Microsoft расширяет Memory Integrity в Windows 11

В блоге от 1 сентября Microsoft объявила, что обновления качества (quality updates) начнут активировать защиту целостности памяти на «подходящих устройствах». Одновременно с этим будет включена виртуализация-базируемая безопасность (Virtualization-based Security, VBS), которая создаёт изолированную среду, необходимую для работы Memory Integrity. Перед включением функция Windows автоматически оценивает устройство на основе «сигналов готовности», которые, по словам компании, включают аппаратные возможности, совместимость и производительность.

Что такое Memory Integrity и как она работает

Memory Integrity, также известная как Hypervisor-Protected Code Integrity (HVCI), существует с эпохи Windows 10 и изначально была частью технологии Device Guard. Она использует гипервизор Windows и VBS, чтобы перенести проверки целостности кода в режиме ядра в изолированную среду. Это помогает предотвратить выполнение вредоносного кода в ядре системы, что является одной из самых уязвимых зон для атак.

Функция уже включена по умолчанию на «чистых» установках Windows 11, если устройство соответствует аппаратным требованиям, а также на компьютерах Secured-core. Текущие требования включают процессор Intel 8-го поколения или новее (для версии 22H2), процессор AMD Zen 2 или новее, минимум 8 ГБ ОЗУ на системах x64, SSD объёмом не менее 64 ГБ, совместимые драйверы и включённую аппаратную виртуализацию. Важно, что автоматическое включение по этой политике ранее применялось только к чистым установкам, а не к апгрейдам существующих систем.

Расширение политики и влияние на производительность

Октябрьское обновление расширяет эту политику на большее количество существующих устройств. Microsoft подчёркивает, что компьютеры, на которых Memory Integrity была намеренно отключена пользователем, сохранят свою текущую конфигурацию. Это означает, что принудительное включение не затронет тех, кто сознательно отключил функцию, например, ради игровой производительности.

Однако в сообществе пользователей и в комментариях к новости подчёркивается, что Memory Integrity может снижать производительность в играх на некоторых системах. Это связано с накладными расходами на виртуализацию и дополнительные проверки, которые выполняются в изолированной среде. Пользователи, которые уже отключали функцию ради FPS, смогут сохранить свои настройки, но новые пользователи, получающие обновления, могут столкнуться с незначительным снижением производительности, если их система не оптимизирована под работу с VBS.

Стоит отметить, что Microsoft не предоставляет конкретных цифр снижения производительности, а лишь указывает, что функция «может влиять на производительность на некоторых системах». Это типичная формулировка для функций безопасности, которые добавляют накладные расходы, но обеспечивают более высокий уровень защиты. Пользователи, чувствительные к производительности, могут проверить статус Memory Integrity в настройках безопасности Windows и принять решение о её включении или отключении в зависимости от своих приоритетов.

Таким образом, расширение политики Microsoft — это шаг к более глубокой интеграции защиты ядра в стандартный опыт Windows 11, но с оговоркой на возможное влияние на производительность. Для большинства пользователей, особенно на современных системах, влияние будет минимальным, но для энтузиастов и геймеров, стремящихся к максимальной производительности, это может стать поводом для проверки настроек безопасности.