Zásady ovladače systému Windows

Pokud je ovladač blokován touto zásadou, může se zobrazit následující:

• Hardwarové zařízení nefunguje správně.

• Periferní zařízení nebo součást (tiskárna, síťový adaptér, GPU atd.) se nerozpoznala.

• Aplikaci, která závisí na ovladači jádra, se nepodaří spustit.

Kontrolu protokolů událostí integrity kódu pomocí následujících dvou metod můžete ověřit, jestli je zodpovědná zásada ovladače systému Windows.

Ruční dotazování událostí integrity kódu    

1. Klikněte pravým tlačítkem na tlačítko Start a vyberte Prohlížeč událostí .

2. V levém podokně přejděte na: Protokoly aplikací a služeb > Microsoft > Windows > CodeIntegrity > Operational

3. Vyhledejte nebo v protokolu vyfiltrujte události s těmito ID:

• ID události 3076 – Auditoval se ovladač (byl by zablokovaný, ale byl povolený, protože zásady jsou v režimu auditování).

• ID události 3077 – Načtení ovladače bylo zablokováno , protože porušil zásady vynucení.

V podrobnostech události vyhledejte pole ID zásady . Události způsobené touto funkcí budou odkazovat na jeden z následujících identifikátorů GUID zásad:

• Zásady auditu : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Vynutit zásadu : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Dotazování událostí integrity kódu pomocí PowerShellu

K rychlému vyhledání událostí souvisejících s touto funkcí můžete použít PowerShell:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Podrobnosti o události budou obsahovat název auditovaného nebo blokovaného ovladače a název procesu, který se pokusil ovladač načíst, což vám může pomoct určit, kterého ovladače nebo zařízení se to týká.

Pokud jste uživatel zařízení nebo správce IT

1. Pomocí výše uvedených kroků zkontrolujte protokoly událostí a zjistěte, který ovladač je blokovaný.

2. Zkontrolujte, jestli služba Windows Update aktualizované ovladače. Podepsané ovladače s certifikací WHCP už můžou být dostupné prostřednictvím služba Windows Update. Přejděte na Nastavení > služba Windows Update > Upřesnit možnosti > Volitelné aktualizace > Aktualizace ovladačů a vyhledejte dostupné aktualizace ovladačů.

3. Navštivte web výrobce . Stáhněte si nejnovější verzi ovladače z oficiální stránky podpory dodavatele – novější verze budou s větší pravděpodobností podepsané WHCP.

4. Obraťte se na dodavatele hardwaru nebo softwaru , který ovladač publikuje. Zeptejte se, jestli je k dispozici verze ovladače certifikovaná WHCP a kde k ní získat přístup. Většina dodavatelů již WHCP certifikuje své ovladače.

Pokud jste vydavatelem ovladačů

Pokud vyvíjíte a distribuujete ovladače v režimu jádra pro Windows, musíte se ujistit, že jsou ovladače podepsané prostřednictvím procesu WHCP:

1. Připojte se k webu Windows Hardware Dev Center . Zaregistrujte se na webu Windows Hardware Dev Center pomocí platného certifikátu pro podepisování kódu EV (Rozšířené ověřování).

2. Vytvořte odeslání . Na řídicím panelu hardwaru vytvořte nový produkt a odešlete balíček ovladačů k certifikaci.

3. Spusťte testy HLK . Pomocí sady Windows Hardware Lab Kit (HLK) spusťte požadované testy pro typ ovladače a kategorii zařízení.

4. Odešlete k podepsání . Jakmile testy projdou, odešlete výsledky HLK spolu s balíčkem ovladače. Microsoft podepíše ovladač certifikátem WHCP.

5. Distribuujte podepsaný ovladač . Po podepsání publikujte ovladač certifikovaný WHCP prostřednictvím služba Windows Update a/nebo svého webu.

Zásada ovladače Windows je podepsaná zásada integrity kódu uložená v systémovém oddílu EFI a chráněná komponentami předčasného spouštění Windows. Vypnutí této funkce vyžaduje následující ruční kroky, aby škodlivý software spuštěný jako správce nemohl s funkcí manipulovat:

Krok 1: Zakázání zabezpečeného spouštění

1. Restartujte počítač a přejděte do nabídky nastavení firmwaru rozhraní UEFI (BIOS). Obvykle to můžete udělat stisknutím klávesy během spouštění (například F2 , F10 , Del nebo Esc – podívejte se do dokumentace výrobce zařízení).

   1. Případně ve Windows: Přejděte na Nastavení > Obnovení systému > > Rozšířené spuštění > Restartovat . Pak zvolte Odstranit potíže > Upřesnit možnosti > Nastavení firmwaru UEFI > Restartovat .

2. V nastavení firmwaru vyhledejte možnost Zabezpečené spouštění (obvykle na kartě Zabezpečení nebo Spouštění ).

3. Nastavte zabezpečené spouštění na Zakázáno .

4. Uložte změny a ukončete nastavení firmwaru.

Krok 2: Odstranění souborů zásad ze systémového oddílu EFI

1. Otevřete PowerShell jako správce .

2. Připojte systémový oddíl EFI spuštěním příkazu:

mountvol S: /s

Místo "S:" můžete použít libovolné dostupné písmeno jednotky.

3. Odstraňte soubor zásad auditu:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Pokud jsou k dispozici i zásady vynucení, odstraňte je:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Také zkontrolujte a odstraňte zásady v systémovém adresáři Windows:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Odpojte oddíl EFI:

mountvol S: /d

Krok 3: Restartujte počítač

Restartujte zařízení, aby se změny projevily. Po restartování už zásady nebudou aktivní a všechny podepsané ovladače, včetně těch bez certifikace WHCP, se budou moct načíst.

Krok 4: Opětovné povolení zabezpečeného spouštění

Po odebrání souborů zásad znovu povolte zabezpečené spouštění v nastavení firmwaru rozhraní UEFI, abyste zachovali další ochranu zabezpečeného spouštění.

Funkce se spustí v režimu vyhodnocení , kde protokoluje, ale neblokuje necertifikované ovladače. Jakmile váš systém splňuje kritéria hodnocení (dostatečná doba provozu a restartování bez porušení zásad), zásady se automaticky převedou do režimu vynucení a ovladače, které nejsou podepsané WHCP, se zablokují. To může způsobit, že se přestanou načítat ovladače, které dříve fungovaly.

V současné době neexistuje způsob, jak obejít zásady pro jednotlivé řidiče. Tuto funkci můžete buď úplně zakázat (viz výše), nebo (pokud možno) kontaktovat vydavatele ovladače a požádat ho o poskytnutí verze ovladače podepsané WHCP.

Tato funkce se vztahuje pouze na ovladače v režimu jádra . Aplikace v uživatelském režimu nejsou touto zásadou ovlivněny.

Kontrolu můžete provést spuštěním následujících příkazů jako správce v PowerShellu:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Ano – serverové platformy Windows Server 2025 a novější. V Windows Server je však požadavek na relaci spouštění 2 restartování (v porovnání se 3 v klientských edicích). Všechna ostatní kritéria jsou stejná.

Pokud obnovíte tovární nastavení nebo přeinstalujete Systém Windows, funkce se spustí od začátku ve zkušebním režimu. Čítače vyhodnocení se resetují a přechod na vynucování začne znovu od začátku.