Chính sách Trình điều khiển Windows

Nếu trình điều khiển bị chặn theo chính sách này, bạn có thể thấy:

• Thiết bị phần cứng không hoạt động đúng cách.

• Thiết bị ngoại vi hoặc cấu phần (máy in, bộ điều hợp mạng, GPU, v.v...) không được nhận dạng.

• Một ứng dụng phụ thuộc vào trình điều khiển nhân không khởi động được.

Bạn có thể xác nhận xem chính sách Trình điều khiển Windows có chịu trách nhiệm hay không bằng cách kiểm tra nhật ký sự kiện Code Integrity bằng hai phương pháp sau đây.

Các sự kiện Tính toàn vẹn của Mã Truy vấn Theo cách thủ công    

1. Bấm chuột phải vào nút Bắt đầu và chọn Trình xem sự kiện .

2. Trong ngăn bên trái, dẫn hướng đến: Nhật ký Ứng dụng và Dịch vụ > dụng trong Microsoft > Windows > Toàn vẹn Mã > hoạt

3. Tìm hoặc lọc nhật ký để biết các sự kiện có các ID này:

• ID Sự kiện 3076 — Đã kiểm tra trình điều khiển (sẽ bị chặn nhưng đã được cho phép vì chính sách đang ở chế độ kiểm tra).

• ID Sự kiện 3077 — Trình điều khiển bị chặn tải vì vi phạm chính sách thực thi.

Trong chi tiết sự kiện, hãy tìm trường ID Chính sách. Các sự kiện do tính năng này gây ra sẽ tham chiếu đến một trong cácGUID Chính sách sau đây:

• Chính sách kiểm tra : {784C4414-79F4-4C32-A6A5-F0FB42A51D0D}

• Thực thi chính sách: {8F9CB695-5D48-48D6-A329-7202B44607E3}

Sự kiện tính toàn vẹn của Mã Truy vấn với PowerShell

Bạn có thể sử dụng PowerShell để tìm nhanh các sự kiện liên quan đến tính năng này:

# Find audit events (Event ID 3076) from the Windows Driver audit policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3076]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*784C4414-79F4-4C32-A6A5-F0FB42A51D0D*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

# Find block events (Event ID 3077) from the Windows Driver enforced policy

$events = Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -FilterXPath "*[System[EventID=3077]]" -ErrorAction SilentlyContinue |

Where-Object { $_.Message -like '*8F9CB695-5D48-48D6-A329-7202B44607E3*' }

$results = $events | ForEach-Object {

$xml = [xml]$_.ToXml()

$data = $xml.Event.EventData.Data

[PSCustomObject]@{

TimeCreated = $_.TimeCreated

DriverName    = ($data | Where-Object { $_.Name -eq 'File Name' }).'#text'

ProductName = ($data | Where-Object { $_.Name -eq 'ProductName' }).'#text'

ParentProcess = ($data | Where-Object { $_.Name -eq 'Process Name' }).'#text'

}

}

$results | Select-Object DriverName, ProductName, ParentProcess -Unique | Format-Table -AutoSize -Wrap

Thông tin chi tiết về sự kiện sẽ bao gồm tên của trình điều khiển đã được kiểm tra hoặc bị chặn và tên của quy trình đã cố gắng tải trình điều khiển, có thể giúp bạn xác định trình điều khiển hoặc thiết bị bị ảnh hưởng.

Nếu bạn là người dùng thiết bị hoặc người quản trị CNTT

1. Kiểm tra nhật ký sự kiện theo các bước ở trên để xác định trình điều khiển bị chặn.

2. Kiểm tra Windows Update trình điều khiển cập nhật. Các trình điều khiển đã ký, được CHỨNG NHẬN WHCP có thể đã có sẵn thông qua Windows Update. Chuyển đến Cài đặt > Windows Update > Chọn nâng cao > Cập nhật tùy chọn > cập nhật Trình điều khiển để kiểm tra các bản cập nhật trình điều khiển có sẵn.

3. Truy cập trang web của nhà sản xuất . Tải xuống phiên bản trình điều khiển mới nhất từ trang hỗ trợ chính thức của nhà cung cấp — các phiên bản mới hơn có nhiều khả năng được ký WHCP.

4. Liên hệ với nhà cung cấp phần cứng hoặc phần mềm phát hành trình điều khiển. Hỏi xem có phiên bản trình điều khiển được chứng nhận WHCP hay không và nơi truy cập vào phiên bản đó. Hầu hết các nhà cung cấp đã chứng thực WHCP trình điều khiển của họ.

Nếu bạn là nhà xuất bản trình điều khiển

Nếu bạn phát triển và phân phối trình điều khiển chế độ nhân cho Windows, bạn phải đảm bảo trình điều khiển của mình được ký thông qua quy trình WHCP:

1. Tham gia Trung tâm Phát triển Phần cứng Windows . Đăng ký tại Trung tâm Phát triển Phần cứng Windows với chứng chỉ ký mã EV (Xác thực Mở rộng) hợp lệ.

2. Tạo một bản gửi đi . Trong Bảng điều khiển Phần cứng, tạo một sản phẩm mới và gửi gói trình điều khiển của bạn để được chứng nhận.

3. Chạy các kiểm tra HLK . Sử dụng Windows Hardware Lab Kit (HLK) để chạy các kiểm tra bắt buộc cho loại trình điều khiển và danh mục thiết bị của bạn.

4. Gửi để ký . Sau khi kiểm tra vượt qua, gửi kết quả HLK của bạn cùng với gói trình điều khiển. Microsoft sẽ ký vào trình điều khiển bằng chứng chỉ WHCP.

5. Phân phối trình điều khiển đã ký . Sau khi ký, phát hành trình điều khiển được CHỨNG NHẬN WHCP thông qua Windows Update/hoặc website của bạn.

Chính sách Windows Driver là một chính sách tính toàn vẹn mã đã ký được lưu trữ trên Phân vùng Hệ thống EFI và được bảo vệ bởi các cấu phần khởi động sớm của Windows. Tắt tính năng này yêu cầu các bước thủ công sau đây để phần mềm độc hại chạy với tư cách là người quản trị không thể giả mạo tính năng này:

Bước 1: Tắt khởi động an toàn

1. Khởi động lại máy tính và nhập menu cài đặt vi chương trình UEFI (BIOS). Thông thường, bạn có thể thực hiện việc này bằng cách nhấn phím trong khi khởi động (chẳng hạn như F2 , F10 , Del hoặc Esc — kiểm tra tài liệu của nhà sản xuất thiết bị)

   1. Ngoài ra, trong Windows: đi tới Cài đặt > System > Recovery > Advanced startup > Restart now . Sau đó, chọn Khắc phục > chọn Nâng cao > đặt Vi chương trình UEFI > lại .

2. Trong cài đặt vi chương trình của bạn, hãy tìm tùy chọn Khởi động An toàn (thường nằm trong tab Bảo mật hoặc Khởi động).

3. Đặt Khởi động An toàn thành Tắt .

4. Lưu thay đổi và thoát cài đặt vi chương trình.

Bước 2: Xóa các tệp chính sách khỏi Phân vùng Hệ thống EFI

1. Mở PowerShell với tư cách người quản trị .

2. Gắn phân vùng hệ thống EFI bằng cách chạy:

mountvol S: /s

Bạn có thể sử dụng bất kỳ chữ cái ổ đĩa nào có sẵn thay cho 'S:'.

3. Xóa tệp chính sách kiểm tra:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

4. Nếu chính sách thực thi cũng có, hãy xóa bỏ nó:

del S:\EFI\Microsoft\Boot\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

5. Đồng thời kiểm tra và xóa các chính sách khỏi thư mục hệ thống Windows:

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{784C4414-79F4-4C32-A6A5-F0FB42A51D0D}.cip

del %windir%\System32\CodeIntegrity\CiPolicies\Active\{8F9CB695-5D48-48D6-A329-7202B44607E3}.cip

6. Bỏ đóng phân vùng EFI:

mountvol S: /d

Bước 3: Khởi động lại máy tính của bạn

Khởi động lại thiết bị của bạn để các thay đổi có hiệu lực. Sau khi khởi động lại, chính sách sẽ không còn hoạt động và tất cả các trình điều khiển đã ký — bao gồm những trình điều khiển không có chứng nhận WHCP — sẽ được phép tải.

Bước 4: Bật lại Khởi động An toàn

Sau khi xóa các tệp chính sách, hãy bật lại Khởi động An toàn trong cài đặt vi chương trình UEFI của bạn để duy trì các tùy chọn bảo vệ Khởi động An toàn khác.

Tính năng này bắt đầu trong chế độ đánh giá, nơi tính năng ghi nhật ký nhưng không chặn trình điều khiển không được chứng thực. Sau khi hệ thống của bạn đáp ứng các tiêu chí đánh giá (đủ thời gian hoạt động và khởi động lại mà không vi phạm chính sách), chính sách sẽ tự động chuyển sang chế độ thực thi và các trình điều khiển không được ký WHCP sẽ bị chặn. Điều này có thể khiến trình điều khiển hoạt động trước đó ngừng tải.

Hiện không có cách nào để bỏ qua chính sách cho từng trình điều khiển. Bạn có thể tắt hoàn toàn tính năng này (xem ở trên) hoặc — tốt nhất là — hãy liên hệ với nhà xuất bản trình điều khiển và yêu cầu họ cung cấp phiên bản trình điều khiển được ký WHCP.

Tính năng này chỉ áp dụng cho trình điều khiển chế độ nhân . Các ứng dụng chế độ người dùng không bị ảnh hưởng bởi chính sách này.

Bạn có thể kiểm tra bằng cách chạy các lệnh sau với tư cách là người quản trị trong PowerShell:

$evalPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "784c4414-79f4-4c32-a6a5-f0fb42a51d0d" }

$enforcedPolicy = (citool -lp -json | ConvertFrom-Json).Policies | Where-Object { $_.PolicyID -eq "8F9CB695-5D48-48D6-A329-7202B44607E3" }

if ($enforcedPolicy.IsEnforced -and $enforcedPolicy.IsAuthorized) { Write-Host "✅ The feature is in enforcement mode" -ForegroundColor Green }

elseif($evalPolicy.IsEnforced -and $evalPolicy.IsAuthorized) { Write-Host "✅ The feature is in evaluation mode" -ForegroundColor Green }

else { Write-Host "❌ The feature is not available on this system" -ForegroundColor Red }

Có - bản Windows Server 2025 và các nền tảng máy chủ mới hơn. Tuy nhiên, trên Windows Server, yêu cầu phiên khởi động là 2 lần khởi động lại (so với 3 trên phiên bản máy khách). Tất cả các tiêu chí khác đều giống nhau.

Nếu bạn đặt lại hoặc cài đặt lại Windows, tính năng này sẽ khởi động mới trong chế độ đánh giá. Các quầy đánh giá sẽ được đặt lại và quá trình chuyển sang thực thi sẽ bắt đầu lại từ đầu.