać. Przed zmianą ustawień należy ustalić aktualny sposób uruchamiania systemu, ponieważ przypadkowe przełączenie trybu może doprowadzić do braku startu Windows.

Weryfikacji wymagają także edycja systemu, aktualność poprawek i stan zasad zabezpieczeń. W niektórych wydaniach dostępne są bardziej rozbudowane mechanizmy ochronne, natomiast w innych zakres funkcji może być ograniczony. Po większej aktualizacji systemu ustawienia zasad lokalnych lub konfiguracja integralności kodu mogą zostać zmienione, a wcześniej działająca ochrona może zgłaszać brak gotowości.

Przydatne jest sprawdzenie informacji systemowych, Podglądu zdarzeń oraz sekcji dotyczących zabezpieczeń urządzenia. Należy odróżnić sytuację, w której funkcja jest wyłączona administracyjnie, od przypadku, gdy system nie spełnia wymagań sprzętowych. W pierwszym wariancie możliwa bywa korekta zasad, w drugim konieczne może być uaktywnienie odpowiednich opcji w UEFI albo zastosowanie urządzenia zgodnego z wymaganiami.

Typowe przyczyny i błędy konfiguracji - Device Guard nie działa

Jedną z częstych przyczyn jest wyłączona wirtualizacja procesora. Może ona działać na poziomie sprzętowym, lecz pozostawać nieaktywna w UEFI. W takiej sytuacji system nie otrzymuje dostępu do mechanizmów potrzebnych do odseparowania chronionych obszarów pamięci. Po włączeniu ustawienia może być wymagane pełne ponowne uruchomienie komputera, a nie tylko wylogowanie użytkownika.

Drugim źródłem problemów jest nieaktywny lub nieprawidłowo zainicjowany TPM. Moduł może być obecny w urządzeniu, ale wyłączony, wyczyszczony albo niewłaściwie rozpoznany po aktualizacji firmware’u. Czyszczenie TPM nie powinno być wykonywane bez sprawdzenia, czy nie są z nim powiązane klucze szyfrowania, dane uwierzytelniające lub mechanizmy ochrony dysku. Przed taką operacją należy zabezpieczyć klucz odzyskiwania i ustalić, jakie konsekwencje będzie miała zmiana stanu modułu.

Device Guard może również nie działać po wyłączeniu Secure Boot. Zdarza się to po instalacji starszego systemu, zmianie karty graficznej, aktualizacji ustawień startowych lub ręcznym przywróceniu konfiguracji UEFI. Samo włączenie bezpiecznego rozruchu nie zawsze rozwiązuje problem, jeżeli system korzysta z niezgodnych sterowników, zmodyfikowanych plików rozruchowych albo nieprawidłowego trybu partycjonowania.

Na działanie ochrony wpływają także sterowniki i aplikacje uruchamiane przy starcie. Starszy sterownik może nie obsługiwać zasad integralności kodu, a oprogramowanie zabezpieczające innego producenta może modyfikować konfigurację ochrony. Warto przeanalizować moment pojawienia się problemu: po aktualizacji sterownika, instalacji programu, zmianie sprzętu lub przywróceniu obrazu systemu. Taka informacja pomaga ograniczyć zakres diagnostyki.

Nie należy traktować każdego komunikatu o niedostępności Device Guard jako sygnału uszkodzenia płyty głównej. Najpierw powinno się ustalić, czy występuje konkretny kod błędu, czy tylko informacja o niespełnieniu wymagań. Należy również sprawdzić, czy problem dotyczy samego Device Guard, czy szerszego zestawu funkcji VBS, takich jak integralność pamięci. Rozróżnienie tych elementów ułatwia dobranie właściwego sposobu naprawy.

Kiedy najlepiej skorzystać z pomocy serwisu - Device Guard nie działa

Zgłoszenie do serwisu jest uzasadnione, gdy po aktualizacji systemu albo zmianie ustawień UEFI pojawia się brak ochrony, komputer uruchamia się niestabilnie lub nie można ustalić, które wymaganie nie jest spełnione. Szczególnej ostrożności wymaga sytuacja, w której włączone jest szyfrowanie dysku, ponieważ zmiana ustawień TPM, Secure Boot albo trybu startowego może spowodować żądanie klucza odzyskiwania.

W ramach diagnostyki sprawdza się konfigurację UEFI, stan TPM, tryb uruchamiania Windows, dostępność wirtualizacji, integralność plików systemowych, sterowniki oraz dzienniki zdarzeń. Analizuje się również, czy problem występuje stale, czy tylko po określonych aktualizacjach lub ponownym uruchomieniu. Pozwala to odróżnić błąd ustawień od niezgodności sprzętowej albo uszkodzenia systemu.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie przy zgłoszeniu laptopa wykonywana jest darmowa diagnoza LAPTOPA. Przed ingerencją w ustawienia ochrony powinno zostać ustalone, czy użytkownik posiada kopię ważnych danych oraz klucze odzyskiwania. Dopiero po tej weryfikacji można bezpiecznie zmieniać konfigurację firmware’u, naprawiać składniki Windows lub przywracać właściwe zasady zabezpieczeń.