L’avvio sicuro di System Guard è una funzionalità di sicurezza integrata di Windows che protegge il sistema convalidando il firmware e l’hypervisor durante il processo di avvio. Detto questo, non può essere semplicemente attivata senza una conoscenza avanzata di altre funzionalità e impostazioni di Windows. Questa guida introduce i requisiti chiave e i metodi principali per abilitare o disabilitare l’avvio sicuro di System Guard sui sistemi compatibili.
Prerequisiti e metodi per la gestione delle impostazioni dell’avvio sicuro di System Guard
Prima di apportare qualsiasi modifica, tieni conto di questi requisiti di sistema e di accesso:
✔️ È necessario un firmware UEFI con supporto Secure Boot .
✔️ TPM2.0 deve essere attivo e abilitato.
✔️ Hyper-V e la sicurezza basata sulla virtualizzazione (VBS) devono essere supportati/abilitati.
✔️ Sono necessari i privilegi di amministratore.
Metodo 1: Abilitazione o disabilitazione tramite Criteri di gruppo
Questo metodo è disponibile sia su Windows 10 (1903+) che su Windows 11. In Windows 10, l’impostazione potrebbe non apparire se i modelli ADMX non sono aggiornati.
Gli strumenti di gestione dei Criteri di gruppo sono disponibili per le edizioni Windows Pro, Enterprise ed Education. Questo metodo GPO è consigliato per la distribuzione in batch.
- Premi Win + R, digita gpedit. msc e clicca su OK per aprire l’ Editor dei criteri di gruppo locali.
- Accedi a Configurazione del computer → Modelli amministrativi → Sistema → Device Guard.
- Fai doppio clic su Attiva l’avvio sicuro.
- Seleziona Abilita per applicare l’avvio sicuro all’avvio o scegli Disabilita per disabilitare l’avvio sicuro. Puoi anche lasciare Non configurato, così che seguirà l’impostazione predefinita del sistema o del registro di sistema.
- Fai clic su Applica, quindi su OK per confermare e uscire.
- Riavvia il sistema per rendere effettiva la modifica.
ℹ️ Nota: Puoi eseguire il comando gpupdate/force per applicare immediatamente le modifiche. Dai un’occhiata a questo video dimostrativo. Altrimenti, le nuove impostazioni verranno applicate all’intervallo successivo.
Se abilitato, l’avvio sicuro convalida il firmware e i componenti critici di avvio rispetto alle misurazioni basate sull’hardware.
Metodo 2: Configurazione dell’avvio sicuro tramite l’Editor del Registro di sistema
Questo metodo supporta le distribuzioni tramite script ed è consigliato per i sistemi che non hanno accesso a GPO. È supportato sia su Windows 10 che su Windows 11, anche se Windows 11 offre un migliore feedback dell’interfaccia utente per la verifica.
- Premi la combinazione di tasti Win + R, digita regedit e clicca su OK per aprire l’ Editor del registro.
- Naviga o copia e incolla il seguente percorso nella barra degli indirizzi del Registro di sistema: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
- Modifica o crea il valore EnableSecureLaunch . (Per crearlo) Nel riquadro destro, fai clic con il tasto destro del mouse → Nuovo → Valore DWORD (32 bit). Salta questo passaggio se il valore esiste già.
- Fai doppio clic sul valore e imposta i dati del valore su 1 per attivarlo o 0 per disattivarlo.
- Fai clic su OK per confermare.
⚠️Attenzione: Le modifiche involontarie al registro di Windows possono compromettere le prestazioni e la stabilità del sistema. Scopri come eseguire il backup del Registro di sistema e creare un punto di ripristino prima di configurare il database.
Script PowerShell per la configurazione dell’avvio sicuro
Nel frattempo, puoi utilizzare questo script PowerShell per modificare i valori del registro.
Abilitare l’avvio sicuro:
- Apri PowerShell dalla Barra di ricerca e seleziona Esegui come amministratore.
- Utilizza il seguente comando per abilitare l’avvio sicuro:
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard” `
-Name “EnableSecureLaunch” -Value 1
Disattivare l’avvio sicuro:
- Apri PowerShell dalla Barra di ricerca e seleziona Esegui come amministratore.
- Utilizza il seguente comando per abilitare l’avvio sicuro:
Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard” `
-Name “EnableSecureLaunch” -Value 0
Dopo aver applicato le modifiche, riavvia il dispositivo. Puoi, anche, utilizzare il Registro di Windows per verificare che i valori siano stati aggiornati correttamente.
Nota: Funziona allo stesso modo sia su Windows 10 che su Windows 11. Utilizza PowerShell o il Registro di sistema per verificare su Windows 10.
Ulteriori considerazioni e suggerimenti sull’avvio sicuro
Ecco alcune considerazioni importanti da tenere in considerazione se scegli di attivare o disattivare la funzionalità di Avvio sicuro:
- L’avvio sicuro deve essere abilitato in UEFI affinché l’avvio sicuro funzioni.
- BitLocker: L’attivazione dell’avvio sicuro può provocare la richiesta della chiave di ripristino all’avvio successivo. Sospendi BitLocker prima di apportare modifiche.
- Compatibilità: Richiede Intel vPro (Coffee Lake+) o AMD Zen 2+, TPM 2.0, l’avvio sicuro ed estensioni di virtualizzazione. I dispositivi legacy potrebbero non riuscire ad avviarsi con l’avvio sicuro abilitato se viene abilitato l’avvio sicuro.
- Hyper-V & VBS: Assicurati che entrambi siano abilitati nelle impostazioni di sicurezza del firmware e di Windows.
Inoltre, i problemi di avvio sicuro richiedono spesso una complessa risoluzione dei problemi. Ti consigliamo di fare una prova prima, verificare la compatibilità dei driver e fare un benchmark dei tempi di avvio e delle prestazioni del sistema.
Quando attivare l’avvio sicuro di System Guard
L’avvio sicuro di System Guard Secure aggiunge un forte livello di protezione durante il processo di avvio del sistema. Di conseguenza, può essere fondamentale per le strategie di distribuzione in ambienti aziendali di livello enterprise e per i principali endpoint aziendali.
Gli amministratori possono gestire facilmente questa funzionalità utilizzando i Criteri di gruppo, il Registro di sistema o PowerShell per soddisfare la conformità alla sicurezza e rafforzare i protocolli di protezione dei dati. Tieni presente che questa attivazione non è adatta ai dispositivi legacy. Inoltre, il personale IT deve verificare regolarmente se il programma sta raggiungendo i suoi obiettivi, soprattutto perché di tanto in tanto possono sorgere problemi di compatibilità.
