Virtualisierungsbasierte Sicherheit aktivieren

Zweck

Registry-Schlüssel anzeigen (7)

• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\EnableVirtualizationBasedSecurity
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\RequirePlatformSecurityFeatures
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HypervisorEnforcedCodeIntegrity
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\HVCIMATRequired
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\LsaCfgFlags
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureSystemGuardLaunch
• HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\ConfigureKernelShadowStacksLaunch

<br>

Diese Computerrichtlinie steuert die virtualisierungsbasierte Sicherheit (Virtualization-based Security, VBS) und mehrere darauf aufbauende Schutzfunktionen. VBS verwendet Hardwarevirtualisierung und den Windows-Hypervisor, um einen vom normalen Betriebssystem isolierten Sicherheitsbereich einzurichten. Windows kann darin sicherheitskritische Dienste ausführen und Ressourcen selbst dann vom regulären Kernel abschirmen, wenn dieser kompromittiert wurde.

Die aufgeführten Werte sind REG_DWORD-Werte. EnableVirtualizationBasedSecurity ist der grundlegende Schalter: 1 aktiviert VBS, 0 deaktiviert es. Die übrigen Werte bestimmen, welche Voraussetzungen gelten und welche VBS-basierten Dienste verwendet werden:

• RequirePlatformSecurityFeatures legt die erforderliche Plattformsicherheitsstufe fest. 1 verlangt den sicheren Start; 3 verlangt den sicheren Start und DMA-Schutz. Die zusätzliche DMA-Absicherung setzt geeignete Hardware und eine unterstützte IOMMU beziehungsweise SMMU voraus.
• HypervisorEnforcedCodeIntegrity steuert die hypervisorgeschützte Codeintegrität (HVCI), auch Speicherintegrität genannt. 1 aktiviert sie mit UEFI-Sperre, 2 ohne UEFI-Sperre. 0 kann eine zuvor ohne UEFI-Sperre eingerichtete Konfiguration deaktivieren.
• HVCIMATRequired bestimmt, ob für HVCI eine UEFI Memory Attributes Table erforderlich ist. 1 verlangt diese Tabelle, 0 nicht. Die Tabelle beschreibt Code- und Datenbereiche der UEFI-Laufzeitdienste, damit Windows geeignete Schreib- und Ausführungsschutzattribute anwenden kann.
• LsaCfgFlags steuert Credential Guard. 1 aktiviert Credential Guard mit UEFI-Sperre, 2 ohne UEFI-Sperre. 0 kann Credential Guard deaktivieren, wenn es zuvor ohne UEFI-Sperre aktiviert wurde.
• ConfigureSystemGuardLaunch steuert System Guard Secure Launch. 0 überlässt die Einstellung der lokalen Verwaltung, 1 aktiviert Secure Launch auf unterstützter Hardware und 2 deaktiviert die Funktion.
• ConfigureKernelShadowStacksLaunch steuert den hardwareerzwungenen Stapelschutz im Kernelmodus. 1 aktiviert den Erzwingungsmodus, 2 den Überwachungsmodus und 3 deaktiviert die Funktion. Im Überwachungsmodus werden erkannte Verstöße protokolliert, aber nicht erzwungen blockiert.

Hinweise

Weitere Wirkungen

HVCI verlagert Entscheidungen über die Codeintegrität des Kernels in den isolierten VBS-Bereich. Kernelcode und Treiber müssen die Codeintegritätsprüfung bestehen, bevor sie ausgeführt werden können. Ausführbare Kernelspeicherseiten dürfen dabei nicht zugleich beschreibbar sein.

Credential Guard isoliert unter anderem NTLM-Kennworthashes, Kerberos-Ticket-Granting-Tickets und von Anwendungen gespeicherte Domänenanmeldeinformationen vom normalen Betriebssystem. Selbst Prozesse mit lokalen Administratorrechten erhalten dadurch keinen unmittelbaren Zugriff auf die geschützten Geheimnisse.

System Guard Secure Launch verwendet auf unterstützten Plattformen einen dynamischen hardwaregestützten Vertrauensanker für Messungen (DRTM). Dadurch kann Windows einen vertrauenswürdigen Systemzustand herstellen, ohne sich ausschließlich auf alle zuvor ausgeführten Firmwarekomponenten verlassen zu müssen.

Der hardwareerzwungene Stapelschutz im Kernelmodus führt zu jedem Kernel-Aufrufstapel einen hardwaregeschützten Schattenstapel. Abweichende Rücksprungadressen können dadurch erkannt werden. Die Funktion setzt VBS, HVCI sowie einen Prozessor mit Intel Control-flow Enforcement Technology oder AMD Shadow Stacks voraus.

Sicherheit

Die Richtlinie kann mehrere voneinander unabhängige Angriffswege erschweren. HVCI schützt insbesondere vor dem Einschleusen oder nachträglichen Verändern von Kernelcode. Credential Guard begrenzt den Diebstahl wiederverwendbarer Anmeldeinformationen, beispielsweise für Pass-the-Hash- und Pass-the-Ticket-Angriffe. Secure Launch stärkt den Schutz vor Bootkits und kompromittierten frühen Startkomponenten. Kernel-Schattenstapel erschweren die Manipulation des Kontrollflusses durch Return-Oriented Programming.

Die UEFI-Sperre schützt die Konfiguration von HVCI beziehungsweise Credential Guard gegen eine spätere Deaktivierung allein durch Änderungen am laufenden Betriebssystem oder an Richtlinien. Eine mit UEFI-Sperre geschützte Funktion lässt sich daher nicht auf dieselbe Weise aus der Ferne zurücknehmen wie eine Konfiguration ohne Sperre.

VBS ist lediglich die isolierte Sicherheitsplattform. Das Aktivieren von VBS allein bedeutet nicht automatisch, dass Credential Guard, HVCI, Secure Launch oder der Stapelschutz tatsächlich ausgeführt werden. Maßgeblich sind die jeweiligen Unterwerte sowie Betriebssystem-, Firmware- und Hardwareunterstützung.

Mögliche Nebenwirkungen

Treiber, die die Anforderungen der Speicherintegrität nicht erfüllen, können nicht geladen werden oder Fehlfunktionen verursachen. Microsoft weist darauf hin, dass inkompatible Anwendungen oder Gerätetreiber in seltenen Fällen auch Startfehler oder Systemabstürze auslösen können.

Der Kernel-Stapelschutz blockiert bekannte inkompatible Treiber. Ist ein solcher Treiber bereits installiert, kann Windows die Schutzfunktion möglicherweise nicht aktivieren. Ein im Erzwingungsmodus erkannter Unterschied zwischen Aufruf- und Schattenstapel führt zum Abbruch des Systems, um die Fortsetzung eines möglicherweise manipulierten Kontrollflusses zu verhindern.

Credential Guard kann Anwendungen und Verwaltungsverfahren beeinträchtigen, die geschützte Anmeldeinformationen direkt auslesen, ältere Authentifizierungsverfahren voraussetzen oder Anmeldeinformationen auf eine nicht unterstützte Weise delegieren.

VBS und insbesondere HVCI können die Leistung beeinflussen. Die Auswirkungen fallen auf älteren Prozessoren, die bestimmte Speicher- und Ausführungsschutzfunktionen emulieren müssen, üblicherweise stärker aus als auf aktueller Hardware mit entsprechender Prozessorunterstützung.

Hinweise

Die tatsächlich verfügbaren Optionen hängen von der Windows-Version und den installierten administrativen Vorlagen ab. Der hardwareerzwungene Stapelschutz im Kernelmodus ist auf Windows 11 ab Version 22H2 sowie auf entsprechend unterstützten Serverplattformen vorgesehen und benötigt kompatible Prozessorhardware.

Änderungen an VBS und den davon abhängigen Diensten werden regelmäßig erst nach einem Neustart wirksam. Kann eine verlangte Hardware- oder Firmwareeigenschaft nicht bereitgestellt werden, bedeutet eine vorhandene Richtlinienkonfiguration nicht, dass der betreffende Schutzdienst auch ausgeführt wird.

Microsoft-Dokumentation

Microsoft Learn: Richtlinien-CSP – DeviceGuard

Microsoft Learn: Richtlinien-CSP – VirtualizationBasedTechnology

Microsoft Learn: Virtualisierungsbasierte Sicherheit (VBS)

Microsoft Learn: Aktivieren der Speicherintegrität

Microsoft Learn: Konfigurieren von Credential Guard

Microsoft Learn: Kernel-Modus Hardware-verstärkter Stack-Schutz

Siehe auch

• Eintrag in der Referenz