Pravilnik o upravljačkim programima sustava Windows

Ako je taj pravilnik blokirao upravljački program, možda ćete vidjeti sljedeće:

• Hardverski uređaj ne funkcionira ispravno.

• Periferni uređaj ili komponenta (pisač, mrežni prilagodnik, GPU itd.) nije prepoznat.

• Aplikacija koja ovisi o upravljačkom programu jezgre ne uspijeva se pokrenuti.

Da biste provjerili je li pravila upravljačkog programa sustava Windows odgovorna, provjerite zapisnike događaja Integritet koda na sljedeća dva načina.

Ručno postavljanje događaja integriteta koda upita    

1. Desnom tipkom miša kliknite gumb Start i odaberite Preglednik događaja .

2. U lijevom oknu idite na: Zapisnici aplikacija i servisa > Microsoft > Windows > CodeIntegrity > Operativni

3. Pogledajte ili filtrirajte zapisnik za događaje s ovim ID-ovima:

• ID događaja 3076 – upravljački program je nadziran (bio bi blokiran, ali je dopušten jer je pravilnik u načinu nadzora).

• ID događaja 3077 – učitavanje upravljačkog programa blokirano je jer je prekršio pravilnik o provođenju.

U pojedinostima o događaju potražite polje ID pravilnika . Događaji koje uzrokuje ova značajka pozivat će se na jedan od sljedećih GUID-ova pravilnika:

• Pravilnik nadzora : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Nametni pravilnik: {8F9CB695-5D48-48D6-A329-7202B44607E3}

Događaji integriteta koda upita pomoću komponente PowerShell

Pomoću komponente PowerShell možete brzo pronaći događaje vezane uz tu značajku:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Pojedinosti o događaju obuhvaćat će naziv upravljačkog programa koji je nadziran ili blokiran te naziv postupka koji je pokušao učitati upravljački program, što vam može pomoći u prepoznavanju upravljačkog programa ili uređaja.

Ako ste korisnik uređaja ili IT administrator

1. Provjerite zapisnike događaja pomoću prethodno navedenih koraka da biste utvrdili koji se upravljački program blokira.

2. Provjerite Windows Update li ažurirani upravljački programi. Potpisani upravljački programi certificirani za WHCP možda su već dostupni putem Windows Update. Idite na Postavke > Windows Update > Dodatne mogućnosti > Neobavezna ažuriranja > ažuriranja upravljačkih programa da biste provjerili ima li dostupnih ažuriranja upravljačkih programa.

3. Posjetite web-mjesto proizvođača . Preuzmite najnoviju verziju upravljačkog programa sa stranice službene podrške dobavljača – novije verzije vjerojatno će biti potpisane pomoću WHCP-a.

4. Obratite se dobavljaču hardvera ili softvera koji objavljuje upravljački program. Pitajte ih je li dostupna verzija upravljačkog programa certificirana za WHCP i gdje mu pristupiti. Većina dobavljača već certificira upravljačke programe.

Ako ste izdavač upravljačkog programa

Ako za Windows razvijate i distribuirate upravljačke programe načina jezgre, morate biti sigurni da su upravljački programi potpisani putem postupka WHCP:

1. Pridružite se centru za razvojne inženjere za hardver sustava Windows . Registrirajte se u centru za razvojne inženjere hardvera sustava Windows s valjanim certifikatom za potpisivanje koda EV (Proširena provjera valjanosti).

2. Stvorite podnesak . Na nadzornoj ploči za hardver stvorite novi proizvod i pošaljite paket upravljačkih programa za certifikaciju.

3. Pokrenite HLK testove . Pomoću paketa Windows Hardware Lab Kit (HLK) pokrenite potrebne testove za vrstu upravljačkog programa i kategoriju uređaja.

4. Pošalji na potpisivanje . Nakon testiranja pošaljite HLK rezultate zajedno s paketom upravljačkih programa. Microsoft će potpisati upravljački program pomoću WHCP certifikata.

5. Distribuiranje potpisanog upravljačkog programa . Kada se prijavite, objavite upravljački program certificiran za WHCP putem Windows Update i/ili web-mjesta.

Pravilnik o upravljačkom programu sustava Windows potpisani je pravilnik o integritetu koda pohranjen na sistemskoj particiji EFI-ja i zaštićen komponentama ranog pokretanja sustava Windows. Isključivanje značajke zahtijeva sljedeće ručne korake da zlonamjerni softver koji se izvodi kao administrator ne može mijenjati značajku:

1. korak: onemogućivanje sigurnog pokretanja

1. Ponovno pokrenite računalo i unesite izbornik postavki UEFI opreme (BIOS). To obično možete učiniti pritiskom na tipku tijekom pokretanja (kao što su F2 , F10 , Del ili Esc – provjerite dokumentaciju proizvođača uređaja)

   1. Alternativno, u sustavu Windows: idite na Postavke > Sustav > Oporavak > Napredno pokretanje > Odmah ponovno pokreni . Zatim odaberite Otklanjanje poteškoća > napredne mogućnosti > UEFI Firmware Settings > Restart .

2. U postavkama opreme pronađite mogućnost sigurnog pokretanja (obično na kartici Sigurnost ili Pokretanje ).

3. Postavljanje sigurnog pokretanja na Onemogućeno .

4. Spremite promjene i zatvorite postavke programske opreme.

Drugi korak: brisanje datoteka pravilnika s EFI sistemske particije

1. Otvorite PowerShell kao administrator .

2. Postavite EFI sistemsku particiju pokretanjem:

mountvol S: /s

Možete koristiti bilo koje dostupno slovo pogona umjesto "S:".

3. Izbrišite datoteku pravila nadzora:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Ako postoji i pravilnik o provedbi, izbrišite ga:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Provjerite i izbrišite pravilnike iz direktorija sustava Windows:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Uklanjanje EFI particije:

mountvol S: /d

Treći korak: ponovno pokretanje računala

Ponovno pokrenite uređaj da bi promjene stupjeli na snagu. Nakon ponovnog pokretanja pravilnik više neće biti aktivan i svi potpisani upravljački programi – uključujući one bez CERTIFIKATA WHCP - bit će dopušteni za učitavanje.

Četvrti korak: ponovno omogućivanje sigurnog pokretanja

Nakon uklanjanja datoteka pravilnika ponovno omogućite sigurno pokretanje u postavkama UEFI opreme da biste zadržali druge zaštite za sigurno pokretanje.

Značajka započinje u načinu rada za procjenu u kojem se zapisuje, ali ne blokira nekomerficirane upravljačke programe. Nakon što vaš sustav zadovoljava kriterije procjene (dovoljno vremena dostupnosti i ponovnog pokretanja bez kršenja pravila), pravilnik se automatski prelazi u način provedbe i blokirat će se upravljački programi koji nisu potpisani putem WHCP-a. To može uzrokovati prestanak učitavanja upravljačkih programa koji su prethodno radili.

Trenutno ne postoji način zaobilaženje pravilnika za pojedinačne upravljačke programe. Značajku možete u potpunosti onemogućiti (vidi gore) ili se, po mogućnosti, obratiti izdavaču upravljačkog programa i zatražiti da navedite verziju upravljačkog programa potpisanu pomoću WHCP-a.

Ta se značajka odnosi samo na upravljačke programe načina jezgre . Ovo pravilo ne utječe na aplikacije načina rada korisnika.

Možete provjeriti pokretanjem sljedećih naredbi kao administrator u komponenti PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Da – Windows Server 2025 i novije poslužiteljske platforme. Međutim, na Windows Server, zahtjev sesije pokretanja je 2 ponovnog pokretanja (u odnosu na 3 na klijentskim izdanjima). Svi ostali kriteriji su isti.

Ako ponovno postavite ili ponovno instalirate Windows, značajka će se početi osvježeti u načinu rada za procjenu. Mjerači za procjenu ponovno će se postaviti, a prijelaz na provedbu počinje ponovno od početka.