关闭Windows内存完整性，系统提示设备可能易受攻击

Win10

内存完整性是Win10、Win11以及Win Server 2016及以上版本中，依托虚拟化安全性（VBS）实现的高级功能。在最新推送和全新安装的Win11系统里，默认已开启此功能。若选择关闭，将会看到一个带有警示意味的可爱叹号提示。

开启后是否易受攻击？对性能影响几何？首先，开启显然比关闭更能有效抵御攻击。与其他Windows防御黑客的方式不同，内存完整性（Memory Integrity）的防护更加基础，主要应对内核驱动攻击。这一功能有时被微软称为HVCI（基于管理程序保护的代码完整性，Hypervisor-Protected Code Integrity），它依托虚拟化安全技术（Virtualization-Based Security，VBS）实现。通过利用虚拟化层来强化保护，内存完整性能够阻止恶意软件篡改关键系统代码，从而提升系统的安全性。这种机制使得攻击者更难绕过内核级别的防护，为系统提供了一道坚实的防线。VBS（虚拟化基于的安全性）通过处理器虚拟化技术，在内存中建立一个受保护的隔离区域，将关键系统组件（例如运行在 Ring 0 的驱动程序）与常规操作系统环境分开。这项技术最早在 Windows 10 中引入，借助 CPU 硬件虚拟化功能（如 Intel VT-x 和 AMD-V）以及二级地址转换（SLAT），构建了一个独立于普通 Windows 运行环境的专用内存空间。在这个安全隔离区内，Windows 能够运行核心安全进程，例如 LSA（本地安全机构）保护和 HVCI（硬件强制代码完整性）。这些机制有效减少了内核被恶意攻击的可能性，从而提升了系统的整体安全性。HVCI（内存完整性）基于VBS技术，在其构建的独立虚拟环境中运行内核模式代码完整性验证程序，从而增强系统安全性。此验证程序仅允许通过微软WHQL认证的驱动加载，有效阻止Rootkit和Bootkit借助恶意驱动入侵系统。此外，VBS会将部分内存区域设置为只读或不可访问状态，即便已签名的内核驱动存在漏洞，也无法直接修改这些关键内核区域，确保Ring 0级别的程序安全。因此，HVCI可被视为Ring 0驱动程序的一种沙箱机制，提供了额外的保护层，防止潜在威胁对核心系统的破坏。HVCI源于Win 10早期Device Guard中的驱动安全校验功能，可视为Ring 0级别的沙箱保护。它能够有效防御内核驱动漏洞利用及内存操作相关的安全威胁。从性能影响来看，HVCI与VT-x类似，大约在2%到10%之间。用户可以根据自身对安全需求的重视程度，以及对这一性能损耗的接受程度，自行决定是否关闭内存完整性功能。这需要在安全性与性能之间做出权衡。