Πώς να ενεργοποιήσετε ή να απενεργοποιήσετε το Device Guard στα Windows 10

Το Device Guard είναι ένας συνδυασμός λειτουργιών ασφαλείας υλικού και λογισμικού που σχετίζονται με την επιχείρηση, οι οποίες, όταν διαμορφωθούν μαζί, κλειδώνουν τις συσκευές ώστε να εκτελούν μόνο αξιόπιστες εφαρμογές που ορίζετε στην πολιτική ακεραιότητας του κώδικα. Εάν η εφαρμογή δεν είναι αξιόπιστη, δεν θα μπορεί να εκτελεστεί. Με υλικό που πληροί τις βασικές απαιτήσεις, αυτό σημαίνει ότι ακόμα κι αν ένας εισβολέας μπορεί να αποκτήσει τον έλεγχο του πυρήνα των Windows, δεν μπορεί να εκτελέσει κακόβουλο εκτελέσιμο κώδικα. Με το σωστό υλικό, το Device Guard μπορεί να χρησιμοποιήσει νέα ασφάλεια που βασίζεται σε εικονικοποίηση στα Windows 10 για να απομονώσει την υπηρεσία Code Integrity από τον πυρήνα των Microsoft Windows. Σε αυτήν την περίπτωση, η υπηρεσία Code Integrity εκτελείται παράλληλα με τον πυρήνα σε ένα κοντέινερ που προστατεύεται από εικονικοποίηση των Windows.

Αυτός ο οδηγός θα σας δείξει πώς μπορείτε να ενεργοποιήσετε ή να απενεργοποιήσετε την ασφάλεια που βασίζεται στην εικονικοποίηση του Device Guard σε υπολογιστές Windows 10 Enterprise και Windows 10 Education.

Πρέπει να είστε συνδεδεμένοι ως διαχειριστής για να ενεργοποιήσετε ή να απενεργοποιήσετε το Device Guard.

• Πώς να ανοίξετε την ασφάλεια των Windows στα Windows 10
• Πώς να ενεργοποιήσετε την Προστασία από παραβίαση για την Ασφάλεια των Windows στα Windows 10
• Βελτιώστε την ασφάλεια των Windows 10 με το Exploit Protection

Πώς να ενεργοποιήσετε ή να απενεργοποιήσετε το Device Guard

Βήμα 1 . Ανοίξτε τις δυνατότητες των Windows.

Στα Windows 10 Enterprise/Education έκδοση 1607 ή νεότερη, επιλέξτε Hyper-V Hypervisor κάτω από το Hyper-V και κάντε κλικ στο OK .

Στις εκδόσεις των Windows 10 Enterprise/Education πριν από την έκδοση 1607, επιλέξτε Hyper-V Hypervisor κάτω από το Hyper-V, επιλέξτε Isolated User Mode και κάντε κλικ στο OK .

Βήμα 2 . Ανοίξτε τον Επεξεργαστή πολιτικής τοπικής ομάδας .

Βήμα 3 . Μεταβείτε στο ακόλουθο κλειδί στο αριστερό παράθυρο του Επεξεργαστή πολιτικής τοπικής ομάδας.

Computer Configuration\Administrative Templates\System\Device Guard

Βήμα 4 . Στο δεξί τμήμα του Device Guard στο Local Group Policy Editor, κάντε διπλό κλικ στην Πολιτική Ενεργοποίηση Virtualization Based Security για να την επεξεργαστείτε.

Βήμα 5 . Ακολουθήστε το Βήμα 6 (ενεργό) ή το Βήμα 7 (απενεργοποίηση).

Βήμα 6 . Για να ενεργοποιήσετε το Device Guard

• Επιλέξτε Ενεργοποιημένο .
• Στις Επιλογές, επιλέξτε Ασφαλής εκκίνηση ή Ασφαλής εκκίνηση και Προστασία DMA στο αναπτυσσόμενο μενού Επιλογή επιπέδου ασφάλειας πλατφόρμας.

Σημείωση: Η επιλογή Ασφαλής εκκίνηση (προτείνεται) παρέχει μια ασφαλή εκκίνηση με πολλαπλές προστασίες που υποστηρίζονται από το υλικό του συγκεκριμένου υπολογιστή. Ένας υπολογιστής με μονάδες διαχείρισης μνήμης εισόδου/εξόδου (IOMMU) θα έχει ασφαλή εκκίνηση με προστασία DMA. Ένας υπολογιστής χωρίς IOMMU θα έχει ενεργοποιημένη μόνο την ασφαλή εκκίνηση.

Το Secure Boot with DMA θα ενεργοποιήσει την ασφαλή εκκίνηση και το VBS μόνο σε υπολογιστές που υποστηρίζουν DMA, δηλαδή σε υπολογιστές με IOMMU. Με αυτήν τη ρύθμιση, οποιοσδήποτε υπολογιστής χωρίς IOMMU δεν θα έχει προστασία VBS (με βάση το υλικό), αν και μπορεί να ενεργοποιήσει πολιτικές ακεραιότητας κώδικα.

• Στις Επιλογές, επιλέξτε Enabled with UEFI lock ή Enabled without lock στο αναπτυσσόμενο μενού Virtualization Based Protection of Code Integrity.

Σημείωση: Η επιλογή Enabled with UEFI lock διασφαλίζει ότι η προστασία της ακεραιότητας κώδικα βάσει εικονικοποίησης δεν απενεργοποιείται εξ αποστάσεως. Για να απενεργοποιήσετε αυτήν τη δυνατότητα, πρέπει να ορίσετε την Πολιτική ομάδας σε Απενεργοποίηση καθώς και να καταργήσετε τη λειτουργία ασφαλείας για κάθε υπολογιστή με τον τρέχοντα χρήστη για να διαγράψετε τη διαμόρφωση στο UEFI.

Η επιλογή Ενεργοποιημένο χωρίς κλείδωμα επιτρέπει την απομακρυσμένη απενεργοποίηση της προστασίας ακεραιότητας κώδικα βάσει εικονικοποίησης χρησιμοποιώντας την πολιτική ομάδας.

• Εάν θέλετε, μπορείτε επίσης να ενεργοποιήσετε το Credential Guard επιλέγοντας Enabled with UEFI lock ή Enabled without lock στο αναπτυσσόμενο μενού Credential Guard Configuration.

Σημείωση: Η επιλογή Enabled with UEFI lock διασφαλίζει ότι το Credential Guard δεν απενεργοποιείται εξ αποστάσεως. Για να απενεργοποιήσετε αυτήν τη δυνατότητα, πρέπει να ορίσετε την Πολιτική ομάδας σε Απενεργοποίηση καθώς και να καταργήσετε τη λειτουργία ασφαλείας σε κάθε υπολογιστή, ώστε ο τρέχων χρήστης να διαγράψει τη διαμόρφωση στο UEFI.

Η επιλογή Ενεργοποιημένο χωρίς κλείδωμα επιτρέπει την απομακρυσμένη απενεργοποίηση του Credential Guard χρησιμοποιώντας την Πολιτική ομάδας. Οι συσκευές που χρησιμοποιούν αυτήν τη ρύθμιση πρέπει να εκτελούν Windows 10 (έκδοση 1511) ή νεότερη έκδοση.

• Πηγαίνετε στο Βήμα 8.

Βήμα 7 . Για να απενεργοποιήσετε το Device Guard

Επιλέξτε Not Configured or Disabled , κάντε κλικ στο OK και μεταβείτε στο Βήμα 8.

Σημείωση : Το Not Configured είναι η προεπιλεγμένη ρύθμιση.

Βήμα 8 . Κλείστε το πρόγραμμα επεξεργασίας πολιτικής τοπικής ομάδας.

Βήμα 9 . Κάντε επανεκκίνηση του υπολογιστή για να εφαρμόσετε αλλαγές.

Σας εύχομαι επιτυχία!