Что такое безопасность на основе виртуализации и сколько она стоит

Что VBS такое на самом деле

VBS использует гипервизор процессора, чтобы вырезать область памяти, до которой не может дотянуться сама операционная система, — виртуальный безопасный режим. В этот сейф уходят самые критичные службы: целостность памяти (HVCI), пускающая в режим ядра только одобренный Microsoft код, и — в редакциях, где она есть — Credential Guard, изолирующая хэши и билеты, которыми Windows доказывает вашу личность, вне досягаемости классической атаки с дампом LSASS. Новые установки Windows 11 поставляются с включённой VBS, если железо проходит по требованиям: UEFI, Secure Boot, TPM 2.0 и виртуализация процессора с трансляцией адресов второго уровня. Своё состояние видно в msinfo32 — строки «Безопасность на основе виртуализации» показывают, работает ли она и какие службы активны.

Сколько это стоит — честно

На процессорах, официально поддерживаемых Windows 11, накладные расходы — единицы процентов в худшем случае, и сосредоточены они в играх, упирающихся в процессор, и во всём, что само запускает виртуальные машины. Гипервизор также резервирует кусок памяти поверх обычного потребления. Сообщения о драматических потерях почти всегда распутываются в устаревшие драйверы или утилиты с компонентами ядра, появившиеся раньше этой функции.

• Процессор: единицы процентов в худшем случае на поддерживаемом железе, в основном в играх, упирающихся в CPU
• Память: зарезервированный кусок под гипервизор сверх обычного потребления
• Виртуальные машины и всё, что виртуализирует, — угол, где VBS бьёт больнее всего
• Старые драйверы ядра: без подписи или с истёкшей подписью не загрузятся — это сделано намеренно, а не случайно
• Проверка на себе: msinfo32 → «Безопасность на основе виртуализации» — состояние и работающие службы
• Истина в последней инстанции: замер до/после на вашей машине, а не чужая диаграмма

Какую безопасность вы этим оплачиваете

Атаки, которые VBS смягчает, не теоретические: загрузка драйвера с украденной подписью в ядро — документированный первый ход операций вымогателей, а Credential Guard ломает стандартный сценарий, превращающий один украденный ноутбук в пароли целого домена. Это граница безопасности, а не телеметрия — отсюда никуда ничего не отправляется. Выключение целостности памяти оправданно, когда вы измерили повторяемую просадку на собственной машине после обновления всех замешанных драйверов; делать это превентивно ради кадров, которые вы не в состоянии измерить, — обменять защиту на слухи. Переключатель живёт в «Безопасности Windows» → «Безопасность устройства» → «Изоляция ядра», и включается он так же легко, как выключается.

Вопросы и ответы

Читайте также