Che cosa è davvero la VBS
La VBS usa l'hypervisor della CPU per ritagliare una regione di memoria che il sistema operativo stesso non può toccare — una modalità sicura virtuale. In quella cassaforte finiscono i servizi che contano di più: l'integrità della memoria (HVCI), che lascia girare in modalità kernel solo il codice approvato da Microsoft, e, nelle edizioni che la includono, Credential Guard, che isola hash e ticket con cui Windows dimostra chi sei, fuori portata del classico attacco che dumpa LSASS. Le nuove installazioni di Windows 11 l'hanno attiva quando l'hardware rispetta i requisiti: UEFI, Secure Boot, TPM 2.0 e virtualizzazione della CPU con traduzione degli indirizzi a due livelli. Il tuo stato si vede in msinfo32 — le righe sulla sicurezza basata su virtualizzazione dicono se è in esecuzione e quali servizi sono attivi.
Il costo in prestazioni, onestamente
Sulle CPU ufficialmente supportate da Windows 11 l'overhead è nella peggiore delle ipotesi di una cifra percentuale, concentrato nei giochi CPU-bound e in tutto ciò che a sua volta fa girare macchine virtuali. L'hypervisor inoltre riserva una fetta di RAM sopra il consumo normale. I resoconti di perdite drammatiche quasi sempre si sfaldano in driver datati o strumenti con componenti kernel nati prima di questa funzione.
- CPU: una cifra percentuale nel caso peggiore su hardware supportato, per lo più nei giochi CPU-bound
- RAM: una fetta riservata all'hypervisor, sopra il consumo normale
- Macchine virtuali e tutto ciò che virtualizza: l'angolo dove la VBS pesa di più
- Vecchi driver di kernel: quelli non firmati o con firma scaduta vengono rifiutati al caricamento — per progetto, non per caso
- Verifica tu: msinfo32 → sicurezza basata su virtualizzazione — stato e servizi in esecuzione
- Verità sul campo: un benchmark prima/dopo sulla tua macchina, non il grafico di uno sconosciuto
La sicurezza che ottieni in cambio
Gli attacchi che la VBS attutisce non sono teorici: caricare nel kernel un driver con firma rubata è l'apertura documentata di operazioni ransomware, e Credential Guard manda in frantumi il copione che trasforma un portatile rubato nelle credenziali di un intero dominio. È un confine di sicurezza, non telemetria — da qui non parte nessuna telefonata a casa. Disattivare l'integrità della memoria è difendibile quando hai misurato un regresso ripetibile sulla tua macchina dopo aver aggiornato tutti i driver coinvolti; farlo in prevenzione per frame che non sai misurare baratta la protezione con una diceria. L'interruttore sta in Sicurezza di Windows → Sicurezza del dispositivo → Isolamento core, e si riaccende con la stessa facilità con cui si spegne.
Domande e risposte
La sicurezza basata su virtualizzazione influisce sui giochi?
Sulle CPU ufficialmente supportate il costo è di una cifra percentuale nel caso peggiore, visibile soprattutto nei titoli CPU-bound. Misura prima e dopo sulla tua macchina prima di credere ai numeri da forum.
Come si disattiva la VBS in Windows 11?
L'interruttore pensato per l'utente è Integrità della memoria in Sicurezza di Windows → Sicurezza del dispositivo → Isolamento core. Disattivare del tutto la VBS, su Pro e superiori, passa dai Criteri di gruppo; su Home resta visibile solo l'interruttore dell'integrità della memoria.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]