Політика драйвера Windows

Якщо драйвер заблоковано цією політикою, може з'явитися таке:

• Апаратний пристрій працює неправильно.

• Периферійний пристрій або компонент (принтер, мережевий адаптер, графічний процесор тощо) не розпізнано.

• Програма, яка залежить від драйвера ядра, не запускається.

Ви можете підтвердити, чи відповідає політика драйвера Windows, перевіривши журнали подій цілісності коду двома способами.

Події цілісності коду запиту вручну    

1. Клацніть правою кнопкою миші кнопку Пуск і виберіть перегляд подій .

2. В області ліворуч перейдіть до розділу: Журнали програм і служб > Microsoft > Код Windows > Integrity > Operational

3. Знайдіть або відфільтруйте журнал подій за допомогою цих ідентифікаторів:

• Подія з ідентифікатором 3076 – перевірено драйвер (його було б заблоковано, але його було дозволено, оскільки політика перебуває в режимі аудиту).

• Event ID 3077 – драйвер заблоковано , тому що він порушив політику примусового виконання.

У відомостями про подію знайдіть поле Ідентифікатор політики . Події, викликані цією функцією, будуть посилатися на один із наведених нижче ідентифікаторів GUID політики:

• Політика аудиту : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Застосувати політику : {8F9CB695-5D48-48D6-A329-7202B44607E3}

Події цілісності коду запиту за допомогою PowerShell

За допомогою PowerShell можна швидко знайти події, пов'язані з цією функцією:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Відомості про подію міститимуть ім'я перевіреного або заблокованого драйвера та ім'я процесу, який намагався завантажити драйвер, що може допомогти визначити, на який драйвер або пристрій це впливає.

Якщо ви користувач пристрою або ІТ-адміністратор

1. Перевірте журнали подій , виконавши наведені вище кроки, щоб визначити, який драйвер блокується.

2. Перевірте наявність оновлених драйверів у Windows Update. Підписані драйвери, сертифіковані для WHCP, уже можуть бути доступні через Windows Update. Перейдіть до розділу Настройки > Windows Update > Додаткові параметри > Додаткові оновлення > Оновлення драйвера, щоб перевірити наявність доступних оновлень драйверів.

3. Відвідайте веб-сайт виробника . Завантажте останню версію драйвера з офіційної сторінки підтримки постачальника – новіші версії, швидше за все, будуть підписані WHCP.

4. Зверніться до постачальника обладнання або програмного забезпечення , який публікує драйвер. Запитайте в них, чи доступна версія драйвера, сертифікована WHCP, і де отримати до нього доступ. Більшість постачальників уже WHCP сертифікують свої драйвери.

Якщо ви – видавець драйвера

Якщо ви розробляєте та розповсюджуєте драйвери в режимі ядра для Windows, ви повинні переконатися, що ваші драйвери підписані через процес WHCP:

1. Приєднайтеся до Центру розробки обладнання Windows . Зареєструйтеся в Центрі розробки обладнання Windows за допомогою дійсного сертифіката підпису коду розширеної перевірки.

2. Створіть надсилання . На приладній дошці обладнання створіть новий продукт і надішліть пакет драйвера для сертифікації.

3. Запустіть тести HLK . Скористайтеся пакетом Windows Hardware Lab Kit (HLK) для виконання необхідних тестів для типу драйвера та категорії пристрою.

4. Надіслати для підписання . Після проходження тестів надішліть результати HLK разом із пакетом драйверів. Корпорація Майкрософт підписуватиме драйвер за допомогою сертифіката WHCP.

5. Розповсюдити підписаний драйвер . Після підписання опублікуйте драйвер із сертифікатом WHCP через Windows Update та/або свій веб-сайт.

Політика драйвера Windows – це підписана політика цілісності коду, яка зберігається на системному розділі EFI та захищена компонентами раннього завантаження Windows. Щоб вимкнути цю функцію, потрібно виконати наведені нижче дії вручну, щоб зловмисне програмне забезпечення, запущене як адміністратор, не може підробити цю функцію.

Крок 1. Вимкнення безпечного завантаження

1. Перезавантажте комп'ютер і введіть меню настройок мікропрограми UEFI (BIOS). Зазвичай це можна зробити, натиснувши клавішу під час завантаження (наприклад, F2 , F10 , Del або Esc , перевірте документацію виробника пристрою).

   1. Крім того, у Windows: перейдіть до розділу Настройки > Система > Відновлення > Розширений запуск > Перезавантажити зараз . Потім виберіть виправлення неполадок > Додаткові параметри > Настройки мікропрограми UEFI > Перезавантажити .

2. У настройках мікропрограми знайдіть параметр Безпечне завантаження (зазвичай на вкладці Безпека або Завантаження ).

3. Установіть для параметра Безпечне завантаження значення Вимкнуто .

4. Збережіть зміни та закрийте настройки мікропрограми.

Крок 2. Видалення файлів політики з системного розділу EFI

1. Відкрийте PowerShell із правами адміністратора .

2. Під'єднання системного розділу EFI за допомогою:

mountvol S: /s

Замість букви "S:" можна використовувати будь-яку доступну букву диска.

3. Видаліть файл політики аудиту:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Якщо наявна також політика примусового застосування, видаліть її.

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Також перевірте наявність і видаліть політики з системного каталогу Windows:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Відключіть розділ EFI:

mountvol S: /d

Крок 3. Перезавантаження комп'ютера

Перезавантажте пристрій, щоб зміни набрали сили. Після перезавантаження політика більше не буде активною, і всі підписані драйвери, в тому числі ті, які не мають сертифікації WHCP , будуть дозволені для завантаження.

Крок 4. Повторне ввімкнення безпечного завантаження

Після видалення файлів політики повторно ввімкніть безпечне завантаження в настройках мікропрограми UEFI для підтримки інших засобів захисту від безпечного завантаження.

Ця функція запускається в режимі оцінювання , де реєструється, але не блокує несерйфіковані драйвери. Після того, як система відповідає критеріям оцінки (достатньо часу роботи та перезавантаження без порушень політики), політика автоматично переходить у режим примусового застосування , а драйвери, які не підписані WHCP, буде заблоковано. Це може призвести до припинення завантаження драйверів, які раніше працювали.

Наразі не можна обійти політику для окремих драйверів. Ви можете повністю вимкнути цю функцію (див. вище) або (бажано) звернутися до видавця драйвера та попросити його надати версію драйвера з підписом WHCP.

Ця функція застосовується лише до драйверів у режимі ядра . Ця політика не впливає на застосунки в режимі користувача.

Щоб перевірити це, виконайте такі команди як адміністратор у PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Так – Windows Server 2025 р. та новіших серверних платформ. Однак у Windows Server потрібно завантажити сеанс 2 перезавантаження (у порівнянні з 3 в клієнтських випусках). Усі інші умови однакові.

Якщо скинути або повторно інсталювати Windows, ця функція запуститься в режимі ознайомлення. Лічильники оцінювання буде скинуто, а перехід до примусового виконання почнеться знову з самого початку.