De pagina Apparaatbeveiliging in de app Windows-beveiliging helpt uw Windows-apparaat te beschermen door beveiligingsfuncties op basis van hardware en besturingssysteem te beheren, waaronder Beveiligd opstarten, kernisolatie en beveiliging op processorniveau. Deze functies werken samen om te beschermen tegen malware, firmware-aanvallen en systeeminbreuken. De pagina is onderverdeeld in de volgende secties:
- Beveiligde pc: als je apparaat een pc met beveiligde core is, wordt hier informatie weergegeven over de functies van de beveiligde core van de pc
- Kernisolatie: hier kun je beveiligingsfuncties configureren die de Windows-kernel beschermen
- Beveiligingsprocessor: geeft informatie over de beveiligingsprocessor, die de TPM (Trusted Platform Module) wordt aangeroepen
- Beveiligd opstarten: Als beveiligd opstarten is ingeschakeld, vind je hier meer informatie over
- Gegevensversleuteling: Hier vindt u een koppeling naar Windows-instellingen, waar u apparaatversleuteling en andere BitLocker-instellingen kunt configureren
- Hardwarebeveiligingsvermogen: beoordeelt de hardwarebeveiligingsfuncties van uw apparaat
Selecteer Apparaatbeveiliging in de app 
Windows-beveiliging op uw pc of gebruik de volgende toetscombinatie:
Beveiligde core pc
Een pc met beveiligde core is ontworpen om direct uit de doos geavanceerde beveiligingsfuncties te bieden. Deze pc's integreren hardware, firmware en software om robuuste bescherming te bieden tegen geavanceerde bedreigingen.
Selecteer Beveiligingsdetails apparaat> in de app Windows-beveiliging op uw pc.
Zie Windows 11 Beveiligde pc's voor meer informatie.
Kernisolatie
Kernisolatie biedt beveiligingsfuncties die zijn ontworpen om de kernprocessen van Windows te beveiligen tegen schadelijke software door ze in het geheugen te isoleren. Dit doe je door deze kernprocessen uit te voeren in een gevirtualiseerde omgeving.
Selecteer in de app Windows-beveiliging op uw pc de optie Apparaatbeveiliging>Kernisolatiedetails of gebruik de volgende snelkoppeling:
Opmerking
De functies die worden weergegeven op de pagina Kernisolatie variëren afhankelijk van welke versie van Windows je gebruikt en de geïnstalleerde hardwareonderdelen.
Geheugenintegriteit
Geheugenintegriteit, ook wel bekend als Hypervisor-beveiligde code-integriteit (HVCI) is een Windows-beveiligingsfunctie die het moeilijk maakt voor schadelijke programma's om stuurprogramma's op laag niveau te gebruiken om uw pc te kapen.
Een stuurprogramma is software waarmee het besturingssysteem (in dit geval Windows) en een apparaat (zoals een toetsenbord of een webcam) met elkaar kunnen communiceren. Wanneer het apparaat wil dat Windows iets doet, wordt het stuurprogramma gebruikt om die aanvraag te verzenden.
Geheugenintegriteit werkt door een geïsoleerde omgeving te maken met behulp van hardwarevirtualisatie.
Zie het als een bewaker in een vergrendelde cabine. Deze geïsoleerde omgeving (de vergrendelde booth in onze analogie) voorkomt dat er met de functie voor geheugenintegriteit wordt geknoeid door een aanvaller. Een programma dat een code wil uitvoeren die gevaarlijk kan zijn, moet de code doorgeven aan de geheugenintegriteit in die virtuele stand, zodat deze kan worden geverifieerd. Wanneer de geheugenintegriteit vertrouwd is dat de code veilig is, wordt de code terug naar Windows opgegeven om uit te voeren. Meestal gebeurt dit heel snel.
Als geheugenintegriteit niet wordt uitgevoerd, valt de beveiliging direct op. Hierdoor is het voor een aanvaller veel eenvoudiger om de beveiliging te verstoren of te saboteren, waardoor schadelijke code eenvoudiger voorbij kan sluipen en problemen kan veroorzaken.
U kunt geheugenintegriteit in - of uitschakelen met de wisselknop.
Opmerking
Als je geheugenintegriteit wilt gebruiken, moet hardwarevirtualisatie zijn ingeschakeld in de UEFI of BIOS van je systeem.
Wat gebeurt er als er staat dat ik een incompatibel stuurprogramma heb?
Als geheugenintegriteit niet kan worden ingeschakeld, wordt mogelijk aangegeven dat er al een incompatibel apparaatstuurprogramma is geïnstalleerd. Neem contact op met de fabrikant van het apparaat om te zien of er een bijgewerkt stuurprogramma beschikbaar is. Als er geen compatibel stuurprogramma beschikbaar is, kun je mogelijk het apparaat of de app verwijderen die gebruikmaakt van dat incompatibele stuurprogramma.
Opmerking
Als u probeert een apparaat te installeren met een incompatibel stuurprogramma nadat u geheugenintegriteit hebt ingeschakeld, ontvangt u mogelijk hetzelfde bericht. Als dit het geval is, geldt hetzelfde advies: neem contact op met de fabrikant van het apparaat om te zien of deze een bijgewerkt stuurprogramma heeft dat je kunt downloaden of installeer dat specifieke apparaat pas als er een compatibel stuurprogramma beschikbaar is.
Door hardware afgedwongen stackbeveiliging in kernelmodus
Door hardware afgedwongen stackbeveiliging is een op hardware gebaseerde beveiligingsfunctie die het moeilijk maakt voor schadelijke programma's om stuurprogramma's op laag niveau te gebruiken om uw pc te kapen.
Een stuurprogramma is software waarmee het besturingssysteem (in dit geval Windows) en een apparaat (zoals een toetsenbord of een webcam) met elkaar kunnen communiceren. Wanneer het apparaat wil dat Windows iets doet, wordt het stuurprogramma gebruikt om die aanvraag te verzenden.
Door hardware afgedwongen stackbeveiliging werkt door aanvallen te voorkomen die retouradressen in het kernelmodusgeheugen wijzigen om schadelijke code te starten. Voor deze beveiligingsfunctie is een CPU vereist die de mogelijkheid bevat om de retouradressen van actieve code te verifiëren.
Bij het uitvoeren van code in de kernelmodus kunnen retouradressen in de kernelmodusstack worden beschadigd door kwaadaardige programma's of stuurprogramma's, zodat de normale uitvoering van code wordt omgeleid naar kwaadaardige code. Op ondersteunde CPU's onderhoudt de CPU een tweede kopie van geldige retouradressen op een alleen-lezen schaduwstack die stuurprogramma's niet kunnen wijzigen. Als een retouradres op de reguliere stack is gewijzigd, kan de CPU deze discrepantie detecteren door de kopie van het retouradres op de schaduwstack te controleren. Wanneer deze afwijking optreedt, wordt op de computer een stopfout weergegeven, ook wel een blauw scherm genoemd, om te voorkomen dat de schadelijke code wordt uitgevoerd.
Niet alle stuurprogramma's zijn compatibel met deze beveiligingsfunctie, aangezien een klein aantal legitieme stuurprogramma's zich bezighoudt met het wijzigen van het adres voor niet-kwaadwillende doeleinden. Microsoft heeft samengewerkt met tal van uitgevers van stuurprogramma's om ervoor te zorgen dat hun meest recente stuurprogramma's compatibel zijn met door hardware afgedwongen stackbescherming.
U kunt door hardware afgedwongen stackbeveiliging in - of uitschakelen met de wisselknop.
Als je door hardware afgedwongen stackbeveiliging wilt gebruiken, moet geheugenintegriteit zijn ingeschakeld en moet je een CPU gebruiken die Intel Control-Flow Enforcement Technology of AMD Shadow Stack ondersteunt.
Wat gebeurt er als er staat dat ik een incompatibel stuurprogramma of incompatibele service heb?
Als door hardware afgedwongen stackbeveiliging niet wordt ingeschakeld, wordt mogelijk aangegeven dat er al een incompatibel apparaatstuurprogramma of incompatibele service is geïnstalleerd. Neem contact op met de fabrikant van het apparaat of de uitgever van de toepassing om te zien of er een bijgewerkt stuurprogramma beschikbaar is. Als er geen compatibel stuurprogramma beschikbaar is, kunt u mogelijk het apparaat of de app verwijderen die gebruikmaakt van dat incompatibele stuurprogramma.
Sommige toepassingen installeren mogelijk een service in plaats van een stuurprogramma tijdens de installatie van de toepassing en installeren het stuurprogramma alleen wanneer de toepassing wordt gestart. Voor een nauwkeurigere detectie van incompatibele stuurprogramma's worden ook services opgesomd waarvan bekend is dat ze zijn gekoppeld aan incompatibele stuurprogramma's.
Opmerking
Als u probeert een apparaat of app met een incompatibel stuurprogramma te installeren nadat u door hardware afgedwongen stackbeveiliging hebt ingeschakeld, ziet u mogelijk hetzelfde bericht. Als dit het geval is, geldt hetzelfde advies: neem contact op met de fabrikant van het apparaat of de app-uitgever om te zien of ze een bijgewerkt stuurprogramma hebben dat u kunt downloaden, of installeer dat specifieke apparaat of die app pas als er een compatibel stuurprogramma beschikbaar is.
Beveiliging van geheugentoegang
Deze beveiligingsfunctie, ook wel bekend als Kernel DMA-beveiliging , beschermt uw apparaat tegen aanvallen die kunnen optreden wanneer een schadelijk apparaat wordt aangesloten op een PCI-poort (Peripheral Component Interconnect), zoals een Thunderbolt-poort.
Een eenvoudig voorbeeld van een van deze aanvallen is als iemand zijn pc verlaat voor een snelle koffiepauze, en terwijl ze afwezig waren, een aanvaller instapt, een USB-achtig apparaat aansluit en gevoelige gegevens van de computer wegloopt, of malware injecteert waarmee ze de pc op afstand kunnen beheren.
Beveiliging van geheugentoegang voorkomt dit soort aanvallen door directe toegang tot het geheugen voor die apparaten te weigeren, behalve onder speciale omstandigheden, met name wanneer de pc is vergrendeld of de gebruiker is afgemeld.
Tip
Zie Kernel DMA-beveiliging voor meer informatie.
Firmware-beveiliging
Elk apparaat heeft software die is geschreven naar het alleen-lezengeheugen van het apparaat - in feite geschreven naar een chip op het systeembord - die wordt gebruikt voor de basisfuncties van het apparaat, zoals het laden van het besturingssysteem waarop alle apps worden uitgevoerd die we gewend zijn te gebruiken. Omdat die software moeilijk (maar niet onmogelijk) te wijzigen is, verwijzen we ernaar als firmware.
Omdat de firmware eerst wordt geladen en wordt uitgevoerd onder het besturingssysteem, hebben beveiligingshulpprogramma's en functies die in het besturingssysteem worden uitgevoerd, het moeilijk om deze te detecteren of ertegen te verdedigen. Net als een huis dat afhankelijk is van een goede basis om veilig te zijn, moet de firmware van een computer veilig zijn om ervoor te zorgen dat het besturingssysteem, de toepassingen en de gegevens op die computer veilig zijn.
System Guard is een set functies die ervoor zorgen dat aanvallers uw apparaat niet kunnen laten beginnen met niet-vertrouwde of schadelijke firmware.
Platforms die firmwarebeveiliging bieden, beschermen doorgaans ook de systeembeheermodus (SMM), een zeer bevoorrechte bedrijfsmodus, in verschillende mate. Je kunt een van de drie waarden verwachten, waarbij een hoger getal een grotere mate van SMM-beveiliging aangeeft:
- Je apparaat voldoet aan firmwarebeveiligingsversie één: dit biedt de fundamentele beveiligingsbeperkingen om SMM te helpen misbruik door malware te voorkomen en exfiltratie van geheimen van het besturingssysteem (inclusief VBS) te voorkomen
- Je apparaat voldoet aan firmwarebeveiligingsversie twee: naast firmwarebeveiligingsversie één, zorgt versie twee ervoor dat SMM virtualisatiegebaseerde beveiliging (VBS) en kernel-DMA-beveiliging niet kan uitschakelen
- Je apparaat voldoet aan firmwarebeveiligingsversie drie: naast firmwarebeveiligingsversie twee, wordt de SMM verder beveiligd door toegang te voorkomen tot bepaalde registers die het besturingssysteem kunnen in gevaar brengen (inclusief VBS)
Beveiliging van lokale beveiligingsinstanties
LSA-beveiliging (Local Security Authority) is een Windows-beveiligingsfunctie die diefstal voorkomt van referenties die worden gebruikt om u aan te melden bij Windows.
De lokale certificeringsinstantie (LSA) is een cruciaal proces in Windows dat betrokken is bij gebruikersverificatie. Het is verantwoordelijk voor het verifiëren van referenties tijdens het aanmeldingsproces en het beheren van verificatietokens en tickets die worden gebruikt om eenmalige aanmelding in te schakelen voor services. LSA-beveiliging helpt voorkomen dat niet-vertrouwde software binnen LSA wordt uitgevoerd of toegang krijgt tot LSA-geheugen.
Hoe kan ik beveiliging van lokale certificeringsinstanties beheren?
Je kunt LSA-bescherming in- of uitschakelen met de wisselknop.
Nadat u de instelling hebt gewijzigd, moet u opnieuw opstarten om deze van kracht te laten worden.
Opmerking
LSA-beveiliging is standaard ingeschakeld op alle apparaten om referenties veilig te houden. Voor nieuwe installaties wordt de functie onmiddellijk ingeschakeld. Bij upgrades wordt deze functie ingeschakeld na opnieuw opstarten na een evaluatieperiode van vijf dagen.
Wat gebeurt er als ik incompatibele software heb?
Als LSA-beveiliging is ingeschakeld en het laden van software in de LSA-service wordt geblokkeerd, wordt in een melding het geblokkeerde bestand aangegeven. U kunt mogelijk de software verwijderen die het bestand laadt, of u kunt toekomstige waarschuwingen voor dat bestand uitschakelen wanneer het laden in LSA is geblokkeerd.
Credential Guard
Opmerking
Credential Guard is beschikbaar op apparaten met de Enterprise- of Education-versie van Windows.
Terwijl u uw werk- of schoolapparaat gebruikt, wordt het op de achtergrond aangemeld bij en krijgt u toegang tot verschillende zaken, zoals bestanden, printers, apps en andere resources in uw organisatie. Als u dat proces veilig en toch gemakkelijk maakt voor de gebruiker, betekent dit dat uw pc op elk gewenst moment een aantal verificatietokens heeft.
Als een aanvaller toegang kan krijgen tot een of meer van die tokens, kan deze mogelijk worden gebruikt om toegang te krijgen tot de organisatieresource (gevoelige bestanden, enzovoort) waarvoor het token is bedoeld. Credential Guard helpt deze tokens te beveiligen door ze in een beveiligde, gevirtualiseerde omgeving te plaatsen waar alleen bepaalde services er toegang toe hebben wanneer dat nodig is.
Tip
Zie voor meer informatie How Credential Guard works.
Blokkeringslijst voor Microsoft-kwetsbare stuurprogramma's
Een stuurprogramma is software waarmee het besturingssysteem (in dit geval Windows) en een apparaat (zoals een toetsenbord of een webcam) met elkaar kunnen communiceren. Wanneer het apparaat wil dat Windows iets doet, wordt het stuurprogramma gebruikt om die aanvraag te verzenden. Hierdoor hebben stuurprogramma's veel gevoelige toegang in je systeem.
Windows 11 bevat een blokkeringslijst met stuurprogramma's die bekende beveiligingsproblemen hebben, zijn ondertekend met certificaten die worden gebruikt om malware te ondertekenen of die het model voor Windows-beveiliging omzeilen.
Als je geheugenintegriteit hebt, Smart App Control of windows S-modus ingeschakeld, is de kwetsbare stuurprogrammablokkeringslijst ook ingeschakeld.
Opmerking
Als een banner met de titel Programmacompatibiliteitsassistent wordt weergegeven met een bericht dat aangeeft dat een stuurprogramma niet kan worden geladen of dat een stuurprogramma niet kan worden geladen door een beveiligingsinstelling, controleert u op bijgewerkte stuurprogramma's via Windows Update of Apparaatbeheer. Als er geen updates beschikbaar zijn, neemt u contact op met uw hardwarefabrikant voor een bijgewerkt stuurprogramma.
Beveiligingsprocessor
De instellingen van de beveiligingsprocessor onder de pagina Apparaatbeveiliging in de app Windows-beveiliging bieden informatie over de TPM (Trusted Platform Module) op uw apparaat. De TPM is een hardwareonderdeel dat is ontworpen om de beveiliging te verbeteren door cryptografische bewerkingen uit te voeren.
Opmerking
Als er geen beveiligingsprocessor in dit scherm wordt weergegeven, is de kans groot dat uw apparaat niet beschikt over de TPM-hardware (Trusted Platform Module) die nodig is voor deze functie of dat het niet is ingeschakeld in UEFI (Unified Extensible Firmware Interface). Neem contact op met de fabrikant van uw apparaat om te zien of uw apparaat TPM ondersteunt en, zo ja, hoe u deze kunt inschakelen.
Details beveiligingsprocessor
Hier vind je informatie over de fabrikant van de beveiligingsprocessor, versienummers en de status van de beveiligingsprocessor.
Selecteer in de app Windows-beveiliging op uw pc de optie Apparaatbeveiliging>Beveiligingsprocessorgegevens of gebruik de volgende snelkoppeling:
Probleemoplossing voor beveilingsprocessor
Als uw beveiligingsprocessor niet goed werkt, kunt u de koppeling voor probleemoplossing voor Beveiligingsprocessor selecteren om foutberichten en geavanceerde opties weer te geven, of de volgende snelkoppeling gebruiken:
Op de pagina voor het oplossen van problemen met de beveiligingsprocessor worden relevante foutberichten over de TPM weergegeven. Hier volgt een lijst met foutberichten en details:
| Bericht | Details |
|---|---|
| Een firmware-update is nodig voor uw beveiligingsprocessor (TPM). | Het moederbord van uw apparaat lijkt momenteel geen ondersteuning te bieden voor TPM, maar met een firmware-update wordt dit mogelijk opgelost. Neem contact op met de fabrikant van uw apparaat om te zien of een firmware-update beschikbaar is en hoe u deze kunt installeren. Firmware-updates zijn meestal gratis. |
| TPM is uitgeschakeld en heeft aandacht nodig. | De vertrouwde platformmodule is waarschijnlijk uitgeschakeld in het systeem-BIOS (Basic Input/Output System) of UEFI (Unified Extensible Firmware Interface). Raadpleeg de ondersteuningsdocumentatie van de fabrikant van het apparaat of neem contact op met de technische ondersteuning voor instructies om het apparaat in te schakelen. |
| TPM-opslag is niet beschikbaar. Je TPM wissen. | De knop TPM wissen bevindt zich op deze pagina. Zorg ervoor dat je een goede back-up van je gegevens hebt voordat je doorgaat. |
| Apparaatstatusverklaring is niet beschikbaar. Je TPM wissen. | De knop TPM wissen bevindt zich op deze pagina. Zorg ervoor dat je een goede back-up van je gegevens hebt voordat je doorgaat. |
| Apparaatconditieverklaring wordt niet ondersteund op dit apparaat. | Dit betekent dat het apparaat ons onvoldoende informatie geeft om te bepalen waarom TPM mogelijk niet goed werkt op uw apparaat. |
| Je TPM is niet compatibel met je firmware en werkt mogelijk niet goed. | Neem contact op met de fabrikant van uw apparaat om te zien of een firmware-update beschikbaar is en hoe u deze kunt downloaden en installeren. Firmware-updates zijn meestal gratis. |
| Door TPM gemeten opstartlogboek ontbreekt. Probeer je apparaat opnieuw op te starten. | |
| Er is een probleem met je TPM. Probeer je apparaat opnieuw op te starten. |
Als de problemen niet zijn verholpen nadat je het advies in het foutbericht hebt opgevolgd, kun je contact opnemen met de fabrikant van het apparaat voor assistentie.
Kies TPM wissen om je beveiligingsprocessor opnieuw in te stellen op de standaardinstellingen.
Let op
Denk eraan dat je een back-up van je gegevens maakt voordat je de TPM wist.
Beveiligd opstarten
Bij beveiligd opstarten wordt voorkomen dat een geavanceerd en gevaarlijk type malware, een rootkit, kan worden geladen wanneer uw apparaat wordt opgestart. Rootkits gebruiken dezelfde machtigingen als het besturingssysteem en worden vóór het besturingssysteem gestart, waardoor zij zichzelf volledig kunnen verbergen. Rootkits maken vaak deel uit van een volledige suite van malware die lokale aanmeldingen kan omzeilen, wachtwoorden en toetsaanslagen kan vastleggen, persoonlijke bestanden kan overdragen en cryptografische gegevens kan vastleggen.
Mogelijk moet u beveiligd opstarten uitschakelen als u bepaalde grafische kaarten, hardware of besturingssystemen, zoals Linux of eerdere versies van Windows, wilt uitvoeren.
Zie Beveiligd opstarten voor meer informatie.
Vermogen voor hardwarebeveiliging
De laatste sectie van de pagina Apparaatbeveiliging bevat informatie die de beveiligingsmogelijkheden van uw apparaat aangeeft. Hier volgt een lijst met berichten en details:
| Bericht | Details |
|---|---|
| Je apparaat voldoet aan de vereisten voor standaardhardwarebeveiliging. | Dit betekent dat je apparaat geheugenintegriteit en kernisolatie ondersteunt en tevens over het volgende beschikt:
|
| Je apparaat voldoet aan de vereisten voor uitgebreide hardwarebeveiliging. | Dit betekent dat niet alleen aan de vereisten van standaard hardwarebeveiliging wordt voldaan, maar dat ook geheugenintegriteit is ingeschakeld op je apparaat. |
| Op je apparaat zijn alle beveiligde pc-functies ingeschakeld. | Dit betekent dat niet alleen aan de vereisten van de uitgebreide hardwarebeveiliging wordt voldaan, maar dat ook de bescherming System Management Mode (SMM) is ingeschakeld op je apparaat. |
| Standaard hardwarebeveiliging wordt niet ondersteund. | Dit betekent dat je apparaat niet voldoet aan ten minste één van de vereisten van standaardhardwarebeveiliging. |
Opmerking
- De hardwarebeveiliging verbeteren
- Als de beveiligingsmogelijkheden van je apparaat volgens jou niet voldoende zijn, moet je mogelijk bepaalde functies van je hardware inschakelen (zoals beveiligd opstarten, als de hardware dit ondersteunt) of instellingen in de BIOS van je computer wijzigen. Neem contact op met uw hardwareleverancier om te zien welke functies worden ondersteund door uw hardware en hoe u deze kunt inschakelen.
Pc-manager
|
De Pc-manager-app kan ook nuttig zijn in dit scenario. Zie Microsoft Pc-manager voor meer informatie. Opmerking: Microsoft Pc-manager is niet beschikbaar in alle landinstellingen. |
|---|