Эксперты в подборе IT-оборудования
Безопасность на основе виртуализации (VBS, Virtualization-Based Security) - это механизм Windows 10 и 11, который с помощью встроенного гипервизора выделяет изолированную область памяти и держит в ней то, что нельзя доверить обычному ядру: проверку подписей драйверов ядра и секреты входа. Даже если вредоносная программа получит права ядра, до этой области она не дотянется.
Чтобы отключить VBS, в большинстве случаев достаточно выключить «Целостность памяти» в разделе «Безопасность Windows» → «Безопасность устройства» → «Изоляция ядра» и перезагрузить компьютер. Если VBS после этого всё ещё работает, её держат компоненты Hyper-V, групповая политика или Credential Guard - разбор каждого случая ниже, как и ответ на вопрос, на каких компьютерах отключать её не стоит.
В обычном режиме у ядра Windows высшие права в системе: кто им завладел, тот может всё. VBS меняет эту схему. При загрузке запускается гипервизор Windows (тот же, что у Hyper-V), а под его защитой работают обычная Windows и отдельное «защищённое ядро». Память защищённой части недоступна даже ядру основной системы, поэтому туда выносят проверки и данные, которые нельзя доверить ядру, если его взломали.
Сама по себе VBS - фундамент. Защиту дают службы, которые на нём работают:
| Компонент | Что защищает | Где встречается |
|---|---|---|
| Целостность памяти (HVCI) | Не даёт загрузить в ядро неподписанный или изменённый драйвер и запрещает исполнять код из областей памяти ядра, где его быть не должно | Windows 10 и 11 всех редакций, включается в «Безопасности Windows» |
| Credential Guard | Прячет хеши паролей и билеты Kerberos от программ вроде Mimikatz, которые вытаскивают их из памяти | Windows 10/11 Корпоративная и для образовательных учреждений, Windows Server |
| System Guard | Проверяет, что загрузка прошла без вмешательства в прошивку | Компьютеры с поддержкой Secure Launch |
Частая путаница - VBS и Песочница Windows (Windows Sandbox). Песочница - это одноразовая виртуальная машина, где можно запустить подозрительную программу и закрыть окно вместе со всеми последствиями. Она тоже работает на гипервизоре, но это отдельный компонент: его включают в «Компонентах Windows» на редакциях Pro и выше, и к защите ядра он отношения не имеет.
Быстрее всего - через «Сведения о системе». Нажмите Win+R, введите msinfo32 и в разделе «Сводка по системе» пролистайте вниз до строки «Безопасность на основе виртуализации». Возможны три состояния: выполняется (VBS работает), включено, но не выполняется (настройка есть, но запуску что-то мешает, чаще всего выключенная виртуализация в BIOS), не включено. Строкой ниже перечислены службы, которые сейчас работают.
Для скриптов и проверки многих машин подойдёт PowerShell, запущенный от администратора:
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
В выводе смотрите два поля. VirtualizationBasedSecurityStatus: 0 - VBS не включена, 1 - включена, но не работает, 2 - работает. SecurityServicesRunning: 1 - работает Credential Guard, 2 - работает целостность памяти.
Способы идут по нарастанию: каждый следующий нужен, если предыдущий не помог. После каждого шага перезагрузите компьютер и проверьте статус через msinfo32.
«Параметры» → «Конфиденциальность и защита» → «Безопасность Windows» → «Безопасность устройства» → «Сведения об изоляции ядра» → переключатель «Целостность памяти» в положение «Откл.». Windows предупредит, что устройство может быть уязвимо, и попросит перезагрузку. На большинстве домашних и офисных компьютеров этого достаточно: именно целостность памяти обычно и держит VBS включённой.
Если переключатель серый и рядом написано «Этим параметром управляет администратор», значит, функция задана групповой политикой или системой управления (Intune, доменная политика). Тогда отключать нужно там, иначе политика вернёт настройку.
VBS может продолжать работать, пока гипервизор Windows загружается ради других задач. Откройте «Включение или отключение компонентов Windows» (Win+R → optionalfeatures) и снимите флажки с Hyper-V, «Платформа виртуальной машины» и «Платформа низкоуровневой оболочки Windows». Учтите, что вместе с ними перестанут работать WSL 2, Docker Desktop на движке WSL 2 и Песочница Windows.
Если компоненты нужно оставить установленными, но гипервизор не запускать, это делается командой в командной строке от администратора:
bcdedit /set hypervisorlaunchtype off
Пока гипервизор не загружается, не запустятся и виртуальные машины Hyper-V. Вернуть как было - та же команда со значением auto.
Администратор может включить VBS «с блокировкой UEFI»: тогда настройка хранится в прошивке, и ни реестр, ни политика её не снимут. Отключение в этом случае требует физического доступа к компьютеру - отключения Secure Boot в BIOS или отдельной процедуры Microsoft с подтверждением при загрузке. На рабочем компьютере в домене это повод не искать обходной путь, а спросить администратора: блокировку ставят именно для того, чтобы защиту нельзя было снять тихо.
Через групповую политику (Windows Pro и выше): Win+R → gpedit.msc → «Конфигурация компьютера» → «Административные шаблоны» → «Система» → Device Guard → параметр «Включить средство обеспечения безопасности на основе виртуализации» (в английской версии - Turn On Virtualization Based Security). Выберите «Отключено» и перезагрузитесь. На компьютере в домене локальная политика уступит доменной - тогда менять надо на контроллере домена.
Через реестр - тот же результат, ключи взяты из документации Microsoft. Перед правкой сделайте точку восстановления. Команды для командной строки от администратора:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v EnableVirtualizationBasedSecurity /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v Enabled /t REG_DWORD /d 0 /f
Первая строка выключает VBS, вторая - целостность памяти. Если на компьютере работает Credential Guard, его выключает параметр LsaCfgFlags = 0 в ключе HKLM\SYSTEM\CurrentControlSet\Control\Lsa. Значения в ветке HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard принадлежат групповой политике: если они там есть, правка в обычной ветке продержится до ближайшего обновления политики.
Цена VBS - производительность. Каждое обращение к памяти ядра проходит дополнительную проверку, и это заметнее всего в играх: игровые издания в 2021-2026 годах намеряли потери от единиц процентов до 15 % и больше в отдельных играх. Сильнее всего страдают старые процессоры. По данным Microsoft, целостность памяти работает быстрее на Intel начиная с 7-го поколения (Kaby Lake) и на AMD начиная с Zen 2: у них есть нужные аппаратные функции, а на старых чипах Windows их эмулирует.
Цена отключения - защита. Без целостности памяти уязвимый драйвер снова становится дверью в ядро, а без Credential Guard пароли администраторов достаются из памяти одной командой. Решение зависит от того, что это за компьютер:
| Компьютер | Отключать? | Почему |
|---|---|---|
| Домашний игровой ПК | Можно | Важных данных и доменных учёток нет, выигрыш в FPS ощутим, особенно на старом процессоре |
| Рабочий ПК в домене, бухгалтерия, ПК администратора | Нет | На таких машинах воруют учётные данные, с них атака идёт дальше по сети |
| Сервер Windows Server | Нет, кроме проверенной несовместимости | В Windows Server 2025 Credential Guard включается по умолчанию на подходящем оборудовании - это осознанный выбор Microsoft |
| ПК со старым VMware Workstation или VirtualBox | Лучше обновить гипервизор | VMware Workstation с версии 15.5.5 и VirtualBox умеют работать поверх Hyper-V, хотя и медленнее, чем на «чистом» железе |
| Драйвер старого оборудования не загружается | Сначала обновить драйвер | Отключать защиту ради одного устройства - крайний вариант |
Включается тем же переключателем: «Безопасность Windows» → «Безопасность устройства» → «Сведения об изоляции ядра» → «Целостность памяти» → «Вкл.», затем перезагрузка. VBS включится вместе с ней. Начиная с Windows 11 22H2 «Безопасность Windows» показывает предупреждение, если целостность памяти выключена.
Если включить не получается, Windows почти всегда показывает причину - ссылку «Просмотреть несовместимые драйверы». Чаще всего это старые драйверы виртуальных дисков, античитов, программ разгона и мониторинга. Их обновляют или удаляют через диспетчер устройств, после чего переключатель становится доступен. Для парка компьютеров целостность памяти включают групповой политикой (тот же параметр, «Включено без блокировки») или через Intune.
| Симптом | Причина | Что делать |
|---|---|---|
| msinfo32: «включено, но не выполняется» | Выключена виртуализация процессора (VT-x/AMD-V) в BIOS или нет Secure Boot | Включить виртуализацию и Secure Boot в настройках прошивки |
| Синий экран или нестабильность после включения целостности памяти | Несовместимый драйвер | Если функцию включила сама Windows, после неудачных загрузок она её отключит; если нет - выключить через реестр из среды восстановления |
| Старая виртуальная машина в VMware или VirtualBox не стартует или тормозит | Гипервизор Windows занял аппаратную виртуализацию | Обновить VMware Workstation или VirtualBox, либо отключить Hyper-V (шаг 2) |
| Перестали работать программы андервольтинга (ThrottleStop, Intel XTU) | VBS закрывает им прямой доступ к настройкам процессора | Выбрать: андервольт или защита ядра |
| После включения Credential Guard перестали сохраняться пароли VPN или Wi-Fi | Credential Guard блокирует устаревшие протоколы входа с сохранёнными паролями (например, MS-CHAPv2) | Перевести VPN и Wi-Fi на вход по сертификатам |
Восстановление через среду восстановления Windows: загрузитесь в неё (с установочной флешки или автоматически после нескольких неудачных загрузок подряд), откройте командную строку и выполните ту же команду, что выключает целостность памяти в реестре (вторая строка из раздела про реестр). Если функция включалась политикой, сначала отключите политику, иначе она вернётся. При включении с блокировкой UEFI для восстановления придётся отключить Secure Boot.
VBS работает только на 64-битном процессоре с аппаратной виртуализацией (Intel VT-x или AMD-V) и трансляцией адресов второго уровня (SLAT: Intel EPT или AMD RVI). Её поддерживают все процессоры последних десяти лет, но виртуализацию часто выключают в BIOS - как её включить на платах Intel и AMD, разобрано в статье про виртуализацию в BIOS.
Остальное Microsoft перечисляет как требования для полной защиты: загрузка в режиме UEFI с включённым Secure Boot, модуль IOMMU (Intel VT-d или AMD-Vi) для защиты от атак через прямой доступ к памяти и модуль TPM 2.0, в котором Credential Guard хранит ключи. Без TPM и IOMMU сама VBS запустится, но часть защиты будет недоступна.
Если Windows установлена в режиме Legacy BIOS (диск размечен как MBR), Secure Boot не включить. Переустанавливать систему не обязательно: штатная утилита mbr2gpt переводит системный диск в GPT без потери данных. Сначала проверка, потом преобразование:
mbr2gpt /validate /disk:0 /allowFullOS
mbr2gpt /convert /disk:0 /allowFullOS
После преобразования нужно сразу переключить в настройках прошивки режим загрузки с Legacy/CSM на UEFI, иначе система не загрузится. Операция необратимая, поэтому перед ней - полная резервная копия.
Целостность памяти защищает и виртуальные машины: внутри гостевой Windows она включается так же, как на физическом компьютере. В Hyper-V для этого нужна виртуальная машина второго поколения с Windows 10 или Windows Server 2016 и новее на хосте и в госте. Совместима она и с вложенной виртуализацией. Несовместимы два режима: виртуальные адаптеры Fibre Channel и сквозные диски с параметром AllowFullSCSICommandSet. Для таких ВМ VBS отключают с хоста:
Set-VMSecurity -VMName "имя ВМ" -VirtualizationBasedSecurityOptOut $true
В VMware ESXi у виртуальной машины есть флажок Enable Virtualization Based Security. Он сам переводит ВМ на загрузку EFI с Secure Boot, включает IOMMU и пробрасывает гостю аппаратную виртуализацию. Нужны ESXi 6.7 и новее для Intel (для AMD - 7.0 Update 2 и новее), включённые в BIOS хоста VT-x/AMD-V и VT-d/AMD-Vi. Переключать с BIOS на EFI уже установленную гостевую систему опасно - она может перестать загружаться, поэтому VBS удобнее закладывать при создании ВМ.
На серверах VBS - уже не опция. В Windows Server 2025 Credential Guard (а значит, и VBS) включается по умолчанию на оборудовании, которое отвечает требованиям. Поэтому сервер под Hyper-V сразу выбирают с процессором, поддерживающим виртуализацию и IOMMU, и с модулем TPM 2.0. Другие меры защиты Windows-сервера собраны в статье о том, как обеспечить безопасность Windows-сервера, а угрозы для самого гипервизора и ВМ - в материале о защите гипервизора и виртуальных машин.
Микровиртуализация - похожая идея, доведённая до отдельного продукта. Компания Bromium запускала каждую вкладку браузера и каждый открытый документ в собственной микро-ВМ: если файл заражён, вредонос остаётся внутри и исчезает при закрытии. В 2019 году Bromium купила HP, и технология живёт в корпоративных компьютерах HP под названием Sure Click. Встроенный аналог в самой Windows - Песочница, а для контроля того, какие программы вообще можно запускать, используют белые списки приложений - о них мы писали в статье о защите удалённого Windows-сервера.
По теме: сравнение гипервизоров 2026: Proxmox, ESXi, Hyper-V и KVM.
Подбираете сервер под Hyper-V или рабочие станции с защитой ядра?
Подберём конфигурацию, на которой VBS, Credential Guard и виртуальные машины работают без компромиссов: процессоры с аппаратной виртуализацией и IOMMU, модуль TPM 2.0, прошивка с Secure Boot. Посмотрите сервер для виртуализации в каталоге или напишите нам: +7 (800) 551-80-12, info@ittelo.ru. Серверами мы занимаемся больше 11 лет и за это время накопили серьёзную экспертизу. Даём гарантию до 5 лет, берём сервер на постпродажное обслуживание и не пропадаем после отгрузки.
