# 核心隔离、HVCI 与 LSA 保护：开还是关

> 每项保护到底防什么、真实性能代价多大，以及怎么判断是不是某个驱动挡住了它。

**测试环境**

- 版本号: 26300.9457 / 26100.33650
- 版本: Pro (26H2) / Server
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

三项保护，常在同一个设置页里出现：

| 功能 | 防什么 | 典型代价 |
|---|---|---|
| **HVCI / 内存完整性** | 恶意或有 bug 的内核驱动执行任意代码 | 游戏 0–5% CPU，虚拟化负载更高 |
| **内核 DMA 保护** | 设备直接读内存（雷电攻击） | 基本测不出 |
| **LSA 保护（RunAsPPL）** | 从 LSASS 窃取凭据（Mimikatz 类） | 基本测不出 |

不承担 hypervisor 角色的台式机，三项都该开。性能担忧多是 2018 年那批驱动留下的传说。

## 查看当前状态

```powershell
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard |
  Select-Object VirtualizationBasedSecurityStatus,SecurityServicesRunning,SecurityServicesConfigured

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select-Object RunAsPPL

Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard |
  Select-Object AvailableSecurityProperties
```

读法：

- `VirtualizationBasedSecurityStatus = 2` → VBS 正在运行。
- `SecurityServicesRunning` 含 **2** → HVCI 正在运行。
- `RunAsPPL = 1` → LSA 保护已启用（2 = 配合 UEFI 锁定）。

## HVCI 关着是因为驱动

这是最常见的情况：某厂商驱动不兼容，Windows 显示"内存完整性已关闭——有驱动不兼容"。

**设置 → 隐私和安全性 → Windows 安全中心 → 设备安全性 → 内核隔离 → 内存完整性**会点名那个驱动。

```powershell
Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -MaxEvents 30 -ErrorAction SilentlyContinue |
  Select-Object TimeCreated,Id,Message | Format-List
```

解法是更新驱动，不是永久关掉保护。驱动对应的硬件已经不用了，就把它删掉。

> **警告: 虚拟机会改变结论**
>
> 在虚拟机里再跑 Hyper-V/WSL2，或宿主做重度嵌套虚拟化，是 HVCI 代价真实存在的唯一场景。普通台式机上是噪声；会带出门的笔记本不要关。

## 2018 年的跑分不是你的机器

当年的测量显示 HVCI 会掉 5–15% 帧率，用的是那个年代的驱动。现在的驱动经过 HVCI 兼容认证，现代硬件上的差异多数在跑动噪声以内。

想知道自己的机器：同一场景开三次、关三次，比中位数——不是单次，也不是别人的图表。

## LSA 保护

`RunAsPPL` 让 LSASS 以受保护进程运行，用户态工具无法读取其内存。它是**凭据窃取**缓解，不是杀毒。

- Windows 11 全新安装默认启用。
- 部分老安全代理与调试器不兼容——这就是取舍。
- `RunAsPPL = 1`（注册表）与 `2`（UEFI 锁定，不改固件关不掉）。

## 它们不做什么

- 不拦勒索软件（那是受控文件夹访问与备份）。
- 不拦钓鱼，也不拦用户用管理员权限运行恶意安装包。
- 不替代更新。

## 相关

- [受控文件夹访问](https://winbook.fyi/zh/windows/hardening/controlled-folder-access/)
- [SmartScreen](https://winbook.fyi/zh/windows/hardening/smartscreen/)
- [内存完整性与反作弊](https://winbook.fyi/zh/windows/gaming/memory-integrity/)

## 实验室边界

E1。保护行为有微软文档依据。实验室虚拟机具备 vTPM 与 VBS 能力，但本文未做性能测量。

## 来源

- [Microsoft Learn — 启用基于虚拟化的代码完整性保护](https://learn.microsoft.com/zh-cn/windows/security/hardware-security/enable-virtualization-based-protection-of-code-integrity)
- [Microsoft Learn — 配置额外的 LSA 保护](https://learn.microsoft.com/zh-cn/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection)
- [Microsoft Learn — 身份保护](https://learn.microsoft.com/zh-cn/windows/security/identity-protection/)

---

来源页面: https://winbook.fyi/zh/windows/hardening/core-isolation/