Glossar
Speicherintegrität (HVCI)
Hypervisor-geschützte Codeintegrität: eine VBS-Funktion, die Kernelmodus-Code in einer isolierten Umgebung prüft, sodass unsignierte Treiber nicht laufen.
Die Speicherintegrität (Memory integrity), auch hypervisor-geschützte Codeintegrität (HVCI) genannt, verlagert die Codeintegritätsprüfungen für den Kernelmodus in die Umgebung der virtualisierungsbasierten Sicherheit (VBS). Der Hypervisor stellt sicher, dass Kernelspeicherseiten erst dann ausführbar werden, wenn der Code die Signaturprüfung in der isolierten Umgebung bestanden hat, und dass ausführbare Seiten nie beschreibbar sind. Im Kernel laufende Malware kann daher keinen Code im Speicher einschleusen oder verändern, und unsignierte oder inkompatible Treiber werden nicht geladen. Auf vielen neuen Windows 11-Geräten ist die Funktion standardmäßig aktiviert; einschalten lässt sie sich per Gruppenrichtlinie, Intune oder in der App Windows-Sicherheit unter Kernisolierung.
HVCI legt die Latte für Kernel-Rootkits und für Angriffe höher, die einen anfälligen Treiber nutzen, um Sicherheitswerkzeuge auszuschalten. Prüfen Sie vor einer breiten Aktivierung die Treiberkompatibilität, denn ein inkompatibler Treiber wird blockiert und kann Geräte funktionsunfähig machen. Überprüfen Sie mit msinfo32 oder Win32_DeviceGuard, ob die Funktion läuft, und kombinieren Sie sie mit der Sperrliste für anfällige Treiber, die bei aktiviertem HVCI standardmäßig eingeschaltet ist.
Siehe Virtualisierungsbasierte Sicherheit, HVCI und Kernel-DMA-Schutz.