Що таке безпека на основі віртуалізації та скільки вона коштує

Що таке VBS насправді

VBS використовує гіпервізор процесора, щоб вирізати область пам'яті, до якої не може дотягнутися сама операційна система, — віртуальний безпечний режим. У цей сейф ідуть найкритичніші служби: цілісність пам'яті (HVCI), що пускає в режим ядра лише схвалений Microsoft код, і — в редакціях, де вона є — Credential Guard, який ізолює хеші й квитки, якими Windows доводить вашу особу, поза досяжністю класичної атаки з дампом LSASS. Нові інсталяції Windows 11 постачаються з увімкненою VBS, якщо залізо відповідає вимогам: UEFI, Secure Boot, TPM 2.0 та віртуалізація процесора з трансляцією адрес другого рівня. Свій стан видно в msinfo32 — рядки «Безпека на основі віртуалізації» показують, чи вона працює і які служби активні.

Скільки це коштує — чесно

На процесорах, які Windows 11 офіційно підтримує, накладні витрати — одиниці відсотків у гіршому разі, і зосереджені вони в іграх, що впираються в процесор, і в усьому, що саме запускає віртуальні машини. Гіпервізор також резервує шматок пам'яті поверх звичайного споживання. Повідомлення про драматичні втрати майже завжди розплутуються в застарілі драйвери або утиліти з компонентами ядра, які з'явилися раніше за цю функцію.

• Процесор: одиниці відсотків у гіршому разі на підтримуваному залізі, здебільшого в іграх, що впираються в CPU
• Пам'ять: зарезервований шматок під гіпервізор понад звичне споживання
• Віртуальні машини й усе, що віртуалізує, — кут, де VBS б'є найбільше
• Старі драйвери ядра: без підпису або зі простроченим підписом не завантажаться — це зроблено навмисно, а не випадково
• Перевірка на собі: msinfo32 → «Безпека на основі віртуалізації» — стан і працюючі служби
• Істина в останній інстанції: замір до/після на вашій машині, а не чужа діаграма

Яку безпеку ви цим оплачуєте

Атаки, які VBS пом'якшує, не теоретичні: завантаження драйвера з викраденим підписом у ядро — документований перший хід операцій вимагачів, а Credential Guard ламає стандартний сценарій, що перетворює один викрадений ноутбук на паролі цілого домену. Це межа безпеки, а не телеметрія — звідси нікуди нічого не надсилається. Вимкнення цілісності пам'яті виправдане, коли ви виміряли відтворюване падіння на власній машині після оновлення всіх залучених драйверів; робити це превентивно заради кадрів, яких ви не здатні виміряти, — обміняти захист на чутки. Перемикач живе в «Безпека Windows» → «Безпека пристрою» → «Ізоляція ядра», і вмикається він так само легко, як вимикається.

Питання та відповіді

Читайте також