O System Guard Secure Launch é um recurso de segurança integrado ao Windows que protege o sistema validando o firmware e o hypervisor durante a inicialização. Mesmo assim, não dá para ativá-lo sem um conhecimento avançado de outros recursos e configurações do Windows. Este guia apresenta os principais requisitos e os métodos para ativar ou desativar o System Guard Secure Launch em sistemas compatíveis.
Prefere um resumo visual? Assista ao nosso guia simples: Como ativar ou desativar o System Guard Secure Launch para proteção de firmware no Windows.
Pré-requisitos e métodos para gerenciar as configurações do System Guard Secure Launch
Antes de fazer qualquer alteração, verifique estes requisitos de sistema e de acesso:
✔️ É necessário firmware UEFI com suporte a Inicialização Segura.
✔️ O TPM 2.0 precisa estar ativo e habilitado.
✔️ Hyper-V e Segurança Baseada em Virtualização (VBS) precisam ter suporte e estar ativados.
✔️ São necessários privilégios de administrador.
Método 1: ativar ou desativar pela Política de Grupo
Este método funciona no Windows 10 (1903+) e no Windows 11. No Windows 10, a configuração pode não aparecer se os modelos ADMX não estiverem atualizados.
As ferramentas de gerenciamento da Política de Grupo estão disponíveis nas edições Pro, Enterprise e Education do Windows. Esse método via GPO é o mais indicado para implantações em lote.
- Pressione Win + R, digite gpedit.msc e clique em OK para abrir o Editor de Política de Grupo Local.
- Vá até Configuração do Computador → Modelos Administrativos → Sistema → Device Guard.
- Dê um duplo clique em Ativar a Inicialização Segura.
- Selecione Ativado para aplicar o Secure Launch na inicialização ou Desativado para desligá-lo. Também é possível deixar como Não configurado, o que segue o padrão do sistema ou a configuração do registro.
- Clique em Aplicar e depois em OK para confirmar e sair.
- Reinicie o sistema para que a alteração entre em vigor.
ℹ️ Observação: execute o comando gpupdate /force para aplicar as mudanças imediatamente. Veja esta demonstração em vídeo do GPUpdate. Caso contrário, as novas configurações só serão aplicadas no próximo intervalo.
Quando ativado, o Secure Launch valida o firmware e os componentes críticos de inicialização com base em medições feitas por hardware.
Método 2: configurar o Secure Launch pelo Editor do Registro
Este método permite implantações por script e é indicado para sistemas sem acesso a GPO. Funciona no Windows 10 e no Windows 11, embora o Windows 11 ofereça um retorno visual melhor para verificação.
- Pressione Win + R, digite regedit e clique em OK para abrir o Editor do Registro.
- Navegue ou copie e cole o caminho a seguir na barra de endereços do Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
- Altere ou crie o valor EnableSecureLaunch. (Para criar) No painel à direita, clique com o botão direito → Novo → Valor DWORD (32 bits). Pule esta etapa se o valor já existir.
- Dê um duplo clique no valor e defina os Dados do valor como 1 para ativar ou 0 para desativar.
- Clique em OK para confirmar.
⚠️Aviso: alterações indevidas no Registro do Windows podem afetar o desempenho e a estabilidade do sistema. Veja como fazer backup do Registro e criar um ponto de restauração antes de mexer na base de dados.
Script do PowerShell para configurar o Secure Launch
Você também pode usar este script do PowerShell para alterar os valores do registro.
Ativar o Secure Launch:
- Abra o PowerShell pela Pesquisa e selecione Executar como administrador.
- Use o comando a seguir para ativar o Secure Launch:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 1
Desativar o Secure Launch:
- Abra o PowerShell pela Pesquisa e selecione Executar como administrador.
- Use o comando a seguir para ativar o Secure Launch:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 0
Depois de aplicar as alterações, reinicie o dispositivo. Também dá para usar o Registro do Windows para confirmar se os valores foram atualizados.
Observação: funciona da mesma forma no Windows 10 e no Windows 11. No Windows 10, use o PowerShell ou o Registro para verificar.
Secure Launch: outras considerações e dicas
Alguns pontos importantes antes de ativar ou desativar o Secure Launch:
- A Inicialização Segura precisa estar ativada no UEFI para o Secure Launch funcionar.
- BitLocker: ativar o Secure Launch pode fazer o sistema pedir a chave de recuperação na próxima inicialização. Suspenda o BitLocker antes de mexer nas configurações.
- Compatibilidade: exige Intel vPro (Coffee Lake+) ou AMD Zen 2+, TPM 2.0, Inicialização Segura e extensões de virtualização. Dispositivos antigos podem não inicializar com o Secure Launch ativado.
- Hyper-V e VBS: confirme que ambos estão ativados no firmware e nas configurações de segurança do Windows.
Além disso, problemas com o Secure Launch costumam exigir uma investigação complexa. O ideal é fazer um piloto antes, checar a compatibilidade dos drivers e medir os tempos de inicialização e o desempenho do sistema.
Quando ativar o System Guard Secure Launch
O System Guard Secure Launch acrescenta uma camada forte de proteção durante a inicialização do sistema. Por isso, pode ser decisivo nas estratégias de implantação em ambientes corporativos e nos endpoints mais críticos do negócio.
Os administradores gerenciam esse recurso com facilidade pela Política de Grupo, pelo Registro ou pelo PowerShell, atendendo às exigências de conformidade e reforçando os protocolos de proteção de dados. Lembre-se apenas de que essa ativação não serve para dispositivos antigos. A equipe de TI também precisa verificar com regularidade se o recurso está cumprindo o objetivo, já que problemas de compatibilidade aparecem de vez em quando.
