Glossaire
Intégrité de la mémoire (HVCI)
Intégrité du code protégée par l'hyperviseur : une fonctionnalité VBS qui valide le code en mode noyau dans un environnement isolé afin que les pilotes non signés ne puissent pas s'exécuter.
L'intégrité de la mémoire, aussi appelée intégrité du code protégée par l'hyperviseur (HVCI), déplace les contrôles d'intégrité du code en mode noyau dans l'environnement de sécurité basée sur la virtualisation (VBS). L'hyperviseur garantit que les pages de mémoire du noyau ne deviennent exécutables qu'après que le code a passé les vérifications de signature dans l'environnement isolé, et que les pages exécutables ne sont jamais accessibles en écriture. Un malware s'exécutant dans le noyau ne peut donc pas injecter ni modifier de code en mémoire, et les pilotes non signés ou incompatibles ne se chargent pas. Elle est activée par défaut sur de nombreux appareils Windows 11 récents et peut être activée par stratégie de groupe, Intune ou l'application Sécurité Windows, sous Isolation du noyau.
HVCI place la barre plus haut pour les rootkits noyau et pour les attaques qui utilisent un pilote vulnérable afin de désactiver les outils de sécurité. Avant de la généraliser, vérifiez la compatibilité des pilotes, car un pilote incompatible sera bloqué et peut empêcher un appareil de fonctionner. Confirmez qu'elle est active avec msinfo32 ou Win32_DeviceGuard, et associez-la à la liste de blocage des pilotes vulnérables, activée par défaut lorsque HVCI l'est.
Voir VBS, intégrité de la mémoire (HVCI) et Kernel DMA Protection.