Windows 内核隔离（内存完整性）与 VBS

它到底是什么 · 主要作用 · 关闭的影响 · 到底该不该关

1是什么

这两个名字经常被混着讲，其实是一套东西的两层视图：一个是底座，一个是跑在底座上的功能。

1.1VBS：一个用硬件虚拟化撑起来的信任根

VBS = Virtualization-Based Security，基于虚拟化的安全性。它借用 CPU 的硬件虚拟化能力（Intel VT-x / AMD-V）和 Windows 自带的 Hypervisor，把系统切成两个互相隔离的「世界」（架构上称为 VTL0 / VTL1）。

关键在于它的设计假设：VBS 假定 VTL0 里的内核最终会被攻破。所以它不试图让内核「更坚固」，而是把最值钱的判断逻辑搬到攻破了内核也够不着的地方。

1.2内存完整性：内核代码的「验明正身」

内存完整性（Memory Integrity），又称 HVCI（Hypervisor-protected Code Integrity，虚拟机监控程序保护的代码完整性），是 VBS 上一项具体的安全功能。它最初随 Device Guard 发布，现在 Device Guard 这个名字除了在组策略和注册表里定位设置以外已经不再使用了。

1.3一个常见误解

VBS 不是「Hyper-V 虚拟机」。它用的是同一套 Hypervisor 技术，但即使你没安装 Hyper-V 角色、没开「虚拟机平台」，VBS 自己也会拉起一个轻量 Hypervisor。在「系统信息」里看到「检测到虚拟机监控程序」就是这个原因。

2主要作用

2.1VBS 底座上能跑哪些功能

·内存完整性 / HVCI：内核代码完整性校验（也就是内存完整性 / HVCI），本文重点。

·Credential Guard：把 NTLM 哈希、Kerberos 票据等凭证锁进隔离区，抵御 Mimikatz 这类抓密码工具。

·System Guard Secure Launch：防止固件与引导链被篡改。

·HVPT（强制分页转换）：保护页表不被恶意改写。

·内核模式硬件强制堆栈保护：防止内核栈溢出被利用。

2.2内存完整性具体做了什么

它的动作非常明确，可以概括为四条：

3关键变量：你的 CPU 是哪一代

这是判断「该不该关」最重要的分水岭。HVCI 的性能代价几乎完全取决于 CPU 有没有对应的硬件加速支持：

4关闭后会有什么影响

4.1安全层面：真实的代价，但不必夸大

·失去对内核级恶意软件和带漏洞驱动的主要防线。攻击链会短一大截：一个驱动漏洞就可能直接终结系统。

·Credential Guard 会一起失效（它依赖 VBS）。如果你处在公司域环境、或经常用这台机器登录企业账号，这是实打实的损失——抓取凭证会变得容易。

·被攻破后更难发现：Rootkit 能藏得更深，杀毒软件本身也可能被干掉。

反过来说，对日常风险的实际影响没有传说中那么恐怖。VBS 属于「纵深防御」，它挡的是高级攻击——针对性 Rootkit、勒索软件提权链、APT。如果你只是普通家用、不乱装驱动、不乱点文件，关掉它并不会让你「裸奔」。它是保险，不是门锁。

4.2兼容性层面：大多数人真正会碰到的

·驱动：老旧或冷门驱动可能加载失败甚至蓝屏。微软文档明确警告：不兼容「可能导致设备或软件故障，少数情况下会启动失败（蓝屏）」。

·反作弊系统：部分早期版本与 HVCI 冲突，现在主流反作弊基本已适配。

·安卓模拟器：MuMu、雷电、夜神等模拟器的官方帮助文档里就有专门教你关 Hyper-V / 内核隔离的页面——因为它们的加速方案和 VBS 抢同一套硬件虚拟化资源。这是关闭最常见、也最正当的理由。

·VMware / VirtualBox 嵌套虚拟化：可能有冲突或性能下降，需看具体版本。

4.3性能层面

4.4状态层面的坑

·Windows 11 22H2 起，关闭内存完整性会让 Windows 安全中心显示警告，任务栏也出现提示图标（可手动忽略，但重装或大版本更新后可能重现）。

·微软正在逐步对满足条件的设备自动开启该功能，并会评估设备「负担得起」才启用。也就是说，你关掉之后某次大版本更新可能又给你打开——需要用组策略或注册表「锁定关闭」，而不是只点一下开关。

·关掉 VBS 同时也会关掉 Credential Guard 等一串依赖它的功能。不是一对一的关系：你以为是关一个开关，实际是拆掉一整层。

5到底有没有必要关：按场景给建议

6怎么查自己现在的状态

方法 1 · Windows 安全中心（最直观）

Windows 安全中心 → 设备安全性 → 内核隔离 → 内核隔离详细信息

方法 2 · 系统信息

Win + R 输入 msinfo32，在「系统摘要」最下方查看「基于虚拟化的安全性」相关条目。

方法 3 · PowerShell（管理员）查看详细状态

读法：

·VirtualizationBasedSecurityStatus：0 = 未启用，1 = 已配置但未运行，2 = 已启用并运行。

·SecurityServicesConfigured / Running 里出现 2 = 内存完整性。

·AvailableSecurityProperties 里出现 7 = 你的 CPU 支持 MBEC/GMET。有这一项就说明关它没多大性能收益。

方法 4 · 想彻底、稳定地关掉（避免更新又被打开）

更彻底的做法是走组策略：计算机配置 → 管理模板 → 系统 → Device Guard → 打开基于虚拟化的安全性，设为「已禁用」。

7总结

这个选项被讨论得过于两极化了。真实情况是：

·它不是「杀毒软件」，关掉不会让你立刻中毒；

·它也不是「没用的东西」，关掉确实少一层防线，而且这层防线挡的是最难处理的那类攻击；

·收益和代价都高度依赖你的 CPU 与用途，所以「所有人都该关」和「所有人都该开」都是错的。