# Windows 11 核心隔离内存完整性：启用与禁用完整指南

作者：吉祥法师

## 核心概念

在现代计算安全领域，**核心隔离（Core Isolation）** 是微软Windows操作系统提供的一项关键安全功能，旨在通过虚拟化技术保护系统核心进程免受恶意软件攻击。其中，**内存完整性（Memory Integrity）**，也被称为**Hypervisor保护的代码完整性（HVCI，Hypervisor-protected Code Integrity）**，是核心隔离的核心组件之一，它通过硬件虚拟化技术创建一个隔离环境，专门用来防止恶意程序利用低级别驱动程序劫持计算机系统。

**驱动程序（Driver）** 是一种让操作系统与硬件设备（如键盘、摄像头、打印机等）进行通信的软件。当设备需要操作系统执行某些操作时，它会通过驱动程序发送请求。如果驱动程序存在安全漏洞或被植入恶意代码，攻击者可能利用这些漏洞获取系统高级权限，进而控制整个系统。内存完整性功能通过强制性代码完整性检查，确保只有经过签名的、受信任的代码才能在核心模式下运行，从而有效阻断这类攻击路径。

**虚拟化安全性（VBS，Virtualization-based Security）** 是一种利用硬件虚拟化技术创建安全执行环境的方法，它为内存完整性提供了底层基础设施。VBS通过将关键安全进程隔离在虚拟化环境中，即使操作系统内核被攻破，这些隔离的进程仍然能保持安全。这种设计体现了“纵深防御”的安全理念，即使一层防御被突破，还有其他层次继续提供保护。

值得注意的是，在大多数Windows 11系统中，内存完整性默认是启用的。但在某些情况下，例如系统存在不兼容的驱动程序、硬件不支持虚拟化技术或用户主动关闭时，该功能可能处于禁用状态。微软在最新的Insider Preview版本中引入了通知机制，当用户系统关闭了内存完整性时，Windows会主动提醒用户重新启用该功能，以确保设备具备最高的安全防护水平。

在Windows 11中，核心隔离内存完整性的启用与禁用具有以下特点：
- **默认启用**：大部分Windows 11系统默认开启此功能，提供基础安全防护。
- **需要管理员权限**：任何启用或禁用操作都必须以管理员身份执行。
- **需要CPU虚拟化支持**：系统硬件必须支持虚拟化技术（如Intel VT-x或AMD-V），并且需要在BIOS/UEFI设置中启用该功能。
- **不兼容驱动会阻止启用**：如果系统中存在不兼容内存完整性的驱动程序，启用操作将失败，并提示用户处理不兼容驱动。
- **需要重启系统**：任何修改必须在重启系统后才能生效。

## 逻辑结构

本文从安全技术原理出发，首先阐明核心隔离内存完整性的概念、工作原理及其在Windows 11安全体系中的重要性。随后，详细介绍两种实用操作方法：一种是通过Windows安全中心图形界面进行设置，适合大多数普通用户；另一种是通过注册表文件进行更精细的控制，适合高级用户或需要在多台设备上进行批量部署的场景。最后，针对用户在操作过程中可能遇到的常见问题（如不兼容驱动导致启用失败、设置选项被锁定等），提供详细的排查与解决方案。本章节还特别关注了性能影响的现实情况，帮助用户在安全与性能之间做出明智的平衡。

## 主要论点和论据

### 论点一：核心隔离内存完整性是Windows 11安全体系的核心防线

**论据一**：内存完整性通过硬件虚拟化技术创建隔离环境，即使操作系统内核层面被攻破，攻击代码也无法侵入被保护的高安全级别进程。这种安全屏障利用了现代CPU的虚拟化扩展，在硬件层面强制执行代码完整性检查。

**论据二**：该功能专门针对利用低级别驱动程序进行攻击的威胁。传统安全软件主要检测用户态（Ring 3）的恶意行为，但许多高级攻击选择在内核态（Ring 0）运行恶意驱动，以获取完全的系统控制权。内存完整性通过对所有内核模式驱动程序的代码进行签名验证和完整性检查，有效阻断这类攻击。

**论据三**：微软将内存完整性作为Windows 11系统默认安全配置的一部分，并在最新的系统预览版本中增加了主动通知机制，当用户关闭此功能时会触发提醒，显示了微软对其安全重要性的高度重视。

**案例支撑**：在Windows论坛的实际用户反馈中（如用户RazorKat83的提问），社区管理员Bree明确指出“通常来说，为了获得更好的安全性，保持启用更安全”，这反映了安全专家对该功能的一致认可。

### 论点二：启用内存完整性可能遇到不兼容驱动的问题

**论据一**：内存完整性要求所有在内核模式下运行的驱动程序都必须是经过数字签名且兼容的。如果系统已安装不兼容的驱动程序，尝试启用内存完整性时会收到明确错误提示，并列出具体的冲突驱动名称。

**论据二**：这类不兼容驱动可能并非实际硬件正在使用的驱动，而是历史安装残留的驱动文件。用户FrankW在论坛中分享了他的经历：系统中有两个Mediatek（联发科）驱动导致无法启用内存完整性，但这些驱动在设备管理器中并不显示为当前设备驱动。

**论据三**：不兼容驱动可能来自错误的Windows更新推送、设备安装工具包、系统备份还原等途径。即便驱动关联的设备早已移除，驱动文件仍可能保留在系统中，持续阻碍安全功能的启用。

**解决方案**：使用DISM命令 `dism /online /get-drivers /format:table` 可以列出所有已安装的驱动，结合 `pnputil /delete-driver oemXX.inf /uninstall /force` 命令可以强制删除残留的不兼容驱动。用户Tekkie Boy正是通过这种方法帮助用户FrankW成功解决了问题。

### 论点三：禁用内存完整性通常是安全的，但会降低系统防护水平

**论据一**：从技术角度看，禁用内存完整性不会导致系统立即崩溃或暴露明显漏洞，普通用户在常规使用中可能不易察觉其缺失的影响。这解释了为何仍有用户考虑关闭该功能。

**论据二**：禁用功能的主要负面影响体现在对高级安全威胁的防御能力上。在面向恶意驱动攻击、内核漏洞利用等场景时，禁用内存完整性的系统防御能力显著减弱。这类似于为房子留一扇可被撬开的窗户，虽然日常使用无碍，但攻击者有更多机会突破防御。

**论据三**：关于性能影响的顾虑，论坛管理员Brink在回应中指出“与开启和关闭时相比，很难注意到性能上的明显差异”。这表明，用户不应以性能为理由禁用内存完整性。

**综合建议**：除非遇到迫不得已的技术问题（如关键应用程序或硬件因内存完整性而无法正常工作），否则强烈建议保持内存完整性处于启用状态。安全总是优于便利的权衡。

## 详细内容

### 核心概念深入解析

#### 虚拟化安全与内存完整性
虚拟化安全（VBS）是Windows 11安全架构的基石之一，它利用现代CPU的硬件虚拟化扩展（如Intel VT-x和AMD-V）创建一个隔离的安全执行环境——虚拟安全模式（VSM）。在这个环境中运行的系统进程即使拥有最高级别的内核权限，也无法访问VSM内部的数据和代码。内存完整性作为VBS的一个重要应用，负责确保所有加载到内核内存空间的代码都符合严格的完整性要求。

当内存完整性启用时，操作系统会使用Hypervisor（虚拟机监控器）来验证每个即将在内核模式下执行的代码段。这个过程包括：
1. **代码签名验证**：检查驱动程序是否拥有有效的数字签名，且签名链完整可信。
2. **代码完整性检查**：确保代码在加载过程中未被篡改。
3. **运行时保护**：持续监测已加载代码的内存区域，防止恶意修改。

这种多层验证机制可以极大地降低利用驱动漏洞进行内核攻击的成功率。据微软官方资料显示，内存完整性有效防范包括Mimikatz及其衍生物、ZeroLogon（CVE-2020-1472）等一系列严重漏洞的攻击，这些漏洞曾对全球范围内的企业系统构成重大威胁。

#### 驱动程序安全的重要性
驱动程序之所以成为攻击的重点目标，是因为它们运行在操作系统内核层（Ring 0），拥有与系统内核同等的权限。这意味着一个被攻陷的驱动程序可以让攻击者绕过所有用户态的安全检查，直接操作系统内核、内存和其他重要组件。历史上，大规模的勒索软件攻击（如NotPetya）和APT（高级持续性威胁）攻击都包含内核级别驱动利用的环节。

在Windows 11默认的驱动程序签名策略下，所有内核模式驱动程序都必须在经过微软的验证后才能加载。然而，这一策略存在两个主要问题：
- **旧版兼容性**：许多早期开发或已停止维护的硬件厂商并未为其驱动程序申请新的数字签名。
- **签名的局限性**：合法签名无法完全保证驱动程序的代码安全性，攻击者可能利用合法驱动中的漏洞。

内存完整性弥补了这些不足。即使驱动有合法签名，内存完整性仍会通过HVCI技术验证它在运行时是否违反了完整性规范。

### 操作方法详解

#### 方法一：通过Windows安全中心（图形界面）

这是最直观的方法，适合所有技术水平的使用者。具体操作步骤如下：

1. **打开Windows安全中心**：可从开始菜单搜索“Windows安全”或点击任务栏右下角的盾牌图标进入。该应用集中管理系统的安全配置，包括病毒和威胁防护、账户保护、防火墙和网络保护、应用和浏览器控制、设备安全性等五个主要部分。

2. **进入设备安全性**：在Windows安全中心主界面，点击左侧导航栏的“设备安全性”选项。该页面显示基于硬件的安全功能状态，包括“安全处理器”、“安全启动”、“核心隔离”等。

3. **打开核心隔离设置**：在“核心隔离”部分，点击“核心隔离详细信息”链接，进入具体情况配置界面。这是唯一可集中管理核心隔离所有子功能的地方。

4. **配置内存完整性**：在核心隔离对话框中，找到“内存完整性”开关。默认情况下，该开关应处于“开”位置（显示为蓝色）。若需关闭，只需点击开关将其切换为灰色“关”状态。

5. **确认操作**：如果系统提示需要用户账户控制（UAC）许可，请点击“是”以管理员身份授权修改。部分系统可能需要先降级UAC级别或暂时关闭安全中心。

6. **重新启动计算机**：任何更改都需要重启才能生效。在重启过程中，Windows会完成以下动作：
   - 配置虚拟化安全环境
   - 修改注册表配置（实际控制功能开关的底层机制）
   - 执行初始的代码完整性检查
   
重启后，打开Windows安全中心重新进入核心隔离设置，确认内存完整性状态已变更为预期值。

**异常情况处理**：如果开关显示为灰色，并提示“此设置由管理员管理”，表示系统配置被管理策略锁定。解决办法：
- 按下`Win + R`，输入`regedit`打开注册表编辑器
- 导航到路径：`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity`
- 将右侧的`Locked` DWORD值从`1`（锁定）改为`0`（解锁）
- 关闭所有注册表和Windows安全中心窗口
- 重新打开Windows安全中心，即可正常配置该选项

#### 方法二：通过注册表文件（REG文件）

此方法适合需要在多台计算机上快速应用相同设置的技术人员，或Windows安全中心界面无法正常工作时使用。基于提供的REG文件，可以自动完成注册表配置，从而启用或禁用内存完整性。

**启用内存完整性**：
首先，创建一个REG文件（如`Turn_ON_Core_isolation_Memory_integrity.reg`），其核心内容为：
```
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity]
"Enabled"=dword:00000001
```
将此代码保存为`Turn_ON_Core_isolation_Memory_integrity.reg`。

**禁用内存完整性**：
创建另一个REG文件（如`Turn_OFF_Core_isolation_Memory_integrity.reg`），其内容为：
```
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity]
"Enabled"=dword:00000000
```

**执行步骤**：
1. 将上述代码保存至桌面，文件扩展名必须为`.reg`（而非`.txt`或`.reg.txt`）。
2. 若系统开启了智能应用控制（Smart App Control），需要先对下载的REG文件进行解封锁（在文件属性中勾选“解除锁定”）。
3. 双击REG文件，当系统弹出确认对话框时，依次点击：
   - “运行”（提示此文件来源可信）
   - “是”（回应UAC权限请求）
   - “是”（确认将信息添加到注册表）
   - “确认”（注册表数据添加成功）
4. 重启计算机使修改生效。

**技术说明**：`Enabled` DWORD值设置为`1`表示启用，设置为`0`表示禁用。该注册表键值位于系统控制集的`DeviceGuard`策略下，专门用于控制基于Hypervisor的代码完整性功能。

### 不兼容驱动排查与处理

这是实际操作中最可能遇到的困难。当尝试启用内存完整性时，如果系统检测到不兼容的驱动，会弹出错误提示，并列出引发冲突的驱动文件信息。这些信息通常包含驱动名称、发布者名称和驱动文件的`.inf`名称。

**详细排查步骤**：
1. **尝试启用时获取冲突信息**：在Windows安全中心尝试开启内存完整性，系统将显示“不兼容的驱动程序”列表。仔细记录每个冲突驱动的名称。

2. **检查当前驱动列表**：以管理员身份打开命令提示符（CMD），输入以下命令查看系统安装的所有第三方驱动：
   ```
   dism /online /get-drivers /format:table
   ```
   该命令会输出一个表格，包含驱动名称、发布者、版本、原始文件名等关键信息。通过冲突驱动的名称和描述，在这个列表中定位目标驱动。

3. **识别并删除不兼容驱动**：从命令输出中找出目标驱动对应的`oemXX.inf`名称（如`oem11.inf`）。使用`pnputil`工具删除该驱动：
   ```
   pnputil /delete-driver oemXX.inf /uninstall /force
   ```
   其中`XX`为实际操作识别出的编号。`/force`参数确保即使驱动被占用也能强制删除。

4. **删除旧版驱动文件**：在极少数情况下，驱动可能使用旧版本号。可尝试在设备管理器中启用“显示隐藏的设备”功能（查看菜单 > 显示隐藏的设备），然后手动查找并卸载驱动。如果仍无效，可以直接删除系统目录下的驱动文件：
   - `C:\Windows\System32\drivers\`（主要驱动文件目录）
   - `C:\Windows\System32\DriverStore\FileRepository\`（备份驱动安装包目录）

5. **重启并重新尝试**：完成删除后，重启系统（确保清理完全生效），然后重新通过Windows安全中心尝试启用内存完整性。如果仍然失败，可能还需要排查系统中是否残留其他不兼容组件，或联系硬件厂商获取兼容更新。

**兼容性检查工具**：微软在下载中心提供了官方的内存完整性兼容性扫描工具`hvciscan.exe`。该工具可以在不实际启用功能的情况下，预先检查系统硬件和驱动是否满足启用条件。使用方法：
- 从微软下载中心下载并运行该工具
- 工具会输出兼容性报告，指明哪些驱动程序存在问题
- 根据报告处理问题后，再尝试启用功能

**重要提醒**：不兼容驱动不一定来自当前使用的设备。如用户FrankW的案例所示，其系统中的两个Mediatek驱动数据流接口（COM端口虚拟驱动）并非现有设备驱动，而是之前连接过或安装过其驱动后残留的文件。这再次强调在删除驱动时不仅要关注当前硬件，还需清理由硬件制造商发布的全部驱动痕迹。

### 性能影响全面评估

许多用户担心启用了内存完整性会严重影响系统性能。事实上，微软在设计这一功能时已经考虑到性能平衡。通过硬件虚拟化技术，Hypervisor可以高效执行其任务，对CPU性能的影响微乎其微，在大多数日常使用场景中几乎感觉不到差异。在测试中，即使运行对内存带宽要求极高的游戏或视频渲染软件，启用与禁用内存完整性之间的性能差距也远小于1%。

主要性能开销来自安全验证过程本身，包括：
- **驱动代码签名验证**：在驱动加载时执行数字签名验证，消耗少量时间。
- **运行时完整性检查**：对内核模式代码的内存区域进行随机或周期性的完整性检查。

这些开销对总体的系统性能影响极小，远低于传统防病毒软件。实际上，通过阻止恶意操作，内存完整性避免了因攻击导致的高昂性能损失和系统崩溃风险，最终带来的是更稳定和安全的体验。

综上所述，用户无需因性能原因而禁用此功能。安全上的收益远大于几乎不可感知的性能影响。

### 相关技术参考与延伸

**内核模式硬件强制栈保护（Kernel-mode Hardware-enforced Stack Protection）**：这是微软与芯片厂商（尤其是Intel）联合推出的另一项核心隔离安全功能，旨在防止堆栈缓冲区溢出攻击。它与内存完整性协同工作，共同构建Windows 11的深入防御体系。

**CPU虚拟化（CPU Virtualization）**：无论是通过BIOS/UEFI设置启用Intel VT-x（或AMD-V），还是通过Windows系统的高级选项启用，虚拟化技术是支持核心隔离功能包括内存完整性的硬件基础。如果用户的硬件较旧或虚拟化被禁用，内存完整性将无法使用。

**Windows安全中心设备安全设置参考**：微软支持页面（Device Security in the Windows Security App）提供了访问和配置设备安全设置的最新指南，涵盖安全处理器、安全启动、内存完整性等功能的详细说明。