Sanallaştırma tabanlı güvenlik nedir ve hızdan ne kadar götürür

VBS aslında nedir

VBS, CPU'nun hypervisor'ünü kullanarak işletim sisteminin bile dokunamadığı bir bellek bölgesi ayırır — sanal güvenli mod. Bu kasaya en kritik hizmetler yerleşir: çekirdek moduna yalnızca Microsoft onaylı kodu alan bellek bütünlüğü (HVCI) ve — geldiği sürümlerde — Windows'un kim olduğunuzu kanıtladığı karma ve biletlerini klasik LSASS dökümü saldırısının erişemeyeceği bir yere taşıyan Credential Guard. Donanım şartları tutuyorsa (UEFI, Secure Boot, TPM 2.0 ve ikinci düzey adres çevirisi içeren CPU sanallaştırması) yeni Windows 11 kurulumları VBS açık gelir. Kendi durumunuzu msinfo32'de görürsünüz — Sanallaştırma tabanlı güvenlik satırları çalışıp çalışmadığını ve hangi hizmetlerin etkin olduğunu söyler.

Hız maliyeti — dürüstçe

Windows 11'in resmî olarak desteklediği işlemcilerde ek yük kötü ihtimalle tek haneli yüzdedir ve CPU'ya yaslanan oyunlarla, bizzat sanal makine çalıştıran her şeye yoğunlaşır. Hypervisor ayrıca normal tüketimin üstüne bir RAM dilimi ayırır. Dramatik kayıp hikâyeleri neredeyse her seferinde eski sürücülere ya da bu özellikten önce var olmuş çekirdek bileşenli araçlara çıkıyor.

• İşlemci: desteklenen donanımda en kötü ihtimalle tek haneli yüzde, ağırlıkla CPU'ya yaslanan oyunlarda
• RAM: hypervisor için ayrılmış bir dilim, normal tüketimin üstünde
• Sanal makineler ve sanallaştıran her şey: VBS'nin en çok can yaktığı köşe
• Eski çekirdek sürücüleri: imzasız ya da imzası süresi dolmuş sürücüler yüklenirken reddedilir — tasarım gereği, tesadüf değil
• Kendiniz deneyin: msinfo32 → Sanallaştırma tabanlı güvenlik — durum ve çalışan hizmetler
• Gerçeğin ölçüsü: kendi makinenizde öncesi/sonrası kıyaslaması, bir yabancının grafiği değil

Karşılığında elde ettiğiniz güvenlik

VBS'nin savuşturduğu saldırılar teorik değil: çalıntı imzalı bir sürücüyü çekirdeğe yüklemek, fidye yazılımı operasyonlarının belgelenmiş açılış hamlesidir; Credential Guard ise tek bir çalınmış dizüstüyü bütün bir etki alanının kimlik bilgilerine dönüştüren standart senaryoyu bozar. Bu bir güvenlik sınırıdır, telemetri değil — buradan hiçbir şey dışarı telefon etmez. Bellek bütünlüğünü kapatmak, ilgili tüm sürücüleri güncelledikten sonra kendi makinenizde tekrarlanabilir bir düşüş ölçtüyseniz savunulabilir; ölçemediğiniz kareler için önceden kapatmak, korumayı söylentiye takas etmektir. Anahtar Windows Güvenliği → Cihaz güvenliği → Çekirdek yalıtımı'nda yaşar ve kapandığı kadar kolay geri açılır.

Sorular ve yanıtlar

Bunları da okuyun