Driverpolicyen for Windows

Hvis en driver er blokkert av denne policyen, kan du se:

• En maskinvareenhet fungerer ikke som den skal.

• En ekstern enhet eller komponent (skriver, nettverksadapter, GPU osv.) gjenkjennes ikke.

• Et program som avhenger av en kjernedriver, starter ikke.

Du kan bekrefte om Windows Driver-policyen er ansvarlig ved å kontrollere hendelsesloggene for kodeintegritet ved hjelp av følgende to metoder.

Hendelser for integritet for spørringskode manuelt    

1. Høyreklikk startknappen, og velg Hendelsesliste .

2. Gå til: Programmer og tjenestelogger > Microsoft > Windows > CodeIntegrity > Operational i den venstre ruten

3. Se etter hendelser med disse ID-ene, eller filtrer loggen:

• Hendelses-ID 3076 – en driver ble overvåket (ville ha blitt blokkert, men ble tillatt fordi policyen er i overvåkingsmodus).

• Hendelses-ID 3077 – en driver ble blokkert fra å lastes inn fordi den brøt håndhevelsespolicyen.

Se etter policy-ID-feltet i hendelsesdetaljene. Hendelser forårsaket av denne funksjonen vil referere til én av følgende policy-GUID-er:

• Overvåkingspolicy : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Fremtving policy : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Hendelser for spørringskodeintegritet med PowerShell

Du kan bruke PowerShell til raskt å finne hendelser relatert til denne funksjonen:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Hendelsesdetaljene inkluderer navnet på driveren som ble overvåket eller blokkert, og navnet på prosessen som prøvde å laste inn driveren, noe som kan hjelpe deg med å identifisere hvilken driver eller enhet som påvirkes.

Hvis du er enhetsbruker eller IT-administrator

1. Kontroller hendelsesloggene ved hjelp av fremgangsmåten ovenfor for å identifisere hvilken driver som blokkeres.

2. Kontroller Windows Update for oppdaterte drivere. WHCP-sertifiserte, signerte drivere kan allerede være tilgjengelige via Windows Update. Gå til Innstillinger > Windows Update > Avanserte alternativer > valgfrie oppdateringer > Driveroppdateringer for å se etter tilgjengelige driveroppdateringer.

3. Gå til produsentens nettsted . Last ned den nyeste driverversjonen fra leverandørens offisielle støtteside – nyere versjoner er mer sannsynlig å være WHCP-signert.

4. Kontakt maskinvare- eller programvareleverandøren som publiserer driveren. Spør dem om en WHCP-sertifisert versjon av driveren er tilgjengelig og hvor de skal få tilgang til den. De fleste leverandører sertifiserer allerede sine drivere.

Hvis du er en driverutgiver

Hvis du utvikler og distribuerer kjernemodusdrivere for Windows, må du sørge for at driverne er signert gjennom WHCP-prosessen:

1. Bli med i Utviklingssenter for Windows-maskinvare . Registrer deg på Windows Hardware Dev Center med et gyldig SERTIFIKAT for ev-kode (utvidet validering).

2. Opprett en innsending . Opprett et nytt produkt i instrumentbordet for maskinvare, og send inn driverpakken for sertifisering.

3. Kjør HLK-testene . Bruk Windows Hardware Lab Kit (HLK) til å kjøre de nødvendige testene for drivertypen og enhetskategorien.

4. Send inn til signering . Etter at testene er bestått, kan du sende inn HLK-resultatene sammen med driverpakken. Microsoft signerer driveren med WHCP-sertifikatet.

5. Distribuer den signerte driveren . Når den er signert, publiserer du den WHCP-sertifiserte driveren via Windows Update og/eller nettstedet.

Windows Driver-policyen er en signert policy for kodeintegritet som er lagret på EFI-systempartisjonen og beskyttet av komponenter for tidlig oppstart i Windows. Hvis du deaktiverer funksjonen, må du følge disse manuelle trinnene, slik at skadelig programvare som kjører som administrator, ikke kan tukle med funksjonen:

Trinn 1: Deaktiver sikker oppstart

1. Start datamaskinen på nytt, og skriv inn innstillingsmenyen for UEFI-fastvare (BIOS). Du kan vanligvis gjøre dette ved å trykke på en tast under oppstart (for eksempel F2 , F10 , Del eller ESC – sjekk dokumentasjonen fra enhetsprodusenten)

   1. Alternativt, i Windows: gå til Innstillinger > System > Recovery > Avansert oppstart > Start på nytt nå . Velg deretter Feilsøk > Avanserte alternativer > Innstillinger for UEFI-fastvare > Start på nytt .

2. Finn alternativet Sikker oppstart (vanligvis under sikkerhet eller oppstart-fanen ) i fastvareinnstillingene.

3. Sett Sikker oppstart til Deaktivert .

4. Lagre endringer, og avslutt fastvareinnstillingene.

Trinn 2: Slette policyfilene fra EFI-systempartisjonen

1. Åpne PowerShell som administrator .

2. Montere EFI-systempartisjonen ved å kjøre:

mountvol S: /s

Du kan bruke en hvilken som helst tilgjengelig stasjonsbokstav i stedet for S:.

3. Slett overvåkingspolicyfilen:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Hvis håndhevelsespolicyen også finnes, sletter du den:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Se også etter og slett policyene fra Windows-systemkatalogen:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Demonter EFI-partisjonen:

mountvol S: /d

Trinn 3: Start datamaskinen på nytt

Start enheten på nytt slik at endringene trer i kraft. Etter omstart vil ikke policyen lenger være aktiv, og alle signerte drivere, inkludert de som ikke har WHCP-sertifisering, kan lastes inn.

Trinn 4: Aktiver sikker oppstart på nytt

Når du har fjernet policyfilene, aktiverer du sikker oppstart på nytt i UEFI-fastvareinnstillingene for å opprettholde andre beskyttelser for sikker oppstart.

Funksjonen starter i evalueringsmodus , der den logger, men blokkerer ikke usertifiserte drivere. Når systemet oppfyller evalueringskriteriene (tilstrekkelig oppetid og omstarter uten brudd på policyen), overføres policyen automatisk til håndhevelsesmodus , og drivere som ikke er WHCP-signert, blokkeres. Dette kan føre til at drivere som jobbet tidligere, stopper innlastingen.

Det er for øyeblikket ingen måte å omgå policyen for individuelle drivere på. Du kan enten deaktivere funksjonen fullstendig (se ovenfor) eller – fortrinnsvis – kontakte driverutgiveren og be vedkommende om å oppgi en WHCP-signert versjon av driveren.

Denne funksjonen gjelder bare for kjernemodusdrivere . Brukermodusprogrammer påvirkes ikke av denne policyen.

Du kan kontrollere ved å kjøre følgende kommandoer som administrator i PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Ja - Windows Server 2025 og nyere serverplattformer. På Windows Server er imidlertid krav til oppstartsøkte 2 omstarter (sammenlignet med tre på klientutgaver). Alle andre vilkår er like.

Hvis du tilbakestiller eller installerer Windows på nytt, starter funksjonen på nytt i evalueringsmodus. Evalueringstellerne tilbakestilles, og overgangen til håndhevelse starter på nytt fra starten.