Op virtualisatie gebaseerde beveiliging bij kernisolatie in- of uitschakelen in Windows 11

Windows-beveiliging heeft als belangrijkste taak een systeem te beschermen met antivirussoftware, een betrouwbare firewall en andere beveiligingsfuncties. Onder Apparaatbeveiliging bevat de ingebouwde Windows-beveiliging ook Kernisolatie. Deze belangrijke functie isoleert systeemprocessen met behulp van op virtualisatie gebaseerde beveiliging (VBS). In deze blog bespreken we hoe u deze functie beheert en waarom het nodig kan zijn om Kernisolatie VBS in of uit te schakelen.

Wat is geheugenintegriteit bij kernisolatie?

Geheugenintegriteit, ook bekend als Hypervisor-protected Code Integrity (HVCI), is een onderdeel van Kernisolatie. Het gaat om een Windows-beveiligingsfunctie die helpt voorkomen dat schadelijke code zwaarbeveiligde systeemgebieden binnendringt. Geheugenintegriteit gebruikt hardwarevirtualisatie en Hyper-V om niet-vertrouwde code te blokkeren en versterkt zo de bescherming van Windows tegen malware.

Manieren om geheugenintegriteit uit te schakelen

Geheugenintegriteit staat in Windows 11 22H2 standaard aan, al kan de functie uit blijven staan wanneer incompatibele stuurprogramma’s worden gedetecteerd. Moet u de functie toch uitschakelen, dan kunt u een van de methoden in dit hoofdstuk gebruiken.

Methode 1: via de instellingen van Windows-beveiliging

1. Druk op Win + I om de app Instellingen te openen en ga naar Privacy en beveiliging > Windows-beveiliging.

LET OP: u kunt ook rechtstreeks naar Windows-beveiliging gaan door ernaar te zoeken in het menu Start en vervolgens op Windows-beveiliging te klikken.

2. Selecteer Apparaatbeveiliging en klik op Details van kernisolatie onder het gedeelte Kernisolatie.

3. Zoek Geheugenintegriteit op en zet de schakelaar op Uit.

4. Klik op Ja als Gebruikersaccountbeheer (UAC) u vraagt de wijziging te bevestigen.
5. Start uw computer opnieuw op zodat de wijzigingen van kracht worden.

Methode 2: via de Register-editor (Regedit)

1. Druk op Win + R, typ regedit en klik op OK om de Register-editor te openen.
2. Ga naar de registersleutel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity
3. Zoek de DWORD-waarde met de naam “Enabled” en dubbelklik erop.
4. Wijzig de waarde in 0 om geheugenintegriteit uit te schakelen.
5. Sluit de Register-editor en voer een reboot van uw device uit om de wijzigingen door te voeren.

Methode 3: via de Editor voor lokaal groepsbeleid

1. Druk op Win + R, typ gpedit.msc en klik op OK om de Editor voor lokaal groepsbeleid te openen.
2. Ga naar Computerconfiguratie > Beheersjablonen > Systeem > Device Guard.
3. Dubbelklik op Op virtualisatie gebaseerde beveiliging inschakelen en selecteer Uitgeschakeld.
4. Klik op Toepassen en daarna op OK om de instellingen op te slaan.
5. Voer gpupdate /force uit in een opdrachtprompt met verhoogde rechten of start uw computer opnieuw op om de wijzigingen door te voeren.

Methode 4: via de opdrachtprompt

1. Open de opdrachtprompt als administrator.
2. Typ de onderstaande opdracht:

reg add “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity” /v Enabled /t REG_DWORD /d 0 /f

3. Start uw pc opnieuw op om de wijzigingen door te voeren.

Methode 5: via PowerShell

1. Open PowerShell als administrator.
2. Voer de onderstaande opdracht uit:

Set-ItemProperty -Path “HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity” -Name Enabled -Value 0

3. Start uw pc opnieuw op om de wijzigingen door te voeren.

Waarom geheugenintegriteit bij kernisolatie uitschakelen

Geheugenintegriteit bij kernisolatie versterkt de beveiliging van Windows, maar in sommige gevallen wordt de functie toch uitgeschakeld.

• Incompatibele stuurprogramma’s: door de functie in te schakelen kunnen sommige stuurprogramma’s en oudere software niet meer werken.
• Problemen met de systeemprestaties: op oudere hardware kan het systeem trager worden wanneer geheugenintegriteit bij kernisolatie aanstaat. De oorzaak ligt mogelijk bij de resource-intensieve processen die nodig zijn voor op virtualisatie gebaseerde beveiliging.
• Probleemoplossing: het uitschakelen van geheugenintegriteit bij kernisolatie kan helpen om software- of hardwareproblemen sneller op te lossen.

Beveiligingsrisico’s van het uitschakelen van geheugenintegriteit

Als u geheugenintegriteit bij kernisolatie uitschakelt, kan uw systeem blootstaan aan kwetsbaarheden, met beveiligingsrisico’s als gevolg:

• Aanvallen op kernelniveau en installatie van rootkits: aanvallen op kernelniveau maken misbruik van zwakke plekken in de Windows-kernel. Bij deze aanvallen worden meestal ongeautoriseerde rootkits geïnstalleerd die hun aanwezigheid verbergen, waardoor detectie en verwijdering lastig zijn.
• Ongeautoriseerde code-uitvoering: de functie richt zich op het tegenhouden van schadelijke code, dus wanneer u geheugenintegriteit bij kernisolatie uitschakelt kan ongeverifieerde code in bevoorrechte delen van het systeem draaien. Daardoor is het systeem minder bestand tegen malware-aanvallen.
• Zwakkere systeembeveiliging: het uitschakelen van geheugenintegriteit bij kernisolatie kan de effectiviteit van Windows Defender en andere beveiligingsfuncties verminderen.

Zo controleert u de status van geheugenintegriteit bij kernisolatie

In Windows 11 22H2 en later geeft Windows-beveiliging meestal een waarschuwing wanneer geheugenintegriteit uitstaat. Wilt u de status van geheugenintegriteit bij kernisolatie zelf controleren, dan kan dat eenvoudig. Zo gaat u te werk:

1. Open Windows-beveiliging door ernaar te zoeken in het menu Start.
2. Klik op Apparaatbeveiliging in het linkerdeelvenster.
3. Selecteer Details van kernisolatie.
4. Controleer of Geheugenintegriteit op Aan of Uit staat.
5. Zijn er waarschuwingen over incompatibele stuurprogramma’s, los die dan op voordat u geheugenintegriteit inschakelt.

Problemen oplossen bij het uitschakelen van geheugenintegriteit

Als u de instructies nauwkeurig volgt, is het beheren van geheugenintegriteit bij kernisolatie eenvoudig. Toch kunnen er problemen opduiken die het proces verstoren. Hieronder staan de meest voorkomende problemen met de bijbehorende oplossing.

• De schakelaar voor geheugenintegriteit is grijs

Wanneer de optie om geheugenintegriteit bij kernisolatie in of uit te schakelen grijs wordt weergegeven in Windows-beveiliging, kunnen gebruikers de instellingen van de functie niet aanpassen.

Oplossing: staat geheugenintegriteit bij kernisolatie uitgeschakeld in de beveiligingsinstellingen, dan kunt u de instellingen van de functie via andere methoden aanpassen, zoals de Register-editor of de Editor voor lokaal groepsbeleid.

• Uitschakelen lukt niet door systeembeleid

Bepaalde systeembeleidsregels kunnen verhinderen dat gebruikers de instellingen voor geheugenintegriteit bij kernisolatie wijzigen.

Oplossing: zorg ervoor dat u beheerdersrechten hebt wanneer u de instellingen voor geheugenintegriteit bij kernisolatie wijzigt. U kunt zich aanmelden met een beheerdersprofiel of PowerShell dan wel de opdrachtprompt met verhoogde rechten openen. Daarnaast kunt u groepsbeleidsinstellingen aanpassen om beperkingen te omzeilen. Ook kunt u de Register-editor gebruiken om geheugenintegriteit handmatig uit te schakelen.

• Geheugenintegriteit staat na een reboot weer aan

Uw computer opnieuw opstarten is een noodzakelijke stap om de wijzigingen in de instellingen voor geheugenintegriteit bij kernisolatie van kracht te laten worden. Soms wordt geheugenintegriteit na een reboot echter opnieuw ingeschakeld door Windows-updates of door beleidsregels voor eindpuntbeveiliging.

Oplossing: u kunt de instellingen voor geheugenintegriteit bij kernisolatie configureren via groepsbeleid om op virtualisatie gebaseerde beveiliging uit te schakelen. Daarnaast hebben sommige antivirus- of eindpuntbeveiligingsoplossingen eigen instellingen voor geheugenintegriteit die u kunt aanpassen. Tot slot kunnen software- of besturingssysteemupdates bepaalde beveiligingsfuncties opnieuw inschakelen, waaronder instellingen voor geheugenintegriteit bij kernisolatie die u eerder had uitgezet. In dat geval kunt u de instellingen handmatig controleren en opnieuw uitschakelen.

Beveiligingsoverwegingen en beste praktijken

Zoals gezegd brengt het uitschakelen van geheugenintegriteit bij kernisolatie beveiligingsrisico’s met zich mee. Consistente bescherming handhaven is een bewuste manier om uw systeem veilig te houden wanneer een workflow vraagt om het uitschakelen van geheugenintegriteit bij kernisolatie. Dit zijn enkele beste praktijken die u kunt volgen:

1. Houd Windows Defender en Secure Boot ingeschakeld. Windows Defender beschermt uw systeem tegen actieve bedreigingen zoals malware-aanvallen, terwijl Secure Boot voorkomt dat schadelijke software tijdens het opstarten wordt geladen.
2. Gebruik de Trusted Platform Module (TPM) om de beveiligingsfuncties te versterken. Deze functie is een hardwaregebaseerd hulpmiddel dat systeemversleuteling en authenticatie verbetert en zo Windows-functies als Windows Hello en BitLocker helpt beveiligen.
3. Zorg ervoor dat Windows steeds belangrijke updates ontvangt. Sla updates zoals bugfixes en patches niet over, want die beschermen het systeem tegen kwetsbaarheden.
4. Naast Windows moeten ook uw stuurprogramma’s up-to-date blijven zodat ze geen compatibiliteitsproblemen veroorzaken. Werk stuurprogramma’s alleen bij via Apparaatbeheer of via de website van de fabrikant van het device.

Versterk uw device nu met hardwarematige beveiliging. Bekijk Kernisolatie en op virtualisatie gebaseerde beveiliging configureren in Windows.

Geheugenintegriteit bij kernisolatie beheren

Beveiliging handhaven is altijd het belangrijkste doel geweest van geheugenintegriteit bij kernisolatie. Gezien het belang van de voordelen van deze functie kan het uitschakelen ervan grote gevolgen hebben voor de beveiliging van een systeem als geheel. Neem daarom voorzorgsmaatregelen bij het beheren van geheugenintegriteit bij kernisolatie en zorg dat u de risico’s van uitschakelen begrijpt.