Windows-drivrutinspolicyn

Om en drivrutin blockeras av den här principen kan du se:

• En maskinvaruenhet fungerar inte korrekt.

• Kringutrustning eller komponenter (skrivare, nätverkskort, GPU osv.) kan inte identifieras.

• Ett program som är beroende av en kerneldrivrutin startar inte.

Du kan kontrollera om windows-drivrutinsprincipen är ansvarig genom att kontrollera händelseloggarna för kodintegritet med hjälp av följande två metoder.

Frågekodintegritetshändelser manuellt    

1. Högerklicka på Start och välj Loggboken .

2. Gå till: Program- och tjänstloggar > Microsoft > Windows > CodeIntegrity > operational

3. Leta efter händelser med följande ID:ar eller filtrera loggen:

• Händelse-ID 3076 – En drivrutin granskades (skulle ha blockerats men tilläts eftersom principen är i granskningsläge).

• Händelse-ID 3077 – En drivrutin blockerades från att läsas in eftersom den bröt mot tillämpningsprincipen.

Leta efter fältet Princip-ID i händelseinformationen. Händelser som orsakas av den här funktionen refererar till något av följande PRINCIP-GUID:

• Granskningsprincip : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Tillämpa princip : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Frågekodintegritetshändelser med PowerShell

Du kan använda PowerShell för att snabbt hitta händelser relaterade till den här funktionen:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Händelseinformationen innehåller namnet på drivrutinen som granskades eller blockerades och namnet på processen som försökte läsa in drivrutinen, vilket kan hjälpa dig att identifiera vilken drivrutin eller enhet som påverkas.

Om du är enhetsanvändare eller IT-administratör

1. Kontrollera händelseloggarna med hjälp av stegen ovan för att identifiera vilken drivrutin som blockeras.

2. Kontrollera Windows Update efter uppdaterade drivrutiner. WHCP-certifierade, signerade drivrutiner kanske redan är tillgängliga via Windows Update. Gå till Inställningar > Windows Update > Avancerade alternativ > Valfria uppdateringar > Drivrutinsuppdateringar för att söka efter tillgängliga drivrutinsuppdateringar.

3. Besök tillverkarens webbplats . Ladda ned den senaste drivrutinsversionen från leverantörens officiella supportsida – nyare versioner är mer benägna att vara WHCP-signerade.

4. Kontakta maskinvaru- eller programvaruleverantören som publicerar drivrutinen. Fråga dem om det finns en WHCP-certifierad version av drivrutinen och var du kan komma åt den. De flesta leverantörer redan WHCP certifiera sina drivrutiner.

Om du är en drivrutinsutgivare

Om du utvecklar och distribuerar kernellägesdrivrutiner för Windows måste du se till att drivrutinerna är signerade via WHCP-processen:

1. Gå med i Windows Hardware Dev Center . Registrera dig på Windows Hardware Dev Center med ett giltigt certifikat för ev-kodsignering (Utökad validering).

2. Skapa en insändning . Skapa en ny produkt på instrumentpanelen för maskinvara och skicka in ditt drivrutinspaket för certifiering.

3. Kör HLK-testerna . Använd Windows Hardware Lab Kit (HLK) för att köra de tester som krävs för drivrutinstypen och enhetskategorin.

4. Skicka för signering . När testerna har godkänts skickar du in HLK-resultaten tillsammans med drivrutinspaketet. Microsoft signerar drivrutinen med WHCP-certifikatet.

5. Distribuera den signerade drivrutinen . När du har signerat publicerar du den WHCP-certifierade drivrutinen via Windows Update och/eller din webbplats.

Principen för Windows-drivrutin är en signerad princip för kodintegritet som lagras på EFI-systempartitionen och skyddas av tidiga startkomponenter i Windows. För att stänga av funktionen krävs följande manuella steg så att skadlig programvara som körs som administratör inte kan manipulera funktionen:

Steg 1: Inaktivera säker start

1. Starta om datorn och öppna menyn inställningar för den inbyggda UEFI-programvaran (BIOS). Du kan vanligtvis göra detta genom att trycka på en tangent under start (till exempel F2 , F10 , Del eller Esc – kontrollera enhetstillverkarens dokumentation)

   1. Du kan också gå till Inställningar > System > Återställning > Avancerad start > Starta om nu . Välj sedan Felsöka > Avancerade alternativ > UEFI-inställningar > Starta om .

2. Leta reda på alternativet Säker start i inställningarna för den inbyggda programvaran (vanligtvis under fliken Säkerhet eller Start ).

3. Ange Säker start till Inaktiverad .

4. Spara ändringar och avsluta inställningarna för den inbyggda programvaran.

Steg 2: Ta bort principfilerna från EFI-systempartitionen

1. Öppna PowerShell som administratör .

2. Montera EFI-systempartitionen genom att köra:

mountvol S: /s

Du kan använda valfri tillgänglig enhetsbeteckning i stället för "S:".

3. Ta bort granskningsprincipfilen:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Om tillämpningsprincipen också finns tar du bort den:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Kontrollera även efter och ta bort principerna från Windows-systemkatalogen:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Demontera EFI-partitionen:

mountvol S: /d

Steg 3: Starta om datorn

Ändringarna börjar gälla efter att du har startat om din enhet. Efter omstarten kommer principen inte längre att vara aktiv och alla signerade drivrutiner – även de utan WHCP-certifiering – tillåts läsas in.

Steg 4: Återaktivera Säker start

När du har tagit bort principfilerna aktiverar du Säker start igen i inställningarna för den inbyggda UEFI-programvaran för att upprätthålla andra skydd för säker start.

Funktionen startas i utvärderingsläge där den loggar men inte blockerar ocertifierade drivrutiner. När systemet uppfyller utvärderingskriterierna (tillräcklig drifttid och omstarter utan principöverträdelser) övergår principen automatiskt till tillämpningsläge och drivrutiner som inte är WHCP-signerade blockeras. Det kan göra att drivrutiner som tidigare fungerade slutade läsas in.

Det finns för närvarande inget sätt att kringgå principen för enskilda drivrutiner. Du kan antingen inaktivera funktionen helt (se ovan) eller, helst, kontakta drivrutinsutgivaren och be dem att tillhandahålla en WHCP-signerad version av drivrutinen.

Den här funktionen gäller endast kernellägesdrivrutiner . Användarlägesprogram påverkas inte av den här principen.

Du kan kontrollera genom att köra följande kommandon som administratör i PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Ja – Windows Server 2025 och nyare serverplattformar. På Windows Server är dock kravet på startsession två omstarter (jämfört med 3 på klientutgåvor). Alla andra villkor är desamma.

Om du återställer eller installerar om Windows startar funktionen i utvärderingsläge. Utvärderingsräknarena återställs och övergången till tillämpning påbörjas igen från början.