Politica pentru driverul Windows

Dacă un driver este blocat de această politică, este posibil să vedeți:

• Un dispozitiv hardware nu funcționează corect.

• O componentă periferică sau componentă (imprimantă, adaptor de rețea, GPU etc.) nu este recunoscută.

• O aplicație care depinde de un driver de kernel nu reușește să pornească.

Puteți confirma dacă politica de driver Windows este responsabilă, verificând jurnalele de evenimente Integritate cod utilizând următoarele două metode.

Evenimente de integritate a codului de interogare manual    

1. Faceți clic dreapta pe butonul Start și selectați Vizualizator evenimente .

2. În panoul din stânga, navigați la: Jurnale de aplicații și servicii > Microsoft > Windows > CodeIntegrity > Operațional

3. Căutați sau filtrați jurnalul pentru evenimente cu aceste ID-uri:

• ID-ul de eveniment 3076 - a fost auditat un driver (ar fi fost blocat, dar a fost permis, deoarece politica este în modul de auditare).

• ID-ul de eveniment 3077 - încărcarea unui driver a fost blocată , deoarece a încălcat politica de impunere.

În detaliile evenimentului, căutați câmpul ID politică . Evenimentele cauzate de această caracteristică vor face referire la unul dintre următoarele GUID-uri de politică:

• Politică de audit : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Impunere politică : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Evenimente de integritate a codului de interogare cu PowerShell

Puteți utiliza PowerShell pentru a găsi rapid evenimente legate de această caracteristică:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Detaliile evenimentului vor include numele driverului care a fost auditat sau blocat și numele procesului care a încercat să încarce driverul, ceea ce vă poate ajuta să identificați driverul sau dispozitivul afectat.

Dacă sunteți utilizatorul dispozitivului sau administratorul IT

1. Verificați jurnalele de evenimente utilizând pașii de mai sus pentru a identifica driverul blocat.

2. Verificați Windows Update pentru drivere actualizate. Driverele certificate WHCP, semnate pot fi deja disponibile prin Windows Update. Accesați Setări > Windows Update > Opțiuni complexe > Actualizări opționale > Actualizări driver pentru a căuta actualizările de drivere disponibile.

3. Vizitați site-ul web al producătorului . Descărcați cea mai recentă versiune de driver de la pagina de asistență oficială a furnizorului - versiunile mai noi au mai multe șanse să fie semnate WHCP.

4. Contactați furnizorul de hardware sau software care publică driverul. Întrebați-i dacă este disponibilă o versiune certificată WHCP a driverului și unde să o accesați. Majoritatea distribuitorilor își certifică deja driverele WHCP.

Dacă sunteți editor de drivere

Dacă dezvoltați și distribuiți drivere mod kernel pentru Windows, trebuie să vă asigurați că driverele sunt semnate prin procesul WHCP:

1. Alăturați-vă Centrului pentru dezvoltatori hardware Windows . Înregistrați-vă la Centrul pentru dezvoltatori hardware Windows cu un certificat de semnare a codului EV (Validare extinsă) valid.

2. Creați o remitere . În Tabloul de bord hardware, creați un produs nou și remiteți pachetul de driver pentru certificare.

3. Rulați testele HLK . Utilizați Windows Hardware Lab Kit (HLK) pentru a rula testele necesare pentru tipul de driver și categoria de dispozitiv.

4. Remiteți pentru semnare . După ce testele trec, trimiteți rezultatele HLK împreună cu pachetul de driver. Microsoft va semna driverul cu certificatul WHCP.

5. Distribuiți driverul semnat . Odată semnat, publicați driverul certificat WHCP prin Windows Update și/sau site-ul web.

Politica de driver Windows este o politică de integritate a codului semnată stocată pe partiția de sistem EFI și protejată de componentele windows de boot timpuriu. Dezactivarea caracteristicii necesită următorii pași manuali, astfel încât software-ul rău intenționat care rulează ca administrator să nu poată modifica caracteristica:

Pasul 1: Dezactivarea bootului securizat

1. Reporniți computerul și introduceți meniul de setări firmware UEFI (BIOS). De obicei, puteți face acest lucru apăsând o tastă în timpul încărcării (cum ar fi F2 , F10 , Del sau Esc - consultați documentația producătorului dispozitivului)

   1. Alternativ, în Windows: accesați Setări > Sistem > Recuperare > Pornire avansată > Reporniți acum . Apoi alegeți Depanare > Opțiuni complexe > Setări firmware UEFI > Repornire .

2. În setările de firmware, găsiți opțiunea Bootare sigură (de obicei, sub fila Securitate sau Bootare ).

3. Setați Bootare sigură la Dezactivat .

4. Salvați modificările și ieșiți din setările de firmware.

Pasul 2: Ștergerea fișierelor de politică din partiția de sistem EFI

1. Deschideți PowerShell ca administrator .

2. Montați partiția de sistem EFI rulând:

mountvol S: /s

Puteți utiliza orice literă de unitate disponibilă în locul lui "S:".

3. Ștergeți fișierul politicii de audit:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

(4) Dacă există și o politică de impunere, ștergeți-o:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. De asemenea, căutați și ștergeți politicile din directorul de sistem Windows:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Anulați comanda partiției EFI:

mountvol S: /d

Pasul 3: Reporniți computerul

Reporniți dispozitivul pentru ca modificările să aibă efect. După repornire, politica nu va mai fi activă și toate driverele semnate, inclusiv cele fără certificare WHCP, vor putea fi încărcate.

Pasul 4: Reactivați bootul securizat

După eliminarea fișierelor de politică, reactivați Bootarea sigură în setările de firmware UEFI pentru a menține alte protecții Secure Boot.

Caracteristica pornește în modul de evaluare , unde se înregistrează, dar nu blochează driverele necertificate. După ce sistemul îndeplinește criteriile de evaluare (timp de funcționare și reporniri suficiente fără încălcări ale politicii), politica trece automat la modul de impunere , iar driverele care nu sunt semnate WHCP vor fi blocate. Acest lucru poate face ca driverele care lucrau anterior să nu se mai încarce.

Momentan nu există nicio modalitate de a ocoli politica pentru drivere individuale. Puteți să dezactivați caracteristica în întregime (vedeți mai sus) sau, preferabil, să contactați editorul driverului și să îi cereți să furnizeze o versiune semnată WHCP a driverului.

Această caracteristică se aplică doar pentru driverele mod kernel . Aplicațiile mod utilizator nu sunt afectate de această politică.

Puteți verifica rulând următoarele comenzi ca administrator în PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Da - Windows Server 2025 și platformele de server mai noi. Cu toate acestea, pe Windows Server, cerința de sesiune de boot este de 2 reporniri (comparativ cu 3 în edițiile client). Toate celelalte criterii sunt identice.

Dacă resetați sau reinstalați Windows, caracteristica va începe de la zero în modul de evaluare. Contoare de evaluare vor fi resetați, iar trecerea la punerea în aplicare va începe din nou de la început.