内核隔离的内存完整性是什么：防护机制与真实代价

这项功能实际做了什么

内存完整性是 HVCI——受虚拟机监控器保护的代码完整性——面向用户的名称，运行在基于虚拟化的安全体系之上。虚拟机监控器位于 Windows 之下，只强制执行一条规则：只有微软签名并批准的代码才能在内核模式下运行。仅这一条规则就封死了勒索软件的整套剧本：加载盗用签名的驱动或有漏洞的签名驱动，再经由它攻击内核。开关位于 Windows 安全中心的“设备安全性”→“内核隔离”，在硬件受支持的新装 Windows 11 上默认开启。

诚实的代价清单

代价分成三部分：虚拟化层带来的 CPU 开销、为虚拟机监控器保留的一块内存，以及兼容性摩擦。在 Windows 11 官方支持的处理器上，CPU 开销最多只有几个百分点，因为每颗认证 CPU 都具备二级地址转换。论坛上那些“性能崩塌”的惊人案例，几乎都能追查到过时的驱动或某个特定配置，而不是这项功能本身。

CPU 开销：最多几个百分点——Windows 11 只认证带 SLAT/EPT 的 CPU
内存：虚拟机监控器在正常占用之外预留一块内存
旧驱动：未签名或签名不合格的内核驱动在加载时被拒绝——这是设计使然
带内核组件的工具：部分超频和监控工具的旧版本会被这道关卡拦住，需要更新
论坛上报告的游戏性能回退，多数最终归因于过时驱动或特定环境，而非该功能
你的真相：在自己游戏里做前后对比测试，而不是陌生人的论坛帖子

什么时候关闭说得过去——什么时候说不通

关闭说得过去的情况只有一种：你已更新所有相关驱动，在自己的机器上测出可复现的性能回退，并且知道哪个应用在受害。即便如此，也应把它当作临时实验——开关还在原地，随时可以回来。说不通的是因为论坛上的陌生人某次多得了三个百分点，就去拆除一道安全边界。这项功能拦截的攻击——持有有效签名的恶意驱动、现代勒索软件真正的开局手段——让人失去的是文件，而不是帧率。