Windows draiveru politika

Ja draiveri ir bloķējusi šī politika, var tikt parādīts:

• Aparatūras ierīce nedarbojas pareizi.

• Perifērijas ierīce vai komponents (printeris, tīkla adapteris, GPU utt.) netiek atpazīts.

• Nevar startēt lietojumprogrammu, kas ir atkarīga no kernel draivera.

Varat pārbaudīt, vai Windows draivera politika ir atbildīga, pārbaudot koda integritātes notikumu žurnālus, izmantojot šīs divas metodes.

Manuāli vaicājumu kodu integritātes notikumi    

1. Ar peles labo pogu noklikšķiniet uz pogas Sākt un atlasiet Notikumu skatītājs .

2. Kreisajā rūtī naviģējiet uz: Lietojumprogrammu un pakalpojumu žurnāli > Microsoft > Windows > CodeIntegrity > darbības

3. Meklējiet vai filtrējiet žurnālu notikumiem, kuriem ir šādi AIS:

• Notikuma ID 3076 — draiveris tika auditēts (tas tika bloķēts, bet tika atļauts, jo politika ir audita režīmā).

• Notikuma ID 3077 — draiveris tika bloķēts no ielādes, jo tas pārkāpj ieviešanas politiku.

Notikuma detalizētas informācijas sadaļā meklējiet lauku Politikas ID . Šī līdzekļa izraisītie notikumi atsaucas uz kādu no tālāk minētajiem politikas GUID:

• Audita politika: {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Ieviest politiku : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Vaicājuma koda integritātes notikumi, izmantojot PowerShell

Varat izmantot PowerShell, lai ātri atrastu notikumus, kas saistīti ar šo līdzekli:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Notikuma detaļās būs iekļauts auditētā vai bloķētā draivera nosaukums un tā procesa nosaukums, kurš mēģināja ielādēt draiveri. Tas var palīdzēt noteikt, kurš draiveris vai ierīce tiek ietekmēta.

Ja esat ierīces lietotājs vai IT administrators

1. Pārbaudiet notikumu žurnālus, izmantojot iepriekš norādītās darbības, lai noteiktu, kurš draiveris tiek bloķēts.

2. Pārbaudiet Windows Update vai nav atjaunināti draiveri. WHCP sertificēti, parakstīti draiveri, iespējams, jau ir pieejami, izmantojot Windows Update. Dodieties uz Iestatījumi > Windows Update > Papildu opcijas > Neobligāti atjauninājumi > Draivera atjauninājumi, lai pārbaudītu pieejamos draivera atjauninājumus.

3. Apmeklējiet ražotāja tīmekļa vietni . Lejupielādējiet jaunāko draivera versiju no piegādātāja oficiālā atbalsta lapas — jaunākās versijas visticamāk būs WHCP parakstītas.

4. Sazinieties ar aparatūras vai programmatūras piegādātāju, kas publicē draiveri. Jautājiet, vai ir pieejama draivera WHCP sertificēta versija un kur tai piekļūt. Lielākā daļa piegādātāju jau sertificētu savus draiverus.

Ja esat draivera izdevējs

Ja izstrādājat un izplatāt kernel-mode draiverus operētājsistēmai Windows, jums ir jānodrošina, ka draiveri tiek parakstīti, izmantojot WHCP procesu:

1. PievienojietIes Windows aparatūras izstrādātāju centram . Reģistrējieties Windows aparatūras izstrādātāju centrā ar derīgu EV (Extended Validation) koda parakstīšanas sertifikātu.

2. Izveidojiet iesniegto saturu . Aparatūras informācijas panelī izveidojiet jaunu produktu un iesniedziet draivera pakotni sertificēšanai.

3. Izpildiet HLK pārbaudes . Izmantojiet Windows aparatūras laboratorijas komplektu (HLK ), lai izpildītu draivera tipam un ierīces kategorijai nepieciešamās pārbaudes.

4. Iesniegt parakstīšanai . Pēc pārbaužu nokārtošanas iesniedziet HLK rezultātus kopā ar draivera pakotni. Microsoft parakstīs draiveri ar WHCP sertifikātu.

5. Izplatīt parakstīto draiveri . Pēc parakstīšanas publicējiet WHCP sertificētu draiveri, izmantojot Windows Update un/vai savu tīmekļa vietni.

Windows draiveru politika ir parakstīta koda integritātes politika, kas tiek glabāta EFI sistēmas nodalījumā un aizsargāta Windows agrīnās sāknēšanas komponentos. Lai līdzekli izslēgtu, ir jāveic šādas manuālas darbības, lai ļaunprogrammatūra, kas darbojas kā administrators, nevar piekļūt šim līdzeklim.

1. darbība. Drošās sāknēšanas atspējošana

1. Restartējiet datoru un ievadiet UEFI aparātprogrammatūras iestatījumu izvēlni (BIOS). Parasti to var izdarīt, nospiežot taustiņu palaišanas laikā (piemēram, F2 , F10 , Del vai Esc , — pārbaudiet ierīces ražotāja dokumentāciju).

   1. Vai arī operētājsistēmā Windows: dodieties uz Iestatījumi > Sistēmas > atkopšanas > Startēšanas papildu > Restartēt tūlīt . Pēc tam izvēlieties Problēmu > papildu opcijas, > UEFI aparātprogrammatūras iestatījumi > Restartēt .

2. Aparātprogrammatūras iestatījumos atrodiet opciju Droša sāknēšana (parasti zem cilnes Drošība vai Sāknēšana ).

3. Iestatiet drošas sāknēšanas sāknēšanas iestatītu kā atspējotu .

4. Saglabājiet izmaiņas un izejiet no aparātprogrammatūras iestatījumiem.

2. darbība. Politikas failu dzēšana no EFI sistēmas nodalījuma

1. Atveriet PowerShell kā administrators .

2. Kalniniet EFI sistēmas nodalījumu, palaižot:

mountvol S: /s

Jebkuru pieejamo diska burtu varat izmantot 'S:' vietā.

3. Izdzēsiet audita politikas failu:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Ja pieejama arī ieviešanas politika, izdzēsiet to:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Arī pārbaudiet un dzēsiet politikas no Windows sistēmas direktorija:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Nomāciet EFI nodalījumu:

mountvol S: /d

3. darbība. Datora restartēšana

Lai izmaiņas stātos spēkā, restartējiet ierīci. Pēc restartēšanas politika vairs nebūs aktīva un tiks atļauti visi parakstītie draiveri — ieskaitot tos, kuriem nav WHCP sertificēšanas — .

4. darbība. Drošas sāknēšanas atkārtota iespējošana

Pēc politikas failu noņemšanas atkārtoti iespējojiet drošas sāknēšanas iespēju UEFI aparātprogrammatūras iestatījumos, lai uzturētu citas drošas sāknēšanas aizsardzību.

Līdzeklis tiek startēts novērtēšanas režīmā , kur tas piesakās, bet nebloķē neatcerakus draiverus. Kad sistēma atbilst novērtēšanas kritērijiem (pietiekams darbspējas laiks un atsāknēšana bez politikas pārkāpumiem), politika automātiski pāriet uz ieviešanas režīmu, un draiveri, kas nav WHCP parakstīti, tiks bloķēti. Tas var izraisīt to, ka iepriekš strādājuši draiveri pārtrauc ielādi.

Šobrīd nav iespējams apiet politiku atsevišķiem draiveriem. Līdzekli varat vai nu pilnībā atspējot (skatīt augstāk), vai — vēlams — sazināties ar draivera izdevēju un lūgt nodrošināt viņa draivera whcp parakstītu versiju.

Šis līdzeklis attiecas tikai uz kernel-mode draiveriem . Šī politika neietekmē lietotāja režīma lietojumprogrammas.

Lai pārbaudītu, PowerShell kā administrators izpildiet šādas komandas:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Jā. Windows Server 2025 un jaunākas serveru platformas. Tomēr, Windows Server palaišanas sesijas prasības ir 2 atkārtotas palaišanas (salīdzinājumā ar 3 klienta izdevumos). Visi pārējie kritēriji ir vienādi.

Ja atiestatat vai atkārtoti instalēsiet operētājsistēmu Windows, līdzeklis tiks startēts no jauna novērtēšanas režīmā. Novērtēšanas skaitītāji tiks atiestatīti, un pāreja uz ieviešanu tiks sākta no sākuma.