Сторінка "Безпека пристрою" в програмі Безпека у Windows допомагає захистити пристрій Windows завдяки керуванню функціями безпеки на основі обладнання та операційної системи, зокрема безпечним завантаженням, ізоляцією ядра та захистом на рівні процесора. Ці функції працюють разом для захисту від зловмисного програмного забезпечення, атак мікропрограм і компрометації системи. Сторінка розділена на такі розділи:
- Комп'ютер із захищеним ядром: якщо це ПК із захищеним ядром, на ньому відображаються відомості про функції ПК із захищеним ядром.
- Ізоляція ядра: тут можна налаштувати функції безпеки, які захищають ядро Windows
- Процесор безпеки: надає відомості про процесор безпеки, який називається модулем довірчої платформи (TPM)
- Безпечне завантаження: якщо безпечне завантаження ввімкнуто, ви можете знайти додаткові відомості про нього
- Шифрування даних: тут ви можете знайти посилання на параметри Windows, де можна налаштувати шифрування пристрою та інші параметри BitLocker
- Можливості безпеки обладнання: оцінює функції безпеки обладнання пристрою
У програмі 
Безпека у Windows на ПК виберіть "Безпека пристрою" або скористайтеся таким сполученням клавіш:
Пк із захищеним ядром
Комп'ютер із захищеним ядром забезпечує розширені функції безпеки відразу після інсталяції. Ці комп'ютери включають апаратне, мікро- та програмне забезпечення для надійного захисту від складних загроз.
У програмі Безпека у Windows на ПК виберіть "Відомості про безпеку> пристрою".
Докладні відомості див. в розділі Windows 11 Комп'ютери з захищеним ядром.
Ізоляція ядра
Ізоляція ядра забезпечує функції безпеки, призначені для захисту основних процесів Windows від зловмисних програм шляхом ізоляції їх у пам'яті. Це досягається шляхом запуску цих основних процесів у віртуалізованому середовищі.
У програмі Безпека у Windows на ПК виберіть "Безпека> пристрою" Відомості про ізоляцію ядра або скористайтеся таким сполученням клавіш:
Примітка.
Функції, представлені на сторінці ізоляції ядра, залежать від версії Windows, яку ви використовуєте, та інстальованих апаратних компонентів.
Цілісність пам’яті
Цілісність пам'яті, також відома як захищена гіпервізором цілісність коду (HVCI) – це функція безпеки Windows, яка ускладнює використання зловмисними програмами низькорівневих драйверів для викрадення вашого ПК.
Драйвер – це програмне забезпечення, за допомогою якого операційна система (у цьому випадку – Windows) і пристрій (наприклад, клавіатура або веб-камера) можуть взаємодіяти один з одним. Якщо пристрій хоче, щоб Windows виконала якесь завдання, він надсилає такий запит за допомогою драйвера.
Цілісність пам'яті працює шляхом створення ізольованого середовища за допомогою апаратної віртуалізації.
Подумайте про це як про охоронця в замкненій кабінці. Це ізольоване середовище (замкнена кабіна за нашою аналогією) запобігає втручанню функції цілісності пам'яті зловмисником. Програма, яка хоче запустити фрагмент коду, який може бути небезпечним, повинна передати код до цілісності пам'яті всередині цієї віртуальної кабінки, щоб це можна було перевірити. Коли цілісність пам'яті влаштовує впевненість у безпеці, код передається назад у Windows для запуску. Як правило, це відбувається дуже швидко.
Без цілісності пам'яті охоронець виділяється прямо на відкритій місцевості, де зловмиснику набагато простіше втрутитися або саботувати охоронця, що полегшує проникнення шкідливого коду та створення проблем.
Цілісність пам'яті можна ввімкнути або вимкнути за допомогою кнопки-перемикача.
Примітка.
Щоб використовувати цілісність пам'яті, необхідно ввімкнути віртуалізацію устаткування в інтерфейсі UEFI або BIOS системи.
Що робити, якщо в мене несумісний драйвер?
Якщо не вдається ввімкнути цілісність пам'яті, може з'явитися повідомлення про те, що драйвер пристрою вже інстальовано. Зверніться до виробника пристрою, щоб дізнатися, чи доступний оновлений драйвер. Якщо в користувача немає сумісного драйвера, ви можете видалити пристрій або програму, яка використовує цей несумісний драйвер.
Примітка.
Якщо спробувати інсталювати пристрій із несумісним драйвером після ввімкнення цілісності пам'яті, може з'явитися те саме повідомлення. Якщо так, застосовується та сама порада: зверніться до виробника пристрою, щоб дізнатися, чи є у нього оновлений драйвер, який можна завантажити, або не встановлюйте цей конкретний пристрій, доки не з'явиться сумісний драйвер.
Апаратний захист стека в режимі ядра
Апаратний захист стека – це апаратна функція безпеки, яка ускладнює використання зловмисними програмами низькорівневих драйверів для викрадення вашого комп'ютера.
Драйвер – це програмне забезпечення, за допомогою якого операційна система (у цьому випадку – Windows) і пристрій (наприклад, клавіатура або веб-камера) можуть взаємодіяти один з одним. Якщо пристрій хоче, щоб Windows виконала якесь завдання, він надсилає такий запит за допомогою драйвера.
Апаратний захист стека запобігає атакам, які змінюють зворотні адреси в пам'яті в режимі ядра для запуску зловмисного коду. Для цієї функції безпеки потрібен ЦП, який містить можливість перевірки зворотних адрес запущеного коду.
При виконанні коду в режимі ядра зворотні адреси в стеку режиму ядра можуть бути пошкоджені шкідливими програмами або драйверами, щоб перенаправити звичайне виконання коду на шкідливий код. На підтримуваних ЦП підтримує другу копію дійсних зворотних адрес у тіньовому стеку, доступному лише для читання, який драйвери не можуть змінювати. Якщо зворотна адреса у звичайному стеку була змінена, центральний процесор може виявити цю невідповідність, перевіривши копію зворотної адреси в тіньовому стеку. Коли виникає ця невідповідність, комп'ютер виводить помилку STOP, іноді відому як синій екран, щоб запобігти виконанню зловмисного коду.
Не всі драйвери сумісні з цією функцією безпеки, оскільки невелика кількість законних водіїв змінює зворотну адресу в незловмисних цілях. Корпорація Майкрософт співпрацює з численними видавцями драйверів, щоб забезпечити сумісність їхніх останніх драйверів із апаратним захистом стека.
Ви можете ввімкнути або вимкнути апаратний захист стека за допомогою перемикача.
Для використання апаратного примусового стекового захисту потрібно ввімкнути цілісність пам'яті та використовувати ЦП, який підтримує технологію Intel Control-Flow Force Technology або AMD Shadow Stack.
Що робити, якщо в мене несумісний драйвер або служба?
Якщо апаратний захист стека не вмикається, може з'явитися повідомлення про те, що у вас уже інстальовано несумісний драйвер пристрою або службу. Зверніться до виробника пристрою або видавця програми, щоб дізнатися, чи доступний у них оновлений драйвер. Якщо в користувача немає сумісного драйвера, ви можете видалити пристрій або програму, які використовують цей несумісний драйвер.
Деякі програми можуть інсталювати службу замість драйвера під час інсталяції програми та інсталювати драйвер лише під час запуску програми. Для точнішого виявлення несумісних драйверів також перелічено служби, про які відомо, що вони пов'язані з несумісними драйверами.
Примітка.
Якщо спробувати інсталювати пристрій або програму з несумісним драйвером після ввімкнення апаратного захисту стека, може з'явитися те саме повідомлення. У такому разі застосовується та сама порада. Зверніться до виробника пристрою або видавця програми, щоб дізнатися, чи є у них оновлений драйвер, який можна завантажити, або не інсталюйте цей пристрій або програму, доки не з'явиться сумісний драйвер.
Захист доступу до пам'яті
Ця функція безпеки, також відома як захист від DMA ядра , захищає ваш пристрій від атак, які можуть статися, якщо зловмисний пристрій підключено до порту PCI, наприклад порту Thunderbolt.
Простим прикладом однієї з таких атак може бути ситуація, коли хтось виходить зі свого комп'ютера, щоб швидко відпочити від кави, і поки його немає, втручається зловмисник, підключає USB-подібний пристрій і йде з конфіденційними даними з машини або впроваджує шкідливе програмне забезпечення, яке дозволяє йому віддалено керувати комп'ютером.
Захист доступу до пам'яті запобігає подібним атакам, забороняючи прямий доступ до пам'яті цим пристроям, за винятком особливих обставин, зокрема коли ПК заблоковано, або коли користувач вийшов із системи.
Порада.
Докладні відомості див . в розділі Захист від ПДП ядра.
Захист прошивки
У кожному пристрої є певне програмне забезпечення, записане в пам'ять пристрою, доступне лише для читання (по суті, записано на мікросхему на системній платі), яке використовується для основних функцій пристрою, таких як завантаження операційної системи, на якій запущено всі програми, які ми звикли використовувати. Оскільки це програмне забезпечення важко (але не неможливо) модифікувати, ми називаємо його прошивкою.
Оскільки мікропрограма спочатку завантажується та працює під керуванням операційної системи, засобам і функціям безпеки, які працюють в операційній системі, важко виявити або захиститися від неї. Подібно до будинку, безпека якого залежить від надійного фундаменту, комп'ютеру потрібна мікропрограма, щоб забезпечити безпеку операційної системи, програм і даних на цьому комп'ютері.
System Guard – це набір функцій, які допомагають запобігти запуску пристрою зловмисниками з ненадійною або зловмисною мікропрограмою.
Платформи, які пропонують захист прошивки, зазвичай також різною мірою захищають режим керування системою (SMM), високопривілейований режим роботи. Ви можете очікувати одне з трьох значень, причому більше число вказує на більший ступінь захисту SMM:
- Ваш пристрій відповідає вимогам захисту мікропрограми першої версії: це забезпечує фундаментальні засоби захисту, щоб допомогти SMM протистояти використанню шкідливим програмним забезпеченням і запобігти витоку секретних даних з ОС (включно з VBS)
- Ваш пристрій відповідає вимогам захисту мікропрограми другої версії: крім захисту прошивки першої версії, друга версія гарантує, що SMM не зможе вимкнути захист на основі віртуалізації (VBS) і захист ядра DMA
- Ваш пристрій відповідає третій версії захисту прошивки: окрім захисту прошивки другої версії, він ще більше посилює SMM, запобігаючи доступу до певних реєстрів, які можуть скомпрометувати ОС (включно з VBS)
Порада.
Докладні відомості див. в розділі System Guard: Як апаратний корінь довіри допомагає захистити Windows
Захист локального центру безпеки
Захист локальним центром безпеки (LSA) – це функція безпеки Windows, яка запобігає викраденню облікових даних, які використовуються для входу у Windows.
Локальний центр безпеки (LSA) – це важливий процес у Windows, який бере участь в автентифікації користувачів. Він відповідає за перевірку облікових даних під час процесу входу та керування маркерами автентифікації та квитками, які використовуються для ввімкнення єдиного входу для служб. Захист LSA запобігає запуску ненадійного програмного забезпечення в LSA або доступу до пам'яті LSA.
Як керувати захистом локального центру безпеки?
Ви можете ввімкнути або вимкнути захист LSA за допомогою кнопки-перемикача.
Змінивши настройку, потрібно перезавантажити, щоб вона набула сили.
Примітка.
Щоб захистити облікові дані, захист LSA ввімкнуто за замовчуванням на всіх пристроях. Для нових інсталяцій вона вмикається відразу. Для оновлень воно вмикається після перезавантаження після п'ятиденного періоду оцінювання.
Дії за наявності несумісного програмного забезпечення
Якщо захист LSA ввімкнуто і він блокує завантаження програмного забезпечення до служби LSA, з'являється сповіщення про заблокований файл. Ви можете видалити програмне забезпечення, у якому завантажується файл, або вимкнути майбутні попередження для цього файлу, якщо його заблоковано для завантаження в LSA.
Credential Guard
Примітка.
Засіб Credential Guard доступний на пристроях із версіями Windows Enterprise або Education.
Під час використання робочого або навчального пристрою він непомітно входитиме в систему й отримуватиме доступ до різних об'єктів, як-от файлів, принтерів, програм та інших ресурсів організації. Якщо зробити цей процес безпечним і водночас простим для користувача, ваш комп'ютер матиме певну кількість маркерів автентифікації в будь-який момент часу.
Якщо зловмисник отримає доступ до одного або кількох із цих маркерів, він може скористатися ними, щоб отримати доступ до ресурсу організації (конфіденційні файли тощо), для якого призначено цей маркер. Credential Guard допомагає захистити ці маркери, поміщаючи їх у захищене, віртуалізоване середовище, де лише певні служби можуть отримати доступ до них у разі потреби.
Порада.
Щоб дізнатися більше, див. статтю Як працює Credential Guard.
Список заблокованих вразливих драйверів Microsoft
Драйвер – це програмне забезпечення, за допомогою якого операційна система (у цьому випадку – Windows) і пристрій (наприклад, клавіатура або веб-камера) можуть взаємодіяти один з одним. Якщо пристрій хоче, щоб Windows виконала якесь завдання, він надсилає такий запит за допомогою драйвера. Через це драйвери мають багато конфіденційного доступу в системі.
Windows 11 містить список заблокованих драйверів, які мають відомі вразливості системи безпеки, сертифікати, що використовуються для підписування зловмисних програм, або які обходять модель Безпека у Windows.
Якщо у вас увімкнено цілісність пам'яті, інтелектуальне керування програмами або режим Windows S, список блокування вразливих драйверів також буде включено.
Примітка.
Якщо відображається банер під назвою "Помічник із питань сумісності програм" із повідомленням про те, що не вдалося завантажити драйвер або що йому перешкоджає завантаження якогось параметра безпеки, перевірте наявність оновлених драйверів через Windows Update або через диспетчер пристроїв. Якщо оновлення недоступні, зверніться до виробника апаратного забезпечення за оновленим драйвером.
Процесор безпеки
У параметрах процесора безпеки на сторінці "Безпека пристрою" програми Безпека у Windows можна отримати докладні відомості про модуль надійної платформи (TPM) на вашому пристрої. Модуль TPM – це апаратний компонент, призначений для посилення безпеки шляхом виконання криптографічних операцій.
Примітка.
Якщо запис про процесор безпеки не відображається на цьому екрані, імовірно, на пристрої немає необхідного для цієї функції модуля TPM (Trusted Platform Module) або його не ввімкнуто в інтерфейсі UEFI. Зверніться до виробника пристрою, щоб дізнатися, чи підтримує ваш пристрій модуль TPM, і якщо так, які дії для його ввімкнення це можливо.
Відомості про процесор безпеки
У цьому розділі можна знайти відомості про виробника процесора безпеки та номер версії, а також відомості про стан процесора безпеки.
У програмі Безпека у Windows на ПК виберіть "Відомостіпро процесор безпеки пристрою>" або скористайтеся таким сполученням клавіш:
Виправлення неполадок із процесором безпеки
Якщо процесор безпеки не працює належним чином, можна вибрати посилання " Виправлення неполадок із процесором безпеки ", щоб переглянути повідомлення про помилки та додаткові параметри, або скористатися таким сполученням клавіш:
На сторінці виправлення неполадок із процесором безпеки надаються всі відповідні повідомлення про помилки модуля TPM. Ось список повідомлень про помилки та відомостей про них:
| Повідомлення | Відомості |
|---|---|
| Для процесора безпеки (модуля TPM) потрібне оновлення мікропрограми. | Схоже, що материнська плата вашого пристрою зараз не підтримує модуль TPM, але оновлення мікропрограми може усунути цю проблему. Зверніться до виробника пристрою, щоб дізнатися, чи доступне оновлення мікропрограми та як його інсталювати. Зазвичай оновлення мікропрограм безкоштовні. |
| Модуль TPM вимкнуто, зверніть на нього увагу. | Модуль довіреної платформи, ймовірно, вимкнений у системному BIOS (Basic Input/Output System) або UEFI (Unified Extensible Firmware Interface). Щоб дізнатися, як увімкнути пристрій, перегляньте документацію до служби підтримки виробника пристрою або зверніться до служби технічної підтримки. |
| Сховище модуля TPM недоступне. Очистьте модуль TPM. | Кнопка «Очистити модуль TPM» на цій сторінці. Перш ніж продовжити, переконайтеся, що у вас є надійна резервна копія даних. |
| Засвідчення справності пристрою недоступне. Очистьте модуль TPM. | Кнопка «Очистити модуль TPM» на цій сторінці. Перш ніж продовжити, переконайтеся, що у вас є надійна резервна копія даних. |
| Засвідчення справності пристрою не підтримується на цьому пристрої. | Це означає, що пристрій не надає нам достатньо інформації, щоб визначити, чому модуль TPM може не працювати належним чином на вашому пристрої. |
| Ваш модуль TPM несумісний із мікропрограмою та може не працювати належним чином. | Зверніться до виробника пристрою, щоб дізнатися, чи доступне оновлення мікропрограми та як отримати та інсталювати його. Зазвичай оновлення мікропрограм безкоштовні. |
| Відсутній журнал вимірюваного завантаження TPM. Спробуйте перезавантажити пристрій. | |
| Виникла проблема з модулем TPM. Спробуйте перезавантажити пристрій. |
Якщо у вас ще виникають проблеми навіть після виконання кроків відповідно до повідомлення про помилку, зверніться по допомогу до виробника пристрою.
Виберіть Очистити модуль TPM, щоб скинути процесор безпеки до настройок за замовчуванням.
Увага
Перед очищенням модуля TPM обов’язково створіть резервну копію даних.
Безпечне завантаження
Безпечне завантаження запобігає завантаженню складного і небезпечного зловмисного програмного забезпечення – руткітів – під час запуску пристрою. Руткіти використовують ті ж дозволи, що й операційна система, і запускаються до неї, а це означає, що вони можуть повністю приховати себе. Руткіти часто входять до складу зловмисного програмного забезпечення, яке може обходити вимоги локального входу в систему, записувати паролі й натискання клавіш, передавати особисті файли та виконувати збір зашифрованих даних.
Для роботи деяких графічних плат, обладнання або операційних систем, як-от Linux або попередніх версій Windows, може знадобитися вимкнути безпечне завантаження.
Щоб отримати докладніші відомості, див. розділ "Безпечне завантаження".
Можливості безпеки обладнання
В останньому розділі сторінки безпеки пристрою відображається інформація, що вказує на можливості безпеки пристрою. Ось список повідомлень і відомостей:
| Повідомлення | Відомості |
|---|---|
| Ваш пристрій відповідає вимогам для стандартної безпеки обладнання. | Це означає, що пристрій підтримує цілісність пам’яті та ізоляцію ядра, а також має:
|
| Ваш пристрій відповідає вимогам для посиленої безпеки обладнання. | Це означає, що крім задоволення всіх вимог стандартної безпеки обладнання, на вашому пристрої також увімкнено цілісність пам'яті. |
| На вашому пристрої активовано всі функції захищеного ядра ПК. | Це означає, що крім задоволення всіх вимог посиленої безпеки обладнання, на вашому пристрої також увімкнено захист System Management Mode (SMM). |
| StandardStandard hardware security не підтримується. | Це означає, що пристрій не відповідає принаймні одній вимозі стандартної безпеки обладнання. |
Примітка.
- Покращення безпеки обладнання
- Якщо вас не влаштовують можливості безпеки пристрою, може знадобитися ввімкнути певні функції обладнання (наприклад, безпечне завантаження, якщо підтримується) або змінити настройки в BIOS системи. Зверніться до виробника обладнання, щоб дізнатися, які функції підтримує обладнання та як їх активувати.
Диспетчер ПК
|
Програма "Диспетчер ПК" також може бути корисною в цьому сценарії. Додаткові відомості див. в статті Microsoft PC ManagerДиспетчер ПК. Примітка. Microsoft PC ManagerДиспетчер ПК доступний не в усіх мовах. |
|---|