Come abilitare o disabilitare Device Guard su Windows 10

Device Guard è una combinazione di funzionalità di sicurezza hardware e software di rilevanza aziendale che, se configurate insieme, bloccano i dispositivi per eseguire solo le applicazioni attendibili definite nella policy di integrità del codice. Se l'applicazione non è attendibile, non potrà essere eseguita. Con un hardware che soddisfa i requisiti di base, ciò significa che anche se un utente malintenzionato riesce a ottenere il controllo del kernel di Windows, non può eseguire codice eseguibile dannoso. Con l'hardware giusto, Device Guard può utilizzare la nuova sicurezza basata sulla virtualizzazione in Windows 10 per isolare il servizio di integrità del codice dal kernel di Microsoft Windows. In questo caso, il servizio Code Integrity viene eseguito insieme al kernel in un contenitore protetto dalla virtualizzazione di Windows.

Questa guida ti mostrerà come abilitare o disabilitare la sicurezza basata sulla virtualizzazione di Device Guard sui PC Windows 10 Enterprise e Windows 10 Education.

È necessario accedere come amministratore per abilitare o disabilitare Device Guard.

• Come aprire Sicurezza di Windows in Windows 10
• Come attivare la protezione antimanomissione per la sicurezza di Windows su Windows 10
• Migliora la sicurezza di Windows 10 con la protezione dagli exploit

Come abilitare o disabilitare Device Guard

Passo 1 . Apri Funzionalità di Windows.

In Windows 10 Enterprise/Education versione 1607 o successiva, seleziona Hypervisor Hyper-V in Hyper-V e fai clic su OK .

Nelle versioni di Windows 10 Enterprise/Education precedenti alla versione 1607, seleziona Hypervisor Hyper-V in Hyper-V, seleziona Modalità utente isolata e fai clic su OK .

Passo 2 . Apri Editor Criteri di gruppo locali .

Passaggio 3 . Passare alla chiave seguente nel riquadro sinistro dell'Editor criteri di gruppo locali.

Computer Configuration\Administrative Templates\System\Device Guard

Passaggio 4 . Nel riquadro destro di Device Guard nell'Editor criteri di gruppo locali, fare doppio clic sul criterio Attiva sicurezza basata sulla virtualizzazione per modificarlo.

Passaggio 5 . Seguire il passaggio 6 (attivato) o il passaggio 7 (disattivato).

Passaggio 6 . Per abilitare la protezione del dispositivo

• Seleziona Abilitato .
• In Opzioni, seleziona Avvio protetto o Avvio protetto e protezione DMA nel menu a discesa Seleziona livello di sicurezza della piattaforma.

Nota: l' opzione Avvio protetto (consigliato) fornisce un avvio sicuro con più protezioni supportate dall'hardware del computer specifico. Un computer con unità di gestione della memoria di input/output (IOMMU) avrà un avvio sicuro con protezione DMA. Un computer senza IOMMU avrà abilitato solo l'avvio protetto.

L'avvio sicuro con DMA consentirà l'avvio sicuro e VBS solo sui computer che supportano DMA, ovvero i computer con IOMMU. Con questa impostazione, qualsiasi computer senza IOMMU non avrà la protezione VBS (basata su hardware), sebbene possa abilitare i criteri di integrità del codice.

• In Opzioni, seleziona Abilitato con blocco UEFI o Abilitato senza blocco nel menu a discesa Protezione basata sulla virtualizzazione dell'integrità del codice.

Nota: l' opzione Abilitato con blocco UEFI garantisce che la protezione basata sulla virtualizzazione dell'integrità del codice non sia disabilitata in remoto. Per disabilitare questa funzionalità, è necessario impostare Criteri di gruppo su Disabilitato e rimuovere la funzione di sicurezza per ciascun computer con l'utente corrente per eliminare la configurazione su UEFI.

L' opzione Abilitato senza blocco consente di disabilitare in remoto la protezione basata sulla virtualizzazione dell'integrità del codice utilizzando Criteri di gruppo.

• Se lo desideri, puoi anche abilitare Credential Guard selezionando Abilitato con blocco UEFI o Abilitato senza blocco nel menu a discesa Configurazione Credential Guard.

Nota: l' opzione Abilitato con blocco UEFI garantisce che Credential Guard non venga disabilitato in remoto. Per disabilitare questa funzionalità, è necessario impostare Criteri di gruppo su Disabilitato e rimuovere la funzione di sicurezza in ciascun computer affinché l'utente corrente possa cancellare la configurazione in UEFI.

L' opzione Abilitato senza blocco consente di disabilitare Credential Guard in remoto utilizzando Criteri di gruppo. I dispositivi che utilizzano questa impostazione devono eseguire Windows 10 (versione 1511) o successiva.

• Vai al passaggio 8.

Passaggio 7 . Per disattivare la protezione del dispositivo

Selezionare Non configurato o Disabilitato , fare clic su OK e andare al passaggio 8.

Nota : Non configurato è l'impostazione predefinita.

Passaggio 8 . Chiudi l'editor dei criteri di gruppo locali.

Passaggio 9 . Riavviare il computer per applicare le modifiche.

Ti auguro successo!