Bảo mật dựa trên ảo hóa (Virtualization-Based Security - VBS) là gì và nó hoạt động như thế nào trong Windows?

Bảo mật dựa trên ảo hóa, hay VBS , đã trở thành một thành phần quan trọng của hệ sinh thái bảo mật trong Windows 10, Windows 11 và Windows Server hiện đại. Đây là một trong những tính năng mà hầu hết người dùng không thấy, nhưng nó có thể tạo nên sự khác biệt giữa một cuộc tấn công kernel thành công và một hệ thống có thể chống lại ngay cả phần mềm độc hại tinh vi nhất.

Đồng thời, VBS và HVCI cũng gây ra những lo ngại về tác động của chúng đến hiệu năng , đặc biệt là trên các máy tính chơi game hoặc hệ thống có phần cứng cũ . Do đó, nhiều người dùng thắc mắc chính xác công nghệ này làm gì, mục đích của nó là gì, làm thế nào để kích hoạt (hoặc vô hiệu hóa) nó, và những ảnh hưởng thực sự của nó đối với bảo mật, FPS, độ trễ và mức sử dụng CPU.

Bảo mật dựa trên ảo hóa (VBS) trong Windows là gì?

Bảo mật dựa trên ảo hóa (Virtualization -Based Security - VBS) là một tính năng bảo mật của Microsoft tận dụng ảo hóa phần cứng và trình siêu giám sát Windows để tạo ra một môi trường thực thi biệt lập bên trong hệ thống. Môi trường ảo này trở thành một dạng gốc tin cậy, giả định trường hợp xấu nhất: nhân Windows có thể bị xâm phạm, nhưng các tài nguyên quan trọng vẫn cần được bảo vệ.

Trên thực tế, VBS tạo ra một "hệ thống mini" nhỏ gọn, được bảo vệ bằng cách sử dụng khả năng ảo hóa của CPU ( Intel VT-x, AMD-V, v.v.) và sử dụng nó để lưu trữ nhiều giải pháp bảo mật khác nhau: bảo toàn bộ bộ nhớ, Credential Guard, bảo vệ khởi động , và các giải pháp khác. Vì nó tách biệt với nhân hệ điều hành thông thường, môi trường này khó bị tấn công hơn nhiều, ngay cả với các lỗ hổng bảo mật chưa được vá (zero-day vulnerabilities) trong hệ điều hành.

Cơ chế này cho phép các tài nguyên hệ thống và bảo mật cực kỳ nhạy cảm (như thông tin đăng nhập, khóa mã hóa hoặc cấu trúc nhân nội bộ) nằm ngoài tầm với của mã chạy ở chế độ nhân "bình thường", chính xác là mục tiêu ưa thích của phần mềm độc hại cao cấp.

Một điểm quan trọng khác là VBS áp đặt những hạn chế rất nghiêm ngặt về cách quản lý bộ nhớ kernel . Một số vùng chỉ có thể được thực thi sau khi vượt qua các kiểm tra tính toàn vẹn trong môi trường bảo mật, và một khi đã được đánh dấu là có thể thực thi, chúng không thể được sửa đổi. Do đó, lỗi tràn bộ đệm hoặc lỗi hỏng bộ nhớ có thể cho phép ghi vào bộ nhớ, nhưng không thể chuyển đổi bộ nhớ đó thành mã thực thi làm tổn hại toàn bộ hệ thống.

Khi VBS được kích hoạt trong máy ảo, một biến thể của Hyper-V sẽ được khởi chạy trong chính máy khách , và Windows sau đó sẽ chạy trong phân vùng gốc của hypervisor nội bộ đó. Có vẻ như hệ điều hành tự bao bọc mình trong lớp ảo hóa riêng để tăng cường khả năng phòng thủ.

Tính toàn vẹn bộ nhớ và tính toàn vẹn mã ở chế độ nhân (HVCI)

Trong khuôn khổ VBS, một trong những thành phần quan trọng nhất là tính toàn vẹn bộ nhớ , còn được gọi là Tính toàn vẹn mã được thực thi bởi Hypervisor (HVCI) . Chức năng này tăng cường bảo mật hệ thống bằng cách xác minh rằng tất cả mã chạy ở chế độ kernel đều tuân thủ các quy tắc nghiêm ngặt về chữ ký và độ tin cậy.

Nói một cách đơn giản, HVCI xác thực từng trình điều khiển và tệp nhị phân chế độ kernel trước khi chúng được tải. Nếu trình điều khiển không được ký đúng cách, đã bị sửa đổi hoặc đến từ một nguồn không đáng tin cậy, việc tải nó vào bộ nhớ sẽ bị chặn. Điều này loại bỏ một trong những phương thức tấn công kinh điển: cài đặt lén một trình điều khiển độc hại với quyền hạn cao.

Hơn nữa, tính toàn vẹn bộ nhớ hạn chế nghiêm ngặt cách thức phân bổ bộ nhớ kernel . Các trang bộ nhớ dành cho mã kernel có thể thực thi chỉ trở nên có thể thực thi sau khi vượt qua các kiểm tra tính toàn vẹn trong môi trường VBS và không bao giờ được chuyển đổi trở lại thành các trang có thể ghi. Điều này ngăn chặn các kỹ thuật khai thác điển hình, trong đó mã được chèn vào bộ nhớ kernel và được thực thi ngay lập tức.

HVCI cũng bảo vệ các cấu trúc quan trọng như bitmap Control Flow Guard (CFG) cho trình điều khiển nhân và chính quy trình kiểm tra tính toàn vẹn mã, vốn xác minh các thành phần khác. Điều này làm giảm đáng kể khả năng thao túng luồng thực thi của các tiến trình có đặc quyền của phần mềm độc hại.

Tuy nhiên, tất cả sự bảo vệ này đều có cái giá của nó: nó gây ra một mức quá tải nhất định cho CPU , mức độ quá tải này có thể lớn hơn hoặc nhỏ hơn tùy thuộc vào việc bộ xử lý có tích hợp các tính năng tăng tốc phần cứng như MBEC (Mode-based Execution Control) hoặc các tính năng tương đương hay không, và loại khối lượng công việc (trò chơi, dựng hình, v.v.).

Yêu cầu về phần cứng và phần mềm để sử dụng VBS

Để đảm bảo an ninh dựa trên ảo hóa được kích hoạt đầy đủ và ổn định, Windows yêu cầu một tập hợp các yêu cầu tối thiểu về phần cứng và phần mềm . Chỉ cần có một hệ điều hành hiện đại là chưa đủ; nền tảng phải cung cấp một số khả năng nhất định cho hệ thống.

Đầu tiên, cần có CPU 64-bit với các phần mở rộng ảo hóa . Trong thế giới x86, điều đó có nghĩa là hỗ trợ Intel VT-x hoặc AMD-V. Nếu không có hypervisor, sẽ không có VBS, vì tất cả các biện pháp bảo vệ đều được xây dựng trên lớp ảo hóa đó.

Hỗ trợ dịch địa chỉ cấp hai (SLAT) cũng là điều cần thiết . Trên Intel, điều này được thực hiện thông qua EPT (Extended Page Tables), và trên AMD thông qua RVI hoặc NPT (Rapid Virtualization Indexing). SLAT giúp giảm thiểu tổn thất hiệu năng thường gặp của ảo hóa và cho phép VBS hoạt động với chi phí quản lý được.

Một thành phần quan trọng khác là phải có IOMMU hoặc SMMU (Intel VT-d, AMD-Vi, hoặc SMMU trên nền tảng Arm64). Các đơn vị này kiểm soát quyền truy cập DMA vào các thiết bị I/O, ngăn chặn việc ghi dữ liệu tùy ý vào bộ nhớ . Tất cả các thiết bị có khả năng DMA phải nằm sau IOMMU để hệ thống có thể giảm thiểu các cuộc tấn công truy cập trực tiếp vào bộ nhớ.

Hơn nữa, VBS phụ thuộc rất nhiều vào TPM 2.0 (Trusted Platform Module) . Chip này, được tích hợp trên bo mạch hoặc triển khai thông qua phần mềm nhúng, lưu trữ an toàn thông tin đăng nhập, khóa mã hóa và các phép đo khởi động. VBS có thể tái sử dụng không gian bộ nhớ được bảo vệ bởi TPM để lưu trữ thông tin nhạy cảm cao như thông tin đăng nhập hoặc dữ liệu xác thực.

Phần mềm nhúng cũng có những trách nhiệm: UEFI phải tuân thủ các hướng dẫn nhất định về phân bổ và báo cáo bộ nhớ để hệ điều hành biết vùng nào có thể được sử dụng cho môi trường hộp cát. Tương tự, nó phải triển khai các biện pháp bảo vệ Chế độ Quản lý Hệ thống (SMM) , được khai báo thông qua Bảng Giảm thiểu An ninh SMM của ACPI Windows (WMST/WSMT) , cho thấy rằng nó đáp ứng các yêu cầu mà Windows mong đợi để kích hoạt các tính năng VBS.

Liên quan đến điều này, Yêu cầu ghi đè bộ nhớ (MOR) v2 đóng vai trò quan trọng , thông qua một biến UEFI bảo mật, bảo vệ cấu hình khóa ghi đè bộ nhớ, giúp chống lại các cuộc tấn công nâng cao nhằm tái sử dụng nội dung bộ nhớ sau khi khởi động lại.

Cuối cùng, điều cần thiết là tất cả các trình điều khiển đã cài đặt phải hỗ trợ tính toàn vẹn bộ nhớ . Microsoft cung cấp các bài kiểm tra cụ thể trong Windows Driver Kit và Driver Verifier để xác nhận rằng trình điều khiển không vi phạm các quy tắc HVCI. Thông thường:

• Chạy Trình kiểm tra trình điều khiển với tùy chọn kiểm tra tính toàn vẹn mã và khả năng tương thích được bật.
• Vượt qua bài kiểm tra tính toàn vẹn mã của hypervisor trên Windows HLK.
• Kiểm tra trình điều khiển trên các hệ thống có bật VBS và tính năng toàn vẹn bộ nhớ khi chạy.

Nhiều hệ thống triển khai trong doanh nghiệp cũng yêu cầu khởi động ở chế độ Khởi động An toàn (Secure Boot) , để chỉ các phần mềm và bộ nạp khởi động đã được ký số mới được tải, từ đó hoàn thiện chuỗi tin cậy từ UEFI đến môi trường VBS.

VBS, HCCI và sự tích hợp của chúng vào Hyper-V và môi trường ảo.

VBS không chỉ dành cho phần cứng vật lý; nó cũng có thể được sử dụng trong các máy ảo . Đây là nơi mà Hyper-V và các hypervisor khác như VMware ESXi phát huy tác dụng, vì chúng đã cung cấp hỗ trợ cụ thể cho các tính năng bảo mật này.

Trong môi trường Hyper-V, Guest VSM có thể được bật để máy ảo Windows có môi trường VBScript riêng bên trong máy ảo khách. Ví dụ, trong Azure, các máy ảo thế hệ 2 đã được bật tính năng này theo mặc định trong nhiều dòng sản phẩm và ảo hóa lồng nhau cũng được hỗ trợ trong một số dòng sản phẩm.

Một số dòng Azure hỗ trợ ảo hóa lồng nhau và/hoặc VSM khách bao gồm các dòng như Av2, Dsv2/Dv2/Dv3, Esv3/Edsv3, Fsv2, Lsv2 và các thế hệ gần đây hơn như Dv4/Dv5, Esv5, cùng nhiều dòng khác. Chi tiết cụ thể khác nhau tùy thuộc vào thế hệ (1 hoặc 2) và kích thước, nhưng ý tưởng chung là phần lớn các dịch vụ trong danh mục Azure hiện đại có thể chạy VBScript bên trong máy ảo.

Trong VMware, từ vSphere 6.7 trở đi với CPU Intel (và từ vSphere 7 Update 2 trở đi cho CPU AMD tương thích), VBS có thể được bật trong các máy ảo khách Windows. Điều này yêu cầu sử dụng các phiên bản phần cứng VM mới nhất (ví dụ: phiên bản phần cứng 14 trở lên cho Intel và 18 trở lên cho AMD ) và các hệ điều hành khách như Windows 10 64-bit, Windows Server 2016 hoặc 2019.

Trong VMware Host Client, bạn có thể chọn tùy chọn "Enable Windows Virtualization Based Security" khi tạo máy ảo hoặc bật tùy chọn này sau trên máy ảo hiện có. Thao tác này sẽ tự động kích hoạt:

• Phần mềm UEFI với HỘP BẢO MẬT.
• Trình diễn ảo hóa hỗ trợ phần cứng cho khách mời.
• IOMMU và các cơ chế cần thiết khác.

Khi kích hoạt VBS trên máy ảo hiện có, bạn phải đảm bảo rằng nó đã sử dụng firmware UEFI . Việc thay đổi từ BIOS cũ sang EFI sau đó có thể phức tạp và yêu cầu thêm các bước để tránh gây cản trở quá trình khởi động của máy ảo.

Trong máy ảo, quá trình kích hoạt VBS thường bao gồm việc cài đặt vai trò Hyper-V (trong trường hợp Windows Server) và sau đó cấu hình các chính sách bảo mật (ví dụ: sử dụng gpedit.msc trong Device Guard > Turn On Virtualization Based Security ), chọn các cấp độ như Secure Boot và DMA Protection, HVCI được bật với khóa UEFI và cấu hình Credential Guard.

VBS như một công cụ bảo mật trong máy ảo và cơ sở hạ tầng

Ngoài các khía cạnh kỹ thuật thuần túy, VBS còn được tích hợp vào các chiến lược bảo mật cho môi trường ảo hóa , nơi các máy ảo xử lý thông tin có giá trị tương đương, hoặc thậm chí hơn, với máy chủ vật lý.

Trong nhiều tổ chức, máy ảo không chỉ là môi trường thử nghiệm: chúng hỗ trợ các ứng dụng sản xuất, cơ sở dữ liệu và các hệ thống xử lý dữ liệu nhạy cảm . Điều này khiến chúng trở thành mục tiêu hàng đầu của tin tặc, những kẻ không chỉ tìm cách xâm nhập vào máy ảo mà nếu có thể, còn nhắm đến máy chủ và phần còn lại của mạng.

VBS rất hữu ích trong trường hợp này vì nó cách ly máy ảo khỏi máy chủ vật lý về quyền truy cập phần cứng, giao diện mạng và, trong một số trường hợp, thậm chí cả quản lý danh tính. Khi được sử dụng kết hợp với quản lý danh tính Active Directory, quyền truy cập vào một số máy ảo nhất định có thể được thiết lập để phụ thuộc trực tiếp vào thông tin đăng nhập của công ty thay vì tên người dùng/mật khẩu cục bộ.

Cách tiếp cận này cho phép nhanh chóng thu hồi quyền truy cập vào các máy ảo nhạy cảm nếu nhân viên rời công ty, phát hiện hoạt động đáng ngờ hoặc xảy ra vi phạm bảo mật. Thay vì phải thay đổi mật khẩu trên từng máy riêng lẻ, chỉ cần điều chỉnh quyền trong Active Directory và các chính sách liên quan đến các tài nguyên ảo đó là đủ.

Hơn nữa, VBS giúp hạn chế tác động của các cuộc tấn công bắt nguồn từ chính máy ảo. Ngay cả khi kẻ tấn công успеет leo thang đặc quyền trong máy khách, lớp VBS vẫn có thể bảo vệ thông tin đăng nhập và mã kernel quan trọng , khiến việc đánh cắp bí mật hoặc sử dụng các kỹ thuật di chuyển ngang dựa trên trình điều khiển độc hại trở nên khó khăn hơn nhiều.

Tính toàn vẹn bộ nhớ, đặc biệt, củng cố mô hình này, vì nó ngăn chặn việc tải các trình điều khiển không đáng tin cậy và chặn một số vectơ leo thang đặc quyền phổ biến trong các hệ thống Windows ảo hóa.

VBS và HCCI trong chơi game trên Windows: tác động đến hiệu năng và khi nào nên tắt chúng

Tuy nhiên, tình hình thay đổi đáng kể ở lĩnh vực chơi game trên PC . Microsoft đã mặc định bật VBS và tính toàn vẹn bộ nhớ trong một số bản cài đặt Windows 10 sạch và đặc biệt là Windows 11, điều này đã gây ra nhiều tranh luận do khả năng giảm hiệu năng trong game.

Thực tế là tác động phụ thuộc rất nhiều vào phần cứng và loại khối lượng công việc . Trên các bộ xử lý tương đối hiện đại, có hỗ trợ MBEC hoặc các biện pháp giảm thiểu phần cứng khác, mức hao phí có thể vào khoảng 3-5% trong nhiều tác vụ thông thường. Trong các trường hợp cụ thể hoặc với CPU không có MBEC (ví dụ: nền tảng AMD Zen+), mức hao phí do bật HVCI có thể lên tới khoảng 10-12% trong các bài kiểm tra hiệu năng tổng hợp.

Trên các hệ thống cũ hơn hoặc với một số thế hệ bộ xử lý Intel và AMD nhất định, đã ghi nhận những trường hợp suy giảm hiệu năng nghiêm trọng lên tới gần 25-28% trong một số trò chơi hoặc bài kiểm tra tổng hợp cụ thể, đặc biệt là khi kết hợp VBS, HVCI và các lớp bảo vệ khác, và khi các tựa game phụ thuộc nhiều vào hiệu năng đơn luồng của CPU.

Một số nhà sáng tạo nội dung và chuyên gia hiệu năng đã chứng minh rằng, trên một số máy tính nhất định, việc vô hiệu hóa tính toàn vẹn bộ nhớ và trình ảo hóa có thể khôi phục đáng kể số khung hình/giây (FPS ). Điều này đặc biệt dễ nhận thấy ở các tựa game phụ thuộc nhiều vào CPU (game chiến lược với nhiều phép tính, trình mô phỏng phức tạp, game tối ưu hóa kém, v.v.).

Tuy nhiên, con số "mức giảm cố định 28%" được một số tiêu đề phổ biến không phải là sự thật phổ quát . Trên nhiều máy tính xách tay và máy tính để bàn gần đây, các bài kiểm tra cho thấy mức giảm khiêm tốn hơn nhiều, khoảng 3% nếu chỉ kích hoạt VBS mà không có HVCI, và có phần dễ nhận thấy hơn khi tính toàn vẹn bộ nhớ được thực thi trên các CPU không được tối ưu hóa cho tính năng này.

Vậy, việc vô hiệu hóa nó có hợp lý không? Trên một máy tính chủ yếu dùng để chơi game và không xử lý dữ liệu nhạy cảm , việc vô hiệu hóa HVCI hoặc thậm chí VBS có thể hợp lý nếu bạn muốn tối ưu hóa từng khung hình, miễn là người dùng duy trì các biện pháp bảo mật tốt: hệ thống được cập nhật, phần mềm diệt virus hoạt động, không sử dụng phần mềm lậu hoặc các tệp thực thi "đáng ngờ".

Tuy nhiên, trong môi trường chuyên nghiệp, trong các nhóm xử lý thông tin khách hàng, hoặc trong các vai trò mà bảo mật là tối quan trọng, việc hy sinh VBS để có thêm vài FPS không phải là một ý tưởng hay . Trong những trường hợp này, việc bảo vệ chống lại phần mềm độc hại tiên tiến và các cuộc tấn công kernel quan trọng hơn nhiều so với bất kỳ lợi ích hiệu suất nào trong các trò chơi thậm chí có thể không chạy được trên các hệ thống đó.

Làm thế nào để biết VBS có đang hoạt động hay không và cách quản lý nó từ Windows?

Để kiểm tra xem bảo mật dựa trên ảo hóa có hoạt động trên máy tính Windows 10 hoặc 11 hay không, bạn có thể sử dụng một số công cụ do chính hệ thống cung cấp. Điều này cho phép bạn xem trạng thái của VBS, HVCI và các tính năng liên quan khác.

Một trong những cách trực tiếp nhất là mở msinfo32.exe (Thông tin Hệ thống) và trong phần tóm tắt hệ thống, cuộn xuống dòng “Bảo mật dựa trên ảo hóa”. Nó sẽ hiển thị rõ ràng liệu tính năng này đang bị vô hiệu hóa, được kích hoạt nhưng không chạy, hay đang chạy.

Một tùy chọn nâng cao hơn là sử dụng PowerShell với quyền quản trị viên và truy vấn lớp WMI Win32_DeviceGuard bằng lệnh:

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Kết quả của truy vấn này cung cấp một bản phân tích rất chi tiết : các thuộc tính bảo mật phần cứng hiện có (hypervisor, Secure Boot, bảo vệ DMA, MBEC, v.v.), các dịch vụ đã cấu hình và đang chạy (Credential Guard, tính toàn vẹn bộ nhớ), trạng thái VBS, mức độ cách ly SMM, cùng với các tham số khác.

Để quản lý VBS và tính toàn vẹn bộ nhớ ở cấp độ doanh nghiệp, Microsoft khuyến nghị sử dụng các chính sách nhóm, mẫu Device Guard hoặc các tập lệnh đăng ký thiết lập các khóa như:

• EnableVirtualizationBasedSecurity Để kích hoạt/vô hiệu hóa VBS.
• RequirePlatformSecurityFeatures Chỉ yêu cầu Secure Boot hoặc Secure Boot + DMA protection.
• Mandatory Do đó, quá trình khởi động sẽ thất bại nếu hypervisor hoặc nhân hệ điều hành bảo mật không thể được tải.
• Các phím dưới Scenarios\HypervisorEnforcedCodeIntegrity để kích hoạt HCCI và quyết định xem có nên chặn nó thông qua UEFI hay không.

Bạn cũng có thể kiểm soát khả năng hiển thị của tùy chọn toàn vẹn bộ nhớ trong giao diện Windows Defender , làm mờ nó và hiển thị các thông báo như "Cài đặt này do quản trị viên của bạn quản lý" để ngăn người dùng tự ý thay đổi nó.

Trong trường hợp gặp các sự cố ổn định nghiêm trọng sau khi bật HVCI (màn hình xanh khi khởi động, trình điều khiển bị lỗi, v.v.), bạn có thể sử dụng Môi trường Khôi phục Windows (Windows RE) để khởi động vào chế độ khôi phục, vô hiệu hóa các chính sách liên quan và điều chỉnh các khóa registry để giữ cho tính toàn vẹn bộ nhớ ở trạng thái bị vô hiệu hóa trước khi khởi động lại.

Các biện pháp bảo mật tốt nhất cho máy ảo và máy tính cá nhân có hoặc không có VBS

VBS có ích, nhưng nó không thể thay thế các biện pháp bảo mật cơ bản , cả trên máy vật lý lẫn môi trường ảo hóa. Trên thực tế, nhiều biện pháp tốt nhất không phụ thuộc vào việc lớp bảo mật này có được bật hay không.

Một trong những nguyên tắc quan trọng là sử dụng mật khẩu mạnh, độc nhất cho mỗi máy ảo và tài khoản nhạy cảm . Trình quản lý mật khẩu (hoặc các tính năng tích hợp trong các giải pháp VPN hoặc thư mục) giúp đơn giản hóa đáng kể việc duy trì các mật khẩu mạnh, không được sử dụng lại.

Một biện pháp quan trọng khác là bảo vệ các cổng mạng . Chặn các cổng không cần thiết và hạn chế quyền truy cập chỉ cho các địa chỉ IP hoặc phân đoạn mạng được ủy quyền sẽ làm giảm đáng kể bề mặt tấn công của máy ảo, ngăn chặn các dịch vụ nội bộ bị tổn thương từ bất kỳ đâu.

Trong một số trường hợp, một số tổ chức lựa chọn các kỹ thuật như "bao bọc" hoặc cách ly nghiêm ngặt các máy ảo , trong đó một vành đai bảo mật được tạo ra xung quanh máy ảo và máy chủ của nó để phần còn lại của mạng không thể tương tác trực tiếp. Điều này cho phép, ví dụ, cách ly một máy ảo đáng ngờ mà không gây rủi ro cho toàn bộ cơ sở hạ tầng.

Việc cập nhật tất cả phần mềm đều vô cùng quan trọng. Phần mềm cũ, chưa được vá lỗi là nơi sinh sôi của các lỗ hổng bảo mật đã biết, vì vậy nếu bắt buộc phải sử dụng các ứng dụng cũ, tốt nhất nên giới hạn chúng trong các máy ảo được cách ly cao với quyền truy cập tối thiểu vào phần còn lại của mạng.

Tất nhiên, việc cài đặt các giải pháp phòng chống phần mềm độc hại tích hợp trong môi trường ảo là rất cần thiết để kiểm soát lưu lượng truy cập, các tiến trình và quyền truy cập từ xa vào các máy ảo. Tốt hơn hết là nên ngăn chặn và chặn đứng một cuộc tấn công trước khi nó tiếp cận được lõi hệ thống, ngay cả khi VBS có thể giảm thiểu tác động của nó.

Cuối cùng, bất kỳ chiến lược nghiêm túc nào cũng nên bao gồm một kế hoạch sao lưu và tạo ảnh chụp nhanh mạnh mẽ cho các máy ảo . Nếu một máy ảo bị xâm phạm, việc khôi phục ảnh chụp nhanh đã biết sẽ nhanh hơn và an toàn hơn nhiều so với việc cố gắng làm sạch một hệ thống sản xuất bị xâm phạm, điều này cũng ngăn chặn kẻ tấn công di chuyển xa hơn trong mạng.

Khi cân bằng giữa bảo mật và hiệu năng, đặc biệt là trên các hệ thống gia đình, chơi game hoặc hệ thống hỗn hợp, điều quan trọng là phải đánh giá mức độ rủi ro bạn sẵn sàng chấp nhận, loại tác vụ bạn thực hiện và liệu có đáng để duy trì VBS và HVCI mọi lúc hay chỉ trên các hệ thống và cấu hình mà việc bảo vệ nhân hệ điều hành và thông tin xác thực được ưu tiên hơn bất kỳ tác động nào đến FPS hoặc tài nguyên CPU.