Configuration de l'isolation du noyau et de l'intégrité de la mémoire sous Windows

Si vous utilisez Windows 10 ou 11, vous avez probablement déjà vu cette notification. isolation du noyau e « Intégrité de la mémoire désactivée » Dans la sécurité Windows, beaucoup la considèrent comme importante, mais son fonctionnement, ses avantages, ses risques et sa configuration restent flous, notamment avec l'utilisation d'outils comme Hyper-V, de solutions tierces ou d'antivirus utilisant la virtualisation.

Vous trouverez dans les lignes qui suivent un guide très complet pour comprendre ce qu'ils sont. Isolation du noyau et intégrité de la mémoire, comment ils fonctionnent en interne (y compris le composant de virtualisation basé sur la sécurité, VBS), comment les activer ou les désactiver à partir de l'interface graphique, du Registre ou via des stratégies, comment vérifier que tout fonctionne et quels problèmes courants vous pourriez rencontrer, tels que des conflits avec des pilotes, des logiciels comme BlueStacks ou la virtualisation. matériel de Kaspersky.

Qu'est-ce que l'isolation du noyau dans Windows ?

L'appel isolation du noyau Il s'agit d'une fonctionnalité de sécurité avancée incluse dans Windows 10 et Windows 11 qui tire parti de la virtualisation pour séparer le noyau du système d'exploitation du reste des processus qui s'exécutent sur l'ordinateur. L'idée est simple : si le noyau s'exécute dans un environnement plus isolé et contrôlé, il est beaucoup plus difficile qu'un malware ou qu'un attaquant parvienne à injecter du code dans cette zone sensible.

Lorsque vous activez l'isolation du noyau, Windows crée un environnement protégé et virtualisé C'est là que s'exécutent les composants critiques du système, afin qu'un code malveillant provenant d'un fichier, d'un pilote défectueux ou d'une application ne puisse pas accéder directement à la mémoire du noyau. Cette séparation logique repose sur les technologies de virtualisation matérielle et l'hyperviseur Microsoft.

Imaginez que vous ouvrez un Pièce jointe à l'email infectée par un logiciel malveillantSans isolation du noyau, une faille de sécurité bien conçue pourrait exploiter une vulnérabilité du système pour élever ses privilèges et écrire dans des zones de mémoire critiques, affectant ainsi le noyau et compromettant totalement le système. Avec l'isolation du noyau activée, une telle attaque est « confinée » à un environnement où elle ne peut pas manipuler directement le noyau, réduisant considérablement son impact.

En plus d'isoler les processus, le système exploite la mémoire matérielle pour stocker les informations sensibles dans des zones protégéesCela réduit la surface d'attaque. Cela ne remplace pas les logiciels antivirus ni les autres mesures de sécurité. bonnes pratiquesMais cela ajoute une couche de protection supplémentaire très efficace contre les menaces sophistiquées.

Qu’est-ce que l’intégrité de la mémoire et quel rôle joue-t-elle dans la sécurité ?

Au sein même de l'isolement du noyau, la partie la plus importante est ce que l'on appelle intégrité de la mémoire ou l'intégrité de la mémoire. Cette fonctionnalité repose sur sécurité basée sur la virtualisation (VBS) Windows exécute le mécanisme d'intégrité du code du noyau dans un environnement virtuel isolé, totalement séparé du système d'exploitation normal.

En pratique, l'intégrité de la mémoire garantit que Seul le code correctement signé peut être chargé dans le noyau. et considéré comme fiable. Pour ce faire, il utilise l'hyperviseur Windows, qui crée un petit « monde souterrain » sécurisé faisant office de racine de confiance, même si le noyau principal était compromis. Si vous devez tester du code non signé dans des environnements contrôlés, consultez la documentation. activer le mode développeur de manière sécuritaire

L'une des principales capacités de cette fonction est que limite les allocations de mémoire du noyau Ces mécanismes pourraient être utilisés pour exploiter des vulnérabilités ou élever les privilèges. Si un attaquant tente de modifier des structures de mémoire critiques après l'activation de l'intégrité de la mémoire, le système les bloque ou provoque une défaillance contrôlée avant de permettre à la menace de se poursuivre.

Une autre tâche importante consiste à protéger des éléments tels que bitmap de protection du flux de contrôle (CFG) des pilotes en mode noyauCette structure permet à Windows de surveiller le flux d'exécution du code dans le noyau ; si un logiciel malveillant parvient à la modifier, il pourrait rediriger l'exécution vers des parties malveillantes. Grâce à l'intégrité de la mémoire, ce type de manipulation devient beaucoup plus difficile.

De plus, l'intégrité de la mémoire protège le processus d'intégrité du code en mode noyauIl est chargé de vérifier que les autres processus noyau de confiance possèdent des certificats valides et que le code chargé n'a pas été modifié. En cas d'anomalie, le chargeur de pilotes bloque l'exécution.

Relation entre VBS, l'isolation du noyau et l'intégrité de la mémoire

Pour bien le comprendre, il est conseillé différencier plusieurs concepts que Windows utilise conjointement, bien qu'on les considère souvent comme une seule et même chose :

• VBS (sécurité basée sur la virtualisation)Il s'agit de la technologie de base utilisée par l'hyperviseur Windows pour créer un ou plusieurs conteneurs de mémoire protégés. Les services de sécurité s'exécutent au sein de ces conteneurs, que le système considère comme plus fiables que le noyau lui-même.
• Isolation du noyau: désigne l'ensemble des fonctionnalités visibles par l'utilisateur dans la sécurité Windows qui utilisent VBS pour protéger le noyau et d'autres processus critiques.
• Intégrité de la mémoire: est l'un des composants de l'isolation du noyau, spécifiquement responsable de l'intégrité du code du noyau et de la limitation des allocations de mémoire dangereuses.

Il est possible d'activer uniquement VBS sans activer l'intégrité de la mémoire, ou combiner VBS et intégrité de la mémoire pour bénéficier d'une protection bien plus robuste, ce que Microsoft recommande dans la plupart des contextes professionnels et commerciaux.

Comment activer ou désactiver l'isolation du noyau et l'intégrité de la mémoire depuis l'interface

Pour un utilisateur à domicile, le moyen le plus simple de contrôler ces fonctions est via l'application elle-même. Sécurité Windowsqui est généralement accessible via l'icône bleue en forme de bouclier située dans la barre d'état système, à côté de l'horloge. Si vous ne la voyez pas, vous pouvez rechercher « Sécurité Windows » à l'aide de la combinaison de touches [Ctrl+C]. Windows + S.

Une fois l'application ouverte, accédez à la section « Sécurité des appareils »Vous y verrez un bloc appelé « Isolation du noyau »Sur de nombreux appareils, un message apparaît qui ressemble à ceci : «L'intégrité de la mémoire est désactivée. L'appareil peut être vulnérable.« », ce qui indique que l’isolation du noyau est disponible, mais que la partie relative à l’intégrité de la mémoire ne fonctionne pas.

Pour le modifier, appuyez sur « Détails de l’isolation du noyau »Un écran avec des options avancées s'ouvrira, parmi lesquelles vous trouverez le commutateur pour « Intégrité de la mémoire »Une fois activée, cette option Windows bloquera le chargement des pilotes ou du code du noyau qui ne répondent pas aux exigences de sécurité.

Sur ce même écran, l'option permettant d'apparaître également est généralement affichée. « Liste des pilotes Microsoft vulnérables »Lorsqu'elle est activée, cette fonction empêche l'exécution des pilotes que Microsoft a signalés comme problématiques ou présentant des vulnérabilités connues, ajoutant ainsi une couche de protection supplémentaire contre les attaques basées sur des pilotes malveillants.

Après avoir activé l'intégrité de la mémoire, il est normal que Windows vous pose la question suivante : Redémarrez le système Pour appliquer les modifications, une notification s'affichera en bas à droite avec un bouton permettant de redémarrer directement. Après le redémarrage, si tout se déroule correctement, une icône de confirmation verte apparaîtra à côté de « Isolation du noyau » dans « Sécurité de l'appareil », indiquant que la protection est active.

Configuration avancée via le Registre pour VBS et l'intégrité de la mémoire

Dans un environnement professionnel ou lorsque vous souhaitez automatiser la configuration sur plusieurs ordinateurs, il est courant d'utiliser Registre Windows et scripts (Avant de toucher quoi que ce soit, faites un sauvegarde du registre) pour activer ou optimiser VBS et l'intégrité de la mémoire. Les clés correspondantes se trouvent sous le chemin :

HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard

Une configuration recommandée L'activation de VBS et de l'intégrité de la mémoire sans verrouillage dans UEFI implique la définition des valeurs suivantes depuis une console disposant de privilèges d'administrateur :

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Locked" /t REG_DWORD /d 0 /f

Si vous souhaitez affiner les réglages, vous pouvez Utilisez chaque clé séparément selon ce que vous devez activer :

• Activer uniquement VBS (sans intégrité de la mémoire)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
• Exiger seulement Botte Démarrage sécurisé pour VBS (valeur 1)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
• Démarrage sécurisé et protection DMA requis pour VBS (valeur 3)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 3 /f
• Configurer VBS sans verrouillage UEFI (Verrouillé = 0)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 0 /f
• Configurer VBS avec verrouillage UEFI permanent (Verrouillé = 1)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 1 /f
• Activer l'intégrité de la mémoire (HVCI)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 1 /f
• Configurer l'intégrité de la mémoire non verrouillée UEFI (Verrouillé = 0)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Locked" /t REG_DWORD /d 0 /f
• Configurer l'intégrité de la mémoire avec le verrouillage UEFI (Verrouillé = 1)
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Locked" /t REG_DWORD /d 1 /f
• Forcer VBS (et l'intégrité de la mémoire) en mode obligatoire
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Mandatory" /t REG_DWORD /d 1 /f

Lorsque la valeur est marquée Obligatoire = 1, le chargeur Windows Cela empêche le système de poursuivre son démarrage. Si l'hyperviseur, le « noyau sécurisé » ou l'un de ses modules dépendants ne parvient pas à se charger, il s'agit d'une mesure radicale destinée aux environnements où la sécurité prime sur la disponibilité.

Un autre point intéressant concerne le contrôle de interface graphique pour l'intégrité de la mémoireSi vous souhaitez que l'affichage soit atténué et que le message « Ce paramètre est géré par votre administrateur » s'affiche, vous pouvez exécuter la commande suivante :

reg delete HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity /v "WasEnabledBy" /f

Et si vous décidez ultérieurement de redonner à l'utilisateur le contrôle normal de ce commutateur, vous pouvez le restaurer avec:

reg add HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity /v "WasEnabledBy" /t REG_DWORD /d 2 /f

Activez l'intégrité de la mémoire avec App Control for Business

Dans les entreprises qui gèrent un effectif important, il est souvent plus pratique d'utiliser les politiques de Contrôle des applications pour les entreprises (ancien windows Defender Contrôle d'application) pour assurer l'intégrité de la mémoire centralisée. Il existe plusieurs façons de procéder :

1. par Assistant de contrôle des applications, lors de la création ou de la modification d'une politique, en sélectionnant l'option « Intégrité du code protégée par l’hyperviseur » sur la page des règles de politique.
2. en utilisant la cmdlet de PowerShell Définir les options HVCI, qui vous permet d'activer, de désactiver ou de modifier le comportement de HVCI (Hypervisor-Enforced Code Integrity) à partir de scripts d'administration.
3. Modifier directement le Stratégie de contrôle des applications XML et en modifiant la valeur de l'élément <HVCIOptions>pour l'adapter aux besoins de chaque organisation.

Comment vérifier si VBS et l'intégrité de la mémoire sont actifs

Une fois que vous pensez que tout est correctement configuré, il est important vérifier ce qui est réellement activé et en cours d'exécutionWindows propose plusieurs outils pour cela, en ligne et hors ligne. commandes comme depuis l'interface graphique.

Vérification auprès de la classe WMI Win32_DeviceGuard

Sous Windows 10, Windows 11 et Windows Server 2016 ou version ultérieure, il existe une classe WMI spécifique pour VBS et Device Guard : Win32_DeviceGuardDepuis une console PowerShell avec privilèges élevés, vous pouvez obtenir ces informations avec :

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Le résultat de cette commande Il comprend un bon nombre de champsEn voici quelques-uns particulièrement utiles :

• Identifiant d'instance: chaîne unique permettant d'identifier le périphérique dans WMI.
• Version: version de la classe WMI, actuellement généralement 1.0.
• Propriétés de sécurité disponiblesListe des propriétés de sécurité prises en charge par le matériel et le système pour VBS et l'intégrité de la mémoire. Chaque nombre indique une capacité disponible :
  0 : aucune propriété pertinente
  1 : Compatibilité avec l'hyperviseur
  2 : Démarrage sécurisé disponible
  3 : Protection DMA disponible
  4 : Écrasement sécurisé de la mémoire
  5 : Protections NX disponibles
  6 : Mesures d'atténuation SMM
  7 : MBEC/GMET disponible
  8 : Virtualisation APIC disponible
• État de l'application de la politique d'intégrité du code: indique comment la politique d'intégrité du code est appliquée dans le système :
  0 : désactivé
  1 : en mode audit
  2 : en mode renforcé
• Propriétés de sécurité requises: spécifie les propriétés de sécurité nécessaires pour activer VBS sur cet ordinateur, en utilisant la même numérotation qu'auparavant (1 pour l'hyperviseur, 2 pour le démarrage sécurisé, 3 pour le DMA, etc.).
• Services de sécurité configurés: indique quels services de sécurité basés sur la virtualisation sont configurés :
  0 : aucun
  1 : Credential Guard est configuré
  2 : intégrité de la mémoire configurée
  3 : Protection du démarrage sécurisé du système configurée
  4 : Mesure du firmware SMM configuré
  5-7 : Différents modes de protection de pile matérielle et de traduction de pagination améliorée par l’hyperviseur
• Services de sécurité en cours d'exécution: similaire au précédent, mais indique quels services sont réellement en cours d'exécution (0 pour aucun, 1 pour Credential Guard actif, 2 pour l'intégrité de la mémoire en cours d'exécution, etc.).
• État d'application de la politique d'intégrité du code en mode utilisateur: état d'intégrité du code en mode utilisateur (0 désactivé, 1 audit, 2 appliqué).
• État de la sécurité basée sur la virtualisation: probablement le champ clé pour VBS :
  0 : VBS n'est pas activé
  1 : VBS est activé mais ne s'exécute pas.
  2 : VBS activé et en cours d'exécution
• Isolation de machine virtuelle y Propriétés d'isolation de la machine virtuelleCes éléments décrivent le niveau d'isolation des machines virtuelles pris en charge. Les valeurs possibles incluent AMD SEV-SNP (1), Sécurité basée sur la virtualisation (2) et Intel TDX (3).

Utilisation de msinfo32.exe pour afficher l'état du VBS

Si vous préférez quelque chose de plus visuel, vous pouvez lancer msinfo32.exe À partir de la commande Exécuter ou d'une fenêtre PowerShell avec des privilèges d'administrateur. Une fois la fenêtre « Informations système » ouverte, dans la section « Résumé du système » Vers le bas, vous verrez un bloc dédié à « Sécurité basée sur la virtualisation » avec des détails sur l'activation de VBS, les fonctions qu'il utilise et les exigences auxquelles l'équipement répond.

Problèmes courants et dépannage lors de l'utilisation de l'intégrité de la mémoire

Ce n'est pas sans avantages. L'activation de l'isolation du noyau et surtout de l'intégrité de la mémoire peut entraîner des problèmes. Conflits de pilotes, pertes de performance, voire écrans bleusnotamment sur les ordinateurs dotés de matériel ancien ou de pilotes obsolètes.

L'une des erreurs les plus courantes est que Un pilote de périphérique cesse de se charger ou commence à provoquer des plantages. au moment de l'exécution. La solution consiste presque toujours à essayer de mettre à jour le pilote à partir de Administrateur de l'appareil ou depuis le site web du fabricant vers une version signée et compatible HVCI.

Dans d'autres cas, après avoir activé la fonctionnalité, certains utilisateurs ont constaté que Le nombre d'images par seconde (FPS) dans les jeux chute considérablement. Il arrive que certaines applications de virtualisation (comme BlueStacks ou des émulateurs similaires) cessent de fonctionner ou deviennent très instables. Cela peut être dû au fait que l'intégrité de la mémoire sollicite fortement les capacités de virtualisation du processeur et bloque les techniques utilisées par ces applications. applications utilisé précédemment.

Il y a également des rapports concernant des ordinateurs qui Des écrans bleus s'affichent lors de la tentative d'activation de l'isolation du noyau ou après un redémarrage avec l'intégrité de la mémoire activée. Dans ces situations, si vous ne parvenez pas à vous connecter normalement au système, vous pouvez recourir à : Environnement de récupération Windows (Windows RE).

La procédure typique En cas de défaillance grave, il se passerait :

1. Désactivez au préalable, si possible, les stratégies de groupe, Intune ou d'autres outils susceptibles d'appliquer VBS et l'intégrité de la mémoire.
2. Démarrez l'ordinateur en mode Windows RE (par exemple, en interrompant plusieurs fois le processus de démarrage ou en utilisant un support d'installation) et accédez à la console.
3. Une fois dans l'environnement de récupération Windows (Windows RE), modifiez manuellement le Registre pour Désactiver l'intégrité de la mémoirePar exemple, avec :
   reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f
4. Redémarrez l'appareil et vérifiez si le démarrage redevient normal.

Mise en œuvre de l'intégrité de la mémoire dans les machines virtuelles Hyper-V

L'intégrité de la mémoire ne se limite pas aux équipements physiques : elle peut aussi être… activer dans Machines virtuelles d'Hyper-V De la même manière que sur un PC classique. Du point de vue du système invité, les étapes d'activation sont identiques.

Il convient toutefois de noter que la protection s'applique à contenu de la machine virtuelle invitéeEn d'autres termes, cela contribue à protéger la machine virtuelle contre les logiciels malveillants et les attaques exécutées en son sein, mais Il ne protège ni l'hôte ni l'administrateur de la plateforme.Un administrateur hôte peut désactiver l'intégrité de la mémoire d'une machine virtuelle à l'aide d'une simple commande PowerShell :

Un administrateur hôte peut Désactiver l'intégrité de la mémoire d'une machine virtuelle avec une simple commande PowerShell :

Set-VMSecurity -VMName <VMName> -VirtualizationBasedSecurityOptOut $true

Pour utiliser l'intégrité de la mémoire dans Hyper-V, il existe un certain nombre de exigences minimales:

• El Hôte Hyper-V Il doit exécuter au minimum Windows Server 2016 ou Windows 10 version 1607.
• La La machine virtuelle doit être de génération 2 et exécuter au minimum Windows Server 2016 ou Windows 10.
• L'intégrité de la mémoire peut être combinée avec virtualisation imbriquéeSi vous souhaitez installer le rôle Hyper-V au sein même de la machine virtuelle, vous devrez d'abord activer l'environnement de virtualisation imbriquée sur l'hôte.
• Les Adaptateurs de canal fibre virtuel Ils ne sont pas compatibles avec l'intégrité de la mémoire. Avant d'en connecter un à la machine virtuelle, il est nécessaire de l'exclure de la sécurité basée sur la virtualisation. Set-VMSecurity.
• Le choix AutoriserEnsembleDeCommandesSCSIComplet Les disques à accès direct ne prennent pas non plus en charge l'intégrité de la mémoire. Si vous souhaitez les utiliser, vous devez désactiver la sécurité basée sur la virtualisation pour cette machine virtuelle.

Isolation du noyau et son impact sur les performances : est-ce que ça vaut le coup ?

Une question qui revient souvent est de savoir s'il est utile d'activer l'isolation du noyau et l'intégrité de la mémoire lorsqu'on constate que l'ordinateur perd quelques performancesLes ventilateurs se mettent en marche ou certains programmes cessent de fonctionner correctement.

Certains utilisateurs ont signalé, par exemple, que lors de l'activation de cette option BlueStacks ne fonctionne plus. ou que des outils de gestion spécifiques tels que Centre de commande Alienware Ils cessent de surveiller correctement le matériel, ce qui provoque un fonctionnement excessif des ventilateurs. La cause est généralement un problème avec des pilotes ou des services non compatibles avec HVCI.

Il est également relativement fréquent que les joueurs remarquent un Réduction du nombre d'images par seconde dans les jeux exigeants Lorsque l'intégrité de la mémoire est activée, la surcharge liée à la virtualisation et les vérifications supplémentaires du noyau entraînent une latence et une consommation de ressources accrues. L'impact n'est pas significatif sur tous les systèmes, mais il est perceptible sur certains.

Dans ces cas-là, la décision dépend de vos priorités : si votre utilisation est très intensive pour les jeux ou les programmes incompatibles, cela peut se justifier. Désactiver temporairement l'isolation du noyauEn contrepartie, il est conseillé de prendre des précautions supplémentaires : éviter téléchargements Évitez les sites web suspects, ne visitez pas de sites web douteux et maintenez toujours votre logiciel antivirus actif et à jour, tel que Microsoft Defender ou une autre solution fiable.

En revanche, si vous ne constatez aucun dysfonctionnement ou problème de performance significatif lorsque vous activez l'isolation du noyau, alors celle-ci est fortement recommandée. Gardez-le comme couche de défense supplémentaire., surtout dans portátiles ces déplacements, équipes de travail ou appareils qui traitent des données sensibles.

Article connexe:

Tout sur l'isolation du noyau dans Windows 11 : sécurité, avantages et problèmes

Isaac

Écrivain passionné par le monde des octets et de la technologie en général. J'aime partager mes connaissances à travers l'écriture, et c'est ce que je vais faire dans ce blog, vous montrer toutes les choses les plus intéressantes sur les gadgets, les logiciels, le matériel, les tendances technologiques et plus encore. Mon objectif est de vous aider à naviguer dans le monde numérique de manière simple et divertissante.