System Guard Secure Launch is een geïntegreerde beveiligingsfunctie van Windows die het systeem beschermt door de firmware en de hypervisor tijdens het opstartproces te valideren. U kunt deze functie echter niet zomaar inschakelen zonder gedegen kennis van andere Windows-functies en -instellingen. Deze gids behandelt de belangrijkste vereisten en de belangrijkste methoden om System Guard Secure Launch in of uit te schakelen op compatibele systemen.
Liever een visuele samenvatting? Bekijk onze eenvoudige gids: System Guard Secure Launch in- of uitschakelen voor firmwarebeveiliging in Windows.
Vereisten en methoden voor het beheren van de instellingen van System Guard Secure Launch
Controleer voordat u wijzigingen aanbrengt deze systeem- en toegangsvereisten:
✔️ UEFI-firmware met ondersteuning voor Secure Boot is vereist.
✔️ TPM 2.0 moet actief en ingeschakeld zijn.
✔️ Hyper-V en Virtualization-based Security (VBS) moeten worden ondersteund en ingeschakeld zijn.
✔️ U hebt beheerdersrechten nodig.
Methode 1: in- of uitschakelen via Groepsbeleid
Deze methode is beschikbaar op zowel Windows 10 (1903+) als Windows 11. Op Windows 10 verschijnt de instelling mogelijk pas nadat de ADMX-sjablonen zijn bijgewerkt.
De beheerprogramma’s voor Groepsbeleid zijn beschikbaar in de edities Windows Pro, Enterprise en Education. Deze GPO-methode is aan te raden voor uitrol in batches.
- Druk op Win + R, typ gpedit.msc en klik op OK om de Editor voor lokaal groepsbeleid te openen.
- Ga naar Computerconfiguratie → Beheersjablonen → Systeem → Device Guard.
- Dubbelklik op Secure Launch inschakelen.
- Selecteer Ingeschakeld om Secure Launch bij het opstarten af te dwingen of kies Uitgeschakeld om Secure Launch uit te schakelen. U kunt de instelling ook op Niet geconfigureerd laten staan. Dan volgt het systeem de standaardinstelling of de registerinstelling.
- Klik op Toepassen en daarna op OK om te bevestigen en af te sluiten.
- Start het systeem opnieuw op zodat de wijziging van kracht wordt.
ℹ️ Let op: u kunt het commando gpupdate /force uitvoeren om de wijzigingen direct toe te passen. Bekijk deze videodemonstratie van GPUpdate. Anders worden de nieuwe instellingen bij het volgende interval toegepast.
Als Secure Launch is ingeschakeld, valideert het de firmware en kritieke opstartonderdelen aan de hand van metingen op hardwareniveau.
Methode 2: Secure Launch configureren via de Register-editor
Deze methode ondersteunt uitrol via scripts en is aan te raden voor systemen zonder toegang tot GPO. Ze wordt ondersteund op zowel Windows 10 als Windows 11, al geeft Windows 11 betere feedback in de UI ter verificatie.
- Druk op Win + R, typ regedit en klik op OK om de Register-editor te openen.
- Navigeer naar het volgende pad of kopieer en plak het in de adresbalk van het register: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
- Wijzig of maak de waarde EnableSecureLaunch. (Aanmaken) Klik in het rechterdeelvenster met de rechtermuisknop → Nieuw → DWORD-waarde (32-bits). Sla deze stap over als de waarde al bestaat.
- Dubbelklik op de waarde en stel Waardegegevens in op 1 om de functie in te schakelen of op 0 om ze uit te schakelen.
- Klik op OK om te bevestigen.
⚠️Waarschuwing: onbedoelde wijzigingen in het Windows-register kunnen de prestaties en stabiliteit van uw systeem beïnvloeden. Lees hoe u een back-up van het register maakt en een herstelpunt aanmaakt voordat u de database configureert.
PowerShell-script voor de configuratie van Secure Launch
U kunt de registerwaarden ook aanpassen met dit PowerShell-script.
Secure Launch inschakelen:
- Open PowerShell via Zoeken en selecteer Als administrator uitvoeren.
- Gebruik het volgende commando om Secure Launch in te schakelen:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 1
Secure Launch uitschakelen:
- Open PowerShell via Zoeken en selecteer Als administrator uitvoeren.
- Gebruik het volgende commando om Secure Launch in te schakelen:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 0
Start het device opnieuw op nadat u de wijzigingen hebt toegepast. U kunt ook in het Windows-register controleren of de waarden correct zijn bijgewerkt.
Let op: dit werkt hetzelfde op Windows 10 en Windows 11. Gebruik PowerShell of het register om het op Windows 10 te controleren.
Secure Launch: aanvullende overwegingen en tips
Houd rekening met deze belangrijke punten wanneer u de functie Secure Launch in- of uitschakelt:
- Secure Boot moet ingeschakeld zijn in UEFI om Secure Launch te laten werken.
- BitLocker: als u Secure Launch inschakelt, kan bij de volgende keer opstarten om de herstelsleutel worden gevraagd. Schort BitLocker op voordat u wijzigingen aanbrengt.
- Compatibiliteit: vereist Intel vPro (Coffee Lake+) of AMD Zen 2+, TPM 2.0, Secure Boot en virtualisatie-extensies. Oudere devices starten mogelijk niet op met Secure Launch ingeschakeld.
- Hyper-V & VBS: zorg dat beide ingeschakeld zijn in de firmware en in de beveiligingsinstellingen van Windows.
Daarnaast vragen problemen met Secure Launch vaak om complexe probleemoplossing. Het is verstandig om eerst een pilot te draaien, de compatibiliteit van stuurprogramma’s te controleren en opstarttijden en systeemprestaties te benchmarken.
Wanneer schakelt u System Guard Secure Launch in?
System Guard Secure Launch voegt een stevige beschermingslaag toe tijdens het opstartproces van het systeem. Daardoor kan de functie van groot belang zijn voor uitrolstrategieën in enterprise-omgevingen en op belangrijke zakelijke endpoints.
Beheerders kunnen deze functie eenvoudig beheren via Groepsbeleid, het register of PowerShell om te voldoen aan de naleving van beveiligingsvoorschriften en de protocollen voor gegevensbescherming te versterken. Houd er wel rekening mee dat deze activering niet geschikt is voor oudere devices. Bovendien moet de IT-afdeling regelmatig controleren of het programma zijn doelen haalt, zeker omdat er af en toe compatibiliteitsproblemen kunnen optreden.
