Virtualization-based Security wyłączone

Virtualization-based Security wyłączone ogranicza dostępność funkcji takich jak izolacja rdzenia czy Credential Guard.

Rola Virtualization-based Security w systemie Windows

Virtualization-based Security (VBS) to mechanizm zabezpieczeń systemu Windows, który wykorzystuje hypervisor do utworzenia odizolowanego środowiska ochronnego. Część operacji związanych z bezpieczeństwem może być wykonywana poza zwykłym środowiskiem jądra systemu. Dzięki temu kod działający z wysokimi uprawnieniami ma utrudniony dostęp do wybranych mechanizmów ochronnych i danych zabezpieczanych przez system. VBS nie jest osobnym programem instalowanym jak aplikacja, lecz funkcją systemową zależną od konfiguracji Windows, firmware’u UEFI oraz możliwości procesora.

Status „Virtualization-based Security wyłączone” oznacza, że ochrona oparta na izolowanym środowisku nie działa w bieżącej konfiguracji. Nie musi to oznaczać awarii sprzętu ani uszkodzenia systemu. Funkcja może być wyłączona celowo przez ustawienia systemowe, zasady grupy, konfigurację rejestru, oprogramowanie producenta komputera albo ustawienia UEFI. Przyczyną może być również brak wymaganych funkcji sprzętowych, niezgodność sterownika lub konfiguracja systemu po aktualizacji albo zmianie podzespołów.

Izolacja rdzenia, HVCI i Credential Guard

Wyłączenie VBS ogranicza możliwość uruchomienia funkcji korzystających z tej warstwy ochronnej. Jedną z nich jest integralność pamięci, znana także jako Hypervisor-protected Code Integrity (HVCI). HVCI sprawdza, czy kod jądra i sterowniki spełniają wymagania integralności, zanim zostaną dopuszczone do działania. Gdy VBS jest wyłączone, integralność pamięci może być niedostępna, wyłączona albo nieuruchomiona, zależnie od wersji Windows i pozostałych ustawień zabezpieczeń.

Drugim przykładem jest Credential Guard. Mechanizm ten wykorzystuje izolację zapewnianą przez VBS do ograniczenia dostępu do wybranych poświadczeń przechowywanych przez system. Nie należy jednak utożsamiać wyłączonego VBS z automatyczną utratą wszystkich zabezpieczeń logowania. Windows nadal może korzystać z innych mechanizmów ochrony, takich jak Secure Boot, Windows Defender, kontrola uprawnień czy zasady uwierzytelniania. Wyłączenie VBS oznacza konkretną utratę warstwy izolacji, a nie całkowite wyłączenie zabezpieczeń komputera.

Sprawdzenie przyczyny statusu „wyłączone”

Podstawową informację można sprawdzić w aplikacji „Informacje o systemie”, uruchamianej poleceniem msinfo32. W sekcji dotyczącej zabezpieczeń opartych na wirtualizacji system może wskazywać, czy funkcja jest włączona, uruchomiona, skonfigurowana przez zasady albo niedostępna z powodu niespełnienia wymagań. Warto rozróżnić stan skonfigurowany od stanu faktycznie działającego: samo ustawienie polityki nie dowodzi, że hypervisor został poprawnie uruchomiony.

Dokładniejsze dane można odczytać w PowerShellu z klasy WMI Win32_DeviceGuard. Polecenie Get-CimInstance -ClassName Win32_DeviceGuard zwraca między innymi właściwość VirtualizationBasedSecurityStatus. Wartość 0 oznacza wyłączenie VBS, wartość 1 oznacza funkcję włączoną, lecz nieuruchomioną, a wartość 2 oznacza funkcję włączoną i działającą. Właściwości dotyczące uruchomionych usług bezpieczeństwa pomagają ustalić, czy aktywne są takie składniki jak Credential Guard albo integralność kodu chroniona przez hypervisor. Sama obecność klasy WMI nie oznacza jednak, że wszystkie funkcje VBS są dostępne na danym komputerze.

Przywracanie działania i kontrola zgodności

Przywracanie VBS powinno rozpocząć się od sprawdzenia obsługi sprzętowej w UEFI. Procesor musi udostępniać sprzętową wirtualizację, na przykład Intel VT-x albo AMD-V, a firmware powinien mieć ją aktywną. W zależności od konfiguracji znaczenie mogą mieć także funkcje ochrony dostępu do pamięci urządzeń, Secure Boot oraz ustawienia związane z modułem TPM. Nazwy opcji różnią się między producentami płyt głównych i laptopów, dlatego nie należy zakładać jednej uniwersalnej ścieżki menu UEFI.

Następnie trzeba sprawdzić ustawienia zabezpieczeń Windows, lokalne zasady grupy oraz wpisy konfigurujące Device Guard i Credential Guard. Włączenie funkcji bez sprawdzenia sterowników może spowodować problemy ze starszym oprogramowaniem, ponieważ HVCI może odrzucać niezgodny sterownik trybu jądra. Jeżeli VBS ma pozostać wyłączone, należy traktować to jako świadomą zmianę poziomu ochrony i zweryfikować, czy nie wyłączono przy okazji integralności pamięci lub innych wymaganych zabezpieczeń. W przypadku diagnostyki laptopa albo komputera PC analizuje się wersję Windows, ustawienia UEFI, stan mechanizmu wirtualizacji, dzienniki systemowe, sterowniki i wynik klasy Win32_DeviceGuard, a dopiero potem dobiera zmianę konfiguracji.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, w tym diagnostykę problemów związanych z konfiguracją zabezpieczeń systemu Windows.