מדיניות מנהל ההתקן של Windows

Windows כולל תכונת אבטחה שנקראת תקינות קוד ליבה המסייעת בהגנה על המערכת שלך על-ידי הבטחה שמנהלי התקן ליבה הטעונים במערכת שלך יפעלו בתקינות ויחתומים באופן מוצפן על-ידי סמכות מהימנה של Microsoft.

אם הודעה זו מופיעה, פירוש הדבר שמנהל התקן או תוכנת מצב ליבה לא חתומים כראוי או אינם עומדים בדרישות החתימה של תקינות קוד הליבה של Windows.

Windows מחייב שליחה וחתימה של כל מנהלי ההתקנים החדשים באמצעות תהליך תוכנית תאימות החומרה של Windows (WHCP). מנהלי התקנים שסומנו בעבר על ידי מנהלי התקנים שנחתמו על-ידי תוכנית החתימה הצולבת שפג תוקפה. עם זאת, עם עדכון האבטחה של אפריל 2026, מנהלי התקנים אלה אינם מהימנים עוד כברירת מחדל. ההכרזה זמינה כאן: https://go.microsoft.com/fwlink/?linkid=2356646.

מהי מדיניות מנהלי ההתקנים של Windows?

מדיניות מנהל ההתקן של Windows היא מדיניות בליבת Windows שמגבילה את מנהלי ההתקנים במצב ליבה שיכולים לטעון במכשיר שלך. כאשר הם פעילים, רק מנהלי ההתקנים הבאים מורשים להיטען:

1. מנהלי התקנים נחתמו כראוי באמצעות תהליך אישור WHCP של Microsoft
2. מנהלי התקנים שמופיעים במדיניות מנהלי ההתקנים של Windows אפשר רשימה של מנהלי התקנים אמינים שנחתמו על-ידי התוכנית עם חתימה צולבת

מנהלי התקנים שאינם חתומים על-ידי Microsoft WHCP או שמופיעים במדיניות מנהלי ההתקנים של Windows ייחסמו במערכות המופעלות בטווח.

תכונה זו עוזרת להגן עליך מפני מנהלי התקנים שעלולים להיות לא בטוחים או שלא נבדקו, ומפחיתה את הסיכון לתוכנות זדוניות, חוסר יציבות של המערכת ופגיעויות אבטחה שנגרמו על-ידי מנהלי התקנים ומפרסמי מנהלי התקנים שלא נבדקו.

כיצד תכונה זו עובדת?

מדיניות מנהלי ההתקנים של Windows משתמשת בגישה דו-שלבית, כגון בקרת אפליקציות חכמות , כדי להגביר בהדרגה את ההגנה במכשיר שלך:

מצב הערכה (ביקורת)

כאשר התכונה מופעלת לראשונה, היא מופעלת במצב הערכה . בשלב זה:

• מנהלי התקנים שייחסמו על ידי המדיניות מבוקרים אך עדיין מורשים לטעון . פעולה זו מבטיחה שהמכשיר שלך ימשיך לפעול כרגיל בזמן ש- Windows קובע אם אכיפה מתאימה למערכת שלך.
• Windows עוקב אחר מספר מנהלי ההתקנים במערכת שלך שיושפעו מהמדיניות.
• אם מנהל התקן שעלול להפר את המדיניות מזוהה במהלך ההערכה, התקדמות ההערכה מאופסת . המשמעות היא שהספירה לאחור לאכיפה מתחילה מחדש, ו- Windows מספק ל- Windows זמן נוסף לבחון את השימוש במנהל ההתקן של המערכת שלך.

קריטריוני הערכה

Windows מנטר את הקריטריונים הבאים כדי לקבוע מתי המכשיר שלך מוכן לאכיפה:

• זמן פעולה תקינה של המערכת : המכשיר שלך חייב לצבור 250 שעות של שימוש פעיל.
• הפעלות אתחול : המכשיר שלך חייב להיות מאותחל לפחות 3 פעמים (פעמיים ב- Windows Server) מאז תחילת ההערכה.
• אין הפרות מדיניות : אם מנהל התקן שייחסם נטען במהלך תקופת ההערכה, מוני זמן הפעולה והאתחול מאופסים לאפס , ומאריכים את תקופת ההערכה.

אם המכשיר שלך טוען באופן עקבי מנהלי התקנים שעוברים את המדיניות ועומדים בקריטריונים אלה, המערכת נחשבת למועמדת טובה לאכיפה.

מצב אכיפה

לאחר שקריטריוני ההערכה מתקיימים, Windows עובר באופן אוטומטי למצב אכיפה . בשלב זה:

• המכשירים מוגנים מפני מנהלי התקנים שאינם עומדים בדרישות החתימה במדיניות מנהלי ההתקנים של Windows.
• מנהלי התקנים אלה חסומים מטעינה והם יוצרים נתוני אבחון ש- Microsoft יכולה לסקור, וערכים ביומן האירועים של Windows שאותם תוכל לסקור.
• רשימת היתרים של מנהלי התקנים ומפרסמים ספציפיים כלולה במדיניות כדי לאפשר למנהלי התקנים מסוימים מדור קודם שנמצאים בשימוש נרחב ועדיין לא אושרו על-ידי WHCP להמשיך לפעול.

לאחר שמצב אכיפה פעיל, המדיניות נשארת בתוקף במהלך אתחולים מחדש.

שאלות נפוצות

כיצד ניתן לבצע אם מנהל התקן נחסם?

אם מנהל התקן חסום על-ידי מדיניות זו, ייתכן שתראה:

• התקן חומרה אינו פועל כראוי.
• ציוד היקפי או רכיב (מדפסת, מתאם רשת, GPU וכדומה) אינו מזוהה.
• הפעלת יישום המסתמך על מנהל התקן ליבה נכשלת.

תוכל לבדוק אם מדיניות מנהל ההתקן של Windows אחראית לכך על-ידי בדיקת יומני האירועים של תקינות קוד באמצעות שתי השיטות הבאות.

אירועי תקינות קוד שאילתה באופן ידני

1. לחץ לחיצה ימנית על כפתור התחל ובחר מציג האירועים.
2. בחלונית הימנית, נווט אל: יומני רישום> של יישומים ושירותיםMicrosoft>Windows>CodeIntegrity>Operational
3. חפש או סנן את יומן הרישום עבור אירועים בעלי מזהים אלה:

• מזהה אירוע 3076 – עברה ביקורת עבור מנהל התקן (היה אמור להיות חסום, אך התאפשר מאחר שהמדיניות נמצאת במצב ביקורת).
• מזהה אירוע 3077 – נהג נחסם מטעינה מכיוון שהוא הפר את מדיניות האכיפה.

בפרטי האירוע, חפש את השדה 'מזהה מדיניות '. אירועים הנגרמים על-ידי תכונה זו יפנו לאחד ממזהי ה- GUID הבאים של מדיניות:

• מדיניות ביקורת : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}
• אכיפת מדיניות : {8F9CB695-5D48-48D6-A329-7202B44607E3}

אירועי תקינות קוד של שאילתה באמצעות PowerShell

באפשרותך להשתמש ב- PowerShell כדי למצוא במהירות אירועים הקשורים לתכונה זו:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

פרטי האירוע יכללו את שם מנהל ההתקן שנבדק או נחסם ואת שם התהליך שניסה לטעון את מנהל ההתקן, והדבר יכול לעזור לך לזהות איזה מנהל התקן או התקן מושפע.

מה עליי לעשות אם מנהל התקן חסום?

אם אתה משתמש המכשיר או מנהל IT

1. בדוק את יומני האירועים באמצעות השלבים שלעיל כדי לזהות איזה מנהל התקן נחסם.

2. בדוק את Windows Update עבור מנהלי התקנים מעודכנים. ייתכן שמנהלי התקנים חתומים ומאושרים על-ידי WHCP כבר יהיו זמינים באמצעות Windows Update. עבור אל 'הגדרותWindows>Updateאפשרויות>>מתקדמות' עדכונים >אופציונלייםעדכוני מנהל התקן כדי לבדוק אם קיימים עדכונים זמינים למנהלי התקנים.

3. בקר באתר האינטרנט של היצרן . הורד את גרסת מנהל ההתקן העדכנית ביותר מדף התמיכה הרשמי של הספק - סביר יותר שגרסאות חדשות יותר יהיו חתומות ב-WHCP.

4. פנה אל ספק החומרה או התוכנה שמפרסם את מנהל ההתקן. שאל אותם אם קיימת גרסה מאושרת WHCP של מנהל ההתקן והיכן לגשת אליה. רוב הספקים כבר מסמיכים את מנהלי ההתקנים שלהם.

אם אתה מפרסם מנהל התקן

אם אתה מפתח ומפיץ מנהלי התקנים במצב ליבה עבור Windows, עליך לוודא שמנהלי ההתקנים שלך מחוברים באמצעות תהליך WHCP:

1. הצטרף למרכז פיתוח החומרה של Windows . הירשם במרכז פיתוח החומרה של Windows עם אישור חוקי לחתימת קוד EV (אימות מורחב).
2. צור שליחה . בלוח המחוונים של החומרה, צור מוצר חדש ושלח את חבילת מנהל ההתקן שלך לאישור.
3. הפעל את מבחני HLK . השתמש ב - Windows Hardware Lab Kit (HLK) כדי להריץ את הבדיקות הנדרשות עבור סוג מנהל ההתקן וקטגוריית ההתקן שלך.
4. הגש לחתימה . לאחר מעבר המבחנים, הגש את תוצאות ה-HLK שלך יחד עם חבילת הנהג. Microsoft תחתום על מנהל ההתקן באמצעות אישור WHCP.
5. הפץ את מנהל ההתקן החתום . לאחר החתימה, פרסם את מנהל ההתקן המאושר על-ידי WHCP באמצעות Windows Update ו/או אתר האינטרנט שלך.

כיצד ניתן לבצע ביטול מדיניות מנהל ההתקן של Windows?

השלבים תלויים בעדכוני Windows המותקנים. באפשרותך לבדוק זאת על-ידי מעבר אל היסטורייתהעדכונים של>Windows Update>.

מכשירים עם עדכון יולי 2026 או עדכון מאוחר יותר

במכשירים אלה, מנהל מערכת יכול לבטל את המדיניות מבלי לשנות את הגדרות האתחול המאובטח:

1. לחץ באמצעות לחצן העכבר הימני על התחל ולאחר מכן בחר מסוף (מרכז הניהול).

2. הפעל את הפקודה הבאה:

   CiTool.exe --remove-policy "{8F9CB695-5D48-48D6-A329-7202B44607E3}"
   

3. הפעלה מחדש של המכשיר.

המדיניות ממשיכה להגן על ההפעלה הנוכחית של Windows לאחר הפעלת הפקודה. הפעלה מחדש משלימה את השינוי, כך שהמדיניות אינה זמינה עבור הפעלות עתידיות.

מכשירים ללא העדכון של יולי 2026

בגרסאות ישנות יותר של Windows, המדיניות כוללת הגנת אתחול נוספת. עליך לכבות זמנית את אתחול מאובטח ולהסיר את מדיניות האכיפה באופן ידני.

1. הפעל מחדש את המחשב והיכנס לתפריט הגדרות הקושחה של UEFI (נקרא לעתים ה-BIOS). המפתח המשמש לפתיחת תפריט זה משתנה בהתאם ליצרן, אך לרוב מדובר ב - F2, F10, Delete או Esc.

   באפשרותך גם לפתוח את התפריט מ- Windows. עבור אל 'הגדרות',>'שחזורמערכת>', >אתחול> מתקדם, הפעל מחדש כעת. לאחר מכן בחר 'פתרון> בעיותשל אפשרויות מתקדמות>':הפעל מחדש הגדרות >קושחה של UEFI.

2. מצא אתחול מאובטח, שנמצא בדרך כלל תחת אבטחה או אתחול, והגדר אותו למושבת. שמור את השינויים והפעל את Windows.

3. לחץ באמצעות לחצן העכבר הימני על התחל ולאחר מכן בחר מסוף (מרכז הניהול).

4. הרכיב את מחיצת מערכת EFI על ידי הפעלת:

   mountvol S: /s
   

   אם S: כבר נמצאת בשימוש, בחר אות כונן זמינה אחרת והשתמש באות זו בשאר הפקודות .

5. הסר את מדיניות האכיפה ממחיצת מערכת EFI ומ- Windows:

   Remove-Item "S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip" -Force
   Remove-Item "$env:windir\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip" -Force
   

   אם Windows מדווח שלא ניתן למצוא את אחד הקבצים, המשך לשלב הבא.

6. בטל את הטעינה של מחיצת מערכת EFI:

   mountvol S: /d
   

7. הפעלה מחדש של המכשיר. המדיניות אינה זמינה כעת.

8. חזור להגדרות הקושחה של UEFI והפעל מחדש אתחול מאובטח כדי לשחזר את ההגנות האחרות שלו.

מדוע הנהג שלי עבד לפני כן והוא נחסם פתאום?

התכונה מתחילה במצב הערכה , שבו היא רושמת אך אינה חוסמת מנהלי התקנים לא מאושרים. לאחר שהמערכת עומדת בקריטריוני ההערכה (זמן פעולה מספיק ומבצעים אתחולים מחדש ללא הפרות מדיניות), המדיניות עוברת באופן אוטומטי למצב אכיפה , ומנהלי התקנים שאינם חתומים באמצעות WHCP ייחסמו. הדבר עשוי לגרום למנהלי התקנים שפעלו בעבר להפסיק להיטען.

האם ניתן לאפשר משתמש במנהל התקן בודד מבלי להשבית את התכונה לחלוטין?

בשלב זה אין דרך לעקוף את המדיניות עבור מנהלי התקנים בודדים. באפשרותך להשבית את התכונה לחלוטין (ראה לעיל) או - רצוי - לפנות למפרסם מנהל ההתקן ולבקש ממנו לספק גירסה חתומה של מנהל ההתקן שלו.

האם הדבר משפיע על יישומי מצב משתמש או רק על מנהלי התקנים של ליבה?

תכונה זו חלה על מנהלי התקנים של מצב ליבה בלבד . יישומי מצב משתמש אינם מושפעים ממדיניות זו.

האם המכשיר שלי נמצא במצב הערכה או במצב אכיפה?

באפשרותך לבדוק זאת על-ידי הפעלת הפקודות הבאות כמנהל מערכת ב- PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

האם הדבר משפיע על Windows Server?

כן - Windows Server 2025 ופלטפורמות שרת חדשות יותר. עם זאת, ב- Windows Server, דרישת הפעלת האתחול היא 2 אתחולים מחדש (בהשוואה ל- 3 במהדורות לקוח). כל הקריטריונים האחרים זהים.

מה קורה אם אני מאפס או מתקין מחדש את Windows?

אם תאפס או תתקין מחדש את Windows, התכונה תופעל מחדש במצב הערכה. מוני ההערכה יאופסו והמעבר לאכיפה יתחיל שוב מהתחלה.

זקוק לעזרה נוספת?

אם אתה ממשיך להיתקל בבעיות עם מנהל התקן חסום, בקר בפורומים של Microsoft Community או פנה לתמיכה של Microsoft .

נשמח לקבל ממך משוב לגבי תכונה זו. כדי לשתף את החוויה שלך:

1. ב- Windows, פתח את מרכז המשוב (הקש Win + F ).

2. בשלב 2 - בחר קטגוריה , בחרבקרת אפליקציותאבטחה ופרטיות> .