Czym jest bezpieczeństwo oparte na wirtualizacji i ile kosztuje w wydajności

Czym VBS jest naprawdę

VBS wykorzystuje hypervisor procesora, by wydzielić obszar pamięci, do którego sam system operacyjny nie ma dostępu — wirtualny tryb bezpieczny. Do tego sejfu trafiają najważniejsze usługi: integralność pamięci (HVCI), wpuszczająca w tryb jądra wyłącznie kod zatwierdzony przez Microsoft, oraz — w edycjach, gdzie występuje — Credential Guard, który izoluje skróty i bilety, jakimi Windows udowadnia, kim jesteś, poza zasięgiem klasycznego ataku z dumpem LSASS. Świeże instalacje Windows 11 mają VBS włączone, jeśli sprzęt spełnia wymagania: UEFI, Secure Boot, TPM 2.0 i wirtualizacja CPU z translacją adresów drugiego poziomu. Swoje stany sprawdzisz w msinfo32 — wiersze „Bezpieczeństwo oparte na wirtualizacji” pokazują, czy działa i które usługi są aktywne.

Koszt wydajności — uczciwie

Na procesorach oficjalnie wspieranych przez Windows 11 narzut to maksymalnie kilka procent, skoncentrowany w grach zależnych od CPU i we wszystkim, co samo uruchamia maszyny wirtualne. Hypervisor rezerwuje też kawałek RAM-u ponad zwykłe zużycie. Zgłoszenia dramatycznych strat prawie zawsze sprowadzają się do przestarzałych sterowników albo narzędzi z komponentami jądra starszymi niż ta funkcja.

• Procesor: maksymalnie kilka procent w najgorszym razie na wspieranym sprzęcie, głównie w grach zależnych od CPU
• RAM: zarezerwowany kawałek na hypervisor, ponad normalne zużycie
• Maszyny wirtualne i wszystko, co wirtualizuje — róg, w którym VBS boli najbardziej
• Stare sterowniki jądra: niepodpisane lub z wygasłym podpisem zostaną odrzucone przy ładowaniu — celowo, nie przypadkiem
• Sprawdź u siebie: msinfo32 → „Bezpieczeństwo oparte na wirtualizacji” — stan i aktywne usługi
• Prawda ostateczna: pomiar przed/po na własnej maszynie, nie obcy wykres

Jakie bezpieczeństwo dostajesz w zamian

Ataki, które VBS osłabia, nie są teoretyczne: załadowanie do jądra sterownika ze skradzionym podpisem to udokumentowany pierwszy ruch grup ransomware, a Credential Guard psuje klasyczny scenariusz zamiany jednego skradzionego laptopa w poświadczenia całej domeny. To granica bezpieczeństwa, a nie telemetria — stąd nic nigdzie nie wychodzi. Wyłączenie integralności pamięci ma sens, gdy zmierzyłeś powtarzalny spadek na własnej maszynie po aktualizacji wszystkich zamieszanych sterowników; robienie tego profilaktycznie dla klatek, których nie umiesz zmierzyć, to wymiana ochrony na plotkę. Przełącznik mieszka w Zabezpieczenia Windows → Zabezpieczenia urządzenia → Izolacja rdzenia i wraca równie łatwo, jak odchodzi.

Pytania i odpowiedzi

Przeczytaj także