Цілісність пам'яті у Windows: що дає ізоляція ядра і скільки вона коштує

Що вона насправді робить

Цілісність пам'яті — це користувацька назва HVCI — перевірки цілісності коду під захистом гіпервізора — поверх безпеки на основі віртуалізації. Гіпервізор сидить під Windows і забезпечує одне правило: у режимі ядра може виконуватися лише код, підписаний і схвалений Microsoft. Це одне правило закриває цілий сценарій шифрувальників: завантажити драйвер із викраденим або вразливим підписом і через нього атакувати ядро. Перемикач живе в «Безпеці Windows» → «Безпека пристрою» → «Ізоляція ядра», і на нових інсталяціях Windows 11 із підтримуваним залізом він увімкнений із заводу.

Скільки це коштує насправді

Ціна складається з трьох частин: накладні витрати CPU на шар віртуалізації, шматок пам'яті, зарезервований під гіпервізор, і тертя сумісності. На процесорах, офіційно підтримуваних Windows 11, накладні витрати — одиниці відсотків у гіршому випадку: кожен сертифікований процесор уміє трансляцію адрес другого рівня. Гучні провали продуктивності майже завжди розплутуються на застарілі драйвери чи специфічну конфігурацію, а не на саму функцію.

• Накладні витрати CPU: одиниці відсотків у гіршому випадку — Windows 11 сертифікує лише процесори зі SLAT/EPT
• Пам'ять: під гіпервізор резервується шматок RAM понад звичне споживання
• Старі драйвери: непідписані або погано підписані драйвери режиму ядра взагалі не завантажуються — так і задумано
• Утиліти з драйверами: старі версії деяких розгінних і моніторингових інструментів потрапляють під цей гребінець і вимагають оновлення
• Ігрові регресії з форумів здебільшого розплутуються на застарілі драйвери чи специфічні конфігурації, а не на саму функцію
• Правда про вашу машину: замір до/після у ваших власних іграх, а не чужий пост на форумі

Коли її вимкнення виправдане — а коли ні

Вимкнення виправдане рівно в одній ситуації: ви оновили всі залучені драйвери, наміряли повторювану просадку на власній машині та знаєте, який застосунок страждає. Навіть тоді вважайте це тимчасовим експериментом — перемикач нікуди не дінеться, повернутися можна завжди. Невиправдане інше: знімати межу безпеки тому, що незнайомець із форуму колись виграв три відсотки. Атаки, які блокує ця функція, — шкідливі драйвери з валідним підписом, справжній перший хід сучасних шифрувальників, — коштують людям файлів, а не кадрів.

Питання та відповіді

Читайте також