Belangrijkste punten
- Ontbreekt de schakelaar voor geheugenintegriteit of is deze niet beschikbaar, dan zijn meestal de virtualisatievereisten uitgeschakeld of blokkeren incompatibele kernelstuurprogramma’s de geheugenintegriteit.
- Controleer eerst de platformvereisten zoals UEFI, Secure Boot, TPM en virtualisatie op firmwareniveau voordat u dieper gaat zoeken.
- Spoor verouderde stuurprogramma’s op via het paneel Kernisolatie in Windows-beveiliging of met PowerShell-opdrachten zoals Get-WindowsDriver en werk ze bij of verwijder ze om de HVCI-compatibiliteit te herstellen.
- Verkeerd geconfigureerde beleidsregels kunnen HVCI stilletjes opnieuw uitschakelen na een reboot. Zorg ervoor dat WDAC-regels, de modus van Smart App Control en Intune- of GPO-basislijnen toestaan dat WHQL-ondertekende stuurprogramma’s onder VBS worden geladen.
- Zodra vereisten, stuurprogramma’s en beleidsregels op één lijn liggen, schakelt u geheugenintegriteit in, start u opnieuw op, controleert u of de functie actief blijft en legt u de goedgekeurde stuurprogrammaversies vast voor een consistente uitrol.
Kernisolatie gebruikt virtualisatiegebaseerde beveiliging om het geheugen van de kernel te beschermen. Toch krijgt u soms de waarschuwing “Kernisolatie niet beschikbaar” in Windows 11 wanneer u de functie wilt inschakelen. Ontbreekt de functie of de schakelaar voor geheugenintegriteit of is deze grijs, dan betekent dat meestal dat niet aan de virtualisatievereisten is voldaan of dat er incompatibele stuurprogramma’s op uw systeem staan.
Zo lost u de foutmelding “Kernisolatie niet beschikbaar” in Windows 11 op
📌 Vereisten:
- U hebt lokale beheerderstoegang nodig op een testdevice.
- U hebt een ruim onderhoudsvenster nodig voor firmware- en stuurprogramma-updates.
- U hebt toegang nodig tot Apparaatbeveiliging, Logboeken en Windows PowerShell met verhoogde machtigingen.
Methode 1: platform- en virtualisatievereisten controleren
Controleer eerst of het systeem de volgende functies ondersteunt en of deze zijn ingeschakeld:
- UEFI
- Secure Boot
- TPM
- Virtualisatie in de firmware en het Virtual Machine-platform of Hyper-V-onderdelen
Zodra u hebt vastgesteld dat deze functies aanwezig zijn, gaat u naar Windows-beveiliging > Apparaatbeveiliging en kijkt u of Kernisolatie beschikbaar is. Zo niet, pas dan de verschillende methoden toe.
Methode 2: blokkerende stuurprogramma’s opsporen en verwijderen
- Ga naar Windows-beveiliging.
- Klik op Apparaatbeveiliging > Details van kernisolatie.
- Daar ziet u een lijst met incompatibele stuurprogramma’s. Werk ze bij of verwijder ze.
Staan er geen stuurprogramma’s in de lijst, dan moet u handmatig een inventarisatie maken van de kernelstuurprogramma’s om niet-ondertekende of verouderde onderdelen te vinden. Voer daarvoor deze opdracht uit in Windows PowerShell:
Get-WindowsDriver -Online | Where-Object {$_.Signer -eq "Unsigned"} | Select-Object ClassName, OriginalFileName, ProviderName
Let daarna op:
- Niet-ondertekende stuurprogramma’s
- Stuurprogramma’s ouder dan de generatie Windows 10/2016
- Verouderde filterstuurprogramma’s
- Hulpsoftware die vóór uw Windows-upgrade is geïnstalleerd
Deze zaken kunnen het probleem veroorzaken. Verwijder ze of werk ze bij.
Methode 3: beleid en toepassingsbeheer op elkaar afstemmen
Er zijn verschillende onderdelen in uw computer die Kernisolatie kunnen blokkeren. Loop ze allemaal na en zorg ervoor dat ze goed zijn geconfigureerd.
Windows Defender Application Control (WDAC)
WDAC kan bepaalde kernelmodus-stuurprogramma’s blokkeren of specifieke ondertekenings- of CI-regels bevatten. Om dit aan te passen, gaat u als volgt te werk:
- Open Logboeken.
- Ga naar Logboeken van toepassingen en services > Microsoft > Windows > CodeIntegrity > Operational.
- Kijk of er fouten staan die te maken hebben met geblokkeerde kernelstuurprogramma’s.
Bekijk daarnaast de toegepaste WDAC-beleidsregels (gebruik Get-CIPolicy in Windows PowerShell of raadpleeg ze in uw MDM-profiel) om te bevestigen dat ze regels ondersteunen die compatibel zijn met kernelstuurprogramma’s. Zorg ervoor dat geen enkel beleid botst met de HVCI-handhaving.
Smart App Control
- Ga naar Windows-beveiliging.
- Klik op App- en browserbeheer > Smart App Control.
- Controleer of de functie Uit, Aan of in de Evaluatiemodus staat.
- Staat de functie Aan en ziet u in de logboeken conflicten met Kernisolatie, zet Smart App Control dan in de Evaluatiemodus.
Beveiligingsbasislijnen (Intune, GPO, CIS, DoD, OEM-basislijnen)
De volgende beveiligingsbasislijnen kunnen Kernisolatie bewust afdwingen of blokkeren waardoor de functie ongemerkt mislukt:
- VBS / HVCI
- Device Guard-beleid
- LSA-beveiliging
- Credential Guard
- Beleid voor het laden van stuurprogramma’s
Om dit op te lossen, gaat u als volgt te werk:
- Ga naar de Editor voor lokaal groepsbeleid.
- Navigeer naar Computerconfiguratie > Beheersjablonen > Systeem > Device Guard
- Daar vindt u Windows Defender Application Control implementeren en Op virtualisatie gebaseerde beveiliging inschakelen. Configureer dit beleid naar behoefte.
Bekijk ook uw Intune-beveiligingsbasislijnen als die van toepassing zijn. Zorg ervoor dat er geen tegenstrijdig CI-, virtualisatie- of stuurprogrammabeleid wordt afgedwongen.
Methode 4: firmware en kernstuurprogramma’s bijwerken
BIOS- of UEFI-firmware van de OEM bijwerken
Verouderde BIOS- of UEFI-firmware kan geheugenintegriteit blokkeren om de volgende redenen:
- Mogelijk is er geen volledige ondersteuning voor virtualisatiegebaseerde beveiliging (VBS)
- Mogelijk gebruikt u verouderde ACPI-tabellen of microcode
- Uw firmware kan bugs bevatten die HVCI, virtualisatie of Secure Boot beïnvloeden
- Uw device initialiseert Intel VT-x, AMD-V of IOMMU/VT-d mogelijk niet correct
Om de BIOS- en UEFI-firmware bij te werken, gaat u naar de website van de fabrikant van uw systeem en kijkt u of er updates beschikbaar zijn. Zijn die er, download ze dan en volg de installatie-instructies.
Chipsetstuurprogramma’s van de OEM bijwerken
Chipsetstuurprogramma’s bepalen hoe uw systeem samenwerkt met de CPU-cores, I/O-controllers, het geheugen, de virtualisatie-extensies en de energiestanden van de computer. Zijn uw chipsetstuurprogramma’s verouderd, dan kunnen ze HVCI blokkeren omdat ze moderne kernel-DMA-beveiliging niet ondersteunen, virtualisatievereisten niet beschikbaar maken of oude of niet-ondertekende kernelonderdelen gebruiken.
Om uw chipsetstuurprogramma’s bij te werken, zoekt u in Apparaatbeheer op welk chipsetstuurprogramma u hebt. Zodra u weet welk stuurprogramma u moet bijwerken, gaat u naar de website van de fabrikant en kijkt u of er updates beschikbaar zijn. Download en installeer ze als die er zijn.
Opslagstuurprogramma’s bijwerken (SATA, NVMe, RAID)
Opslagstuurprogramma’s kunnen geheugenintegriteit blokkeren als ze:
- Niet ondertekend zijn
- Verouderde filterstuurprogramma’s gebruiken
- Oudere Intel RST-, RAID- of AHCI-stuurprogramma’s gebruiken die niet compatibel zijn met HVCI
Om uw opslagstuurprogramma’s bij te werken, zoekt u in Apparaatbeheer op welk opslagstuurprogramma u hebt. Zodra u weet welk stuurprogramma u moet bijwerken, gaat u naar de website van de fabrikant en kijkt u of er updates beschikbaar zijn. Download en installeer ze als die er zijn.
Grafische stuurprogramma’s bijwerken
GPU-stuurprogramma’s hebben diepgaande toegang tot het kernelgeheugen. Daarom duiken verouderde grafische stuurprogramma’s vaak op in de lijst met “incompatibele stuurprogramma’s” die geheugenintegriteit blokkeren.
Om uw grafische stuurprogramma’s bij te werken, zoekt u in Apparaatbeheer op welk grafisch stuurprogramma u hebt. Zodra u weet welk stuurprogramma u moet bijwerken, gaat u naar de website van de fabrikant en kijkt u of er updates beschikbaar zijn. Download en installeer ze als die er zijn.
Methode 5: geheugenintegriteit valideren en inschakelen
Nu u alles hebt nagelopen wat geheugenintegriteit kan blokkeren, is het tijd om de functie te activeren. Ga daarvoor als volgt te werk:
- Open Windows-beveiliging.
- Ga naar Apparaatbeveiliging > Details van kernisolatie.
- Zet Geheugenintegriteit aan.
- Start de computer opnieuw op wanneer daarom wordt gevraagd.
- Ga terug naar Details van kernisolatie en controleer of de functie aan blijft staan en of er geen incompatibele stuurprogramma’s meer zijn.
Wat u verder nog moet doen
Bewijs en audittrail
Nadat u geheugenintegriteit met succes hebt geactiveerd, legt u alles vast wat u hebt gedaan. Maak screenshots van de pagina Kernisolatie vóór en nadat u het probleem hebt opgelost en noteer de namen en versies van de stuurprogramma’s die u hebt verwijderd of bijgewerkt. Bewaar al uw bewijsmateriaal in uw RMM en zorg ervoor dat het devicemodel, de BIOS-versie en de reikwijdte van het beleid in het ticket worden vastgelegd.
Uitrol over het wagenpark en vangrails
Om een herhaling van het incident te voorkomen, doet u het volgende:
- Test beste praktijken op representatieve modellen en controleer of ze werken zoals u wilt.
- Houd per model bij welke stuurprogrammaversies zijn goedgekeurd en neem ze op in uw onboarding-runbook.
- Stem dit af op uw aanpak voor Credential Guard en LSA-beveiliging voor een consistente beveiligingsbasislijn.
Overzicht van beste praktijken bij het activeren van Kernisolatie in Windows 11
Praktijk | Doel | Opgeleverde waarde |
| Controleer virtualisatie en Secure Boot. | Zo weet u zeker dat het device aan alle vereisten voldoet om Kernisolatie te activeren. | U hebt minder valse starts. |
| Werk blokkades bij of verwijder ze. | Dit deblokkeert geheugenintegriteit en zorgt ervoor dat uw systeemstuurprogramma’s goed zijn bijgewerkt. | U krijgt sterkere kernelbeveiliging. |
| Gebruik door de OEM ondertekende stuurprogramma’s. | Zo weet u zeker dat uw stuurprogramma’s compatibel zijn met geheugenintegriteit. | Dit levert minder regressies op. |
| Documenteer goedgekeurde stuurprogramma’s | Dit maakt audits eenvoudiger en het proces herhaalbaar. | Toekomstige uitrollen verlopen hierdoor sneller. |
| Test voordat u het hele wagenpark aanpast | U vindt randgevallen gemakkelijker en kunt er rekening mee houden. | Dit verkleint de risico’s tijdens de volledige implementatie. |
Problemen oplossen bij het activeren van Microsoft-geheugenintegriteit
Probleem | Oplossing |
| De schakelaar voor geheugenintegriteit ontbreekt of is grijs. | Een stuurprogramma is incompatibel of virtualisatie staat uit. Werk het stuurprogramma bij of verwijder het en controleer de firmware-instellingen. |
| De functie staat na een reboot weer uit. | Een beleidsregel of instelling voor toepassingsbeheer zet de status mogelijk terug. Controleer WDAC of uw beheerprofielen. |
| Een verouderd device is nodig voor de bedrijfsvoering. | Neem contact op met de leverancier en vraag om een ondertekend, compatibel stuurprogramma. Kan dat niet, isoleer het gebruik dan en documenteer de uitzondering. |
| Kernisolatie is aanwezig, maar na het inschakelen treden crashes op. | Draai de laatste stuurprogrammawijziging terug en test stap voor stap om de veroorzaker te achterhalen. |
Bescherm uw devices beter door geheugenintegriteit op uw Windows 11-computers te activeren
Er zijn veel mogelijke redenen waarom kernisolatie niet beschikbaar is op een computer. Het eerste wat u moet doen is de basis op orde brengen door te controleren of de functie daadwerkelijk beschikbaar is. Helpt dat niet, verwijder dan blokkerende stuurprogramma’s en stem alles af op het beleid. Als aan de vereisten is voldaan en de stuurprogramma’s zijn bijgewerkt, kunt u ervan uitgaan dat geheugenintegriteit ingeschakeld blijft en uw endpoint-basislijn versterkt.
Gerelateerde links:
- Credential Guard en LSA-beveiliging inschakelen op clientdevices
- Wat is virtualisatie? Definitie en overzicht
- CPU-virtualisatie inschakelen in het BIOS van uw computer
- Virtualisatie versus cloud computing: wat is het verschil?
- Virtualisatiegebaseerde beveiliging van kernisolatie in- of uitschakelen in Windows 10
