内存完整性到底做了什么
在普通的 Windows 里,任何加载的驱动都以完整内核权限运行——而伪造或植入木马的驱动正是恶意软件深入内核的惯用通道,因为运行在内核之上的杀毒软件很难监管内核内部的事。内存完整性,技术上叫基于虚拟机的代码完整性(HVCI),把局面翻了过来:CPU 的虚拟化功能在 Windows 下方启动一个小的虚拟机监控程序,决定哪些代码可以进入内核的检查运行在这个受保护层里,而不是内核自身之中。没有有效签名的驱动根本进不来。
该功能是基于虚拟化的安全性(VBS)的一部分,自 Windows 10 版本 1803 起内置,包括家庭版在内的所有版本都免费。2022 年底以来,微软在许多硬件达标的新 Windows 11 电脑上默认开启它,所以你可能从没碰过它、它却已经开着——检查只要三十秒,值得做。
- 阻止未签名、被篡改和已知恶意的驱动进入内核——现代 bootkit 的入口
- 依靠 CPU 的 VT-x / AMD-V 虚拟化运行;打开开关不需要 TPM
- Windows 10(1803 及更高)和 Windows 11 均可用,家庭版也包括在内
- 在约 8 代 Intel 和 Ryzen 2000 以上的 CPU 上开销可以忽略;更老的 CPU 可能损失几个百分点
- 自 2022 年起许多新装的 Windows 11 默认开启——与其想当然,不如验证一下
如何一步步开启
打开“设置”→“隐私和安全性”→“Windows 安全中心”,点击“打开 Windows 安全中心”,然后进入“设备安全性”→“内核隔离详细信息”,打开“内存完整性”开关;若弹出 UAC 提示就确认。如果 Windows 立刻警告存在不兼容驱动,先解决它们——见下一节——因为在那之前开关拒绝保持开启状态。提示时保存工作并重启:虚拟机监控程序在开机过程中搭建受保护层,所以改动只有重启后才完全生效。
重启后确认设置是否留住:重新打开内核隔离设置,确认开关仍是开的,然后按 Win+R,输入 msinfo32,找到“基于虚拟化的安全性”一行——应显示“正在运行”。如果显示“未启用”,最常见的原因是 BIOS/UEFI 里虚拟化被禁用,或机器仍以传统 BIOS 模式启动;修好其中任何一个,开关通常就活了。
开不起来的时候:不兼容的驱动
头号障碍是系统里某个旧驱动,而 Windows 会点名:内核隔离页面显示“查看不兼容的驱动程序”链接,准确列出哪个设备和文件在碍事。惯犯是老化的显卡、声卡驱动,旧虚拟化软件和过时的反作弊组件。解决办法是通过“Windows 更新”→“高级选项”→“可选更新”或在厂商网站上更新该设备,或者卸载拖着旧驱动进来的程序。重启之后,列表通常就空了。
极少数情况下,开启内存完整性后电脑蓝屏,那就进安全模式(在启动失败时长按电源键直到出现 WinRE,然后“疑难解答”→“高级选项”→“启动设置”),从那里把开关关回去。不要通过改注册表在拒绝它的硬件上强行开启——拒绝本身是系统在告诉你某个驱动或固件还没准备好,强行越过它等于拿稳定性换一个勾选框。在现代 CPU 上,可测量的性能代价基本为零;如果开启后游戏掉帧,先怀疑过时的显卡驱动,而不是安全层。
常见问题与解答
内存完整性会让游戏变慢吗?
在现代 CPU 上——大约 8 代 Intel 和 Ryzen 2000 及更新——影响在测量噪声之内。如果帧率明显下降,更可能是过时的显卡驱动,而且它也会出现在不兼容驱动列表里。
为什么我开不了内存完整性——提示有不兼容驱动?
某个旧驱动在挡路。在内核隔离页面打开“查看不兼容的驱动程序”,通过“可选更新”或厂商渠道更新该设备,或卸载带来旧驱动的程序,然后重启再试。
内存完整性和 VBS 有什么区别?
内存完整性(HVCI)是基于虚拟化的安全性中面向用户的开关。VBS 是伞形技术,还能隔离凭据和内核内存;开启内存完整性会一并带来 VBS 虚拟机监控程序。
继续阅读
联系我们: [email protected]