核心隔离、HVCI 与 LSA 保护：开还是关
每项保护到底防什么、真实性能代价多大，以及怎么判断是不是某个驱动挡住了它。
测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64
E1- 版本号
- 26300.9457 / 26100.33650
- 版本
- Pro (26H2) / Server
- 架构
- x64
- 支持
- 文档（E1）
- 证据
- E1官方文档
- 核验日期
- 2026-10-29
- 页面类型
- 概念
三项保护，常在同一个设置页里出现：
| 功能 | 防什么 | 典型代价 |
|---|---|---|
| HVCI / 内存完整性 | 恶意或有 bug 的内核驱动执行任意代码 | 游戏 0–5% CPU，虚拟化负载更高 |
| 内核 DMA 保护 | 设备直接读内存（雷电攻击） | 基本测不出 |
| LSA 保护（RunAsPPL） | 从 LSASS 窃取凭据（Mimikatz 类） | 基本测不出 |
不承担 hypervisor 角色的台式机，三项都该开。性能担忧多是 2018 年那批驱动留下的传说。
查看当前状态
Section titled “查看当前状态”Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard | Select-Object VirtualizationBasedSecurityStatus,SecurityServicesRunning,SecurityServicesConfigured
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' | Select-Object RunAsPPL
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard | Select-Object AvailableSecurityProperties读法：
VirtualizationBasedSecurityStatus = 2→ VBS 正在运行。SecurityServicesRunning含 2 → HVCI 正在运行。RunAsPPL = 1→ LSA 保护已启用（2 = 配合 UEFI 锁定）。
HVCI 关着是因为驱动
Section titled “HVCI 关着是因为驱动”这是最常见的情况：某厂商驱动不兼容，Windows 显示“内存完整性已关闭——有驱动不兼容”。
设置 → 隐私和安全性 → Windows 安全中心 → 设备安全性 → 内核隔离 → 内存完整性会点名那个驱动。
Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -MaxEvents 30 -ErrorAction SilentlyContinue | Select-Object TimeCreated,Id,Message | Format-List解法是更新驱动，不是永久关掉保护。驱动对应的硬件已经不用了，就把它删掉。
2018 年的跑分不是你的机器
Section titled “2018 年的跑分不是你的机器”当年的测量显示 HVCI 会掉 5–15% 帧率，用的是那个年代的驱动。现在的驱动经过 HVCI 兼容认证，现代硬件上的差异多数在跑动噪声以内。
想知道自己的机器：同一场景开三次、关三次，比中位数——不是单次，也不是别人的图表。
LSA 保护
Section titled “LSA 保护”RunAsPPL 让 LSASS 以受保护进程运行，用户态工具无法读取其内存。它是凭据窃取缓解，不是杀毒。
- Windows 11 全新安装默认启用。
- 部分老安全代理与调试器不兼容——这就是取舍。
RunAsPPL = 1（注册表）与2（UEFI 锁定，不改固件关不掉）。
它们不做什么
Section titled “它们不做什么”- 不拦勒索软件（那是受控文件夹访问与备份）。
- 不拦钓鱼，也不拦用户用管理员权限运行恶意安装包。
- 不替代更新。
E1。保护行为有微软文档依据。实验室虚拟机具备 vTPM 与 VBS 能力，但本文未做性能测量。