วิธีเปิดใช้งานหรือปิดใช้งาน Device Guard บน Windows 10

Device Guard คือการผสมผสานระหว่างคุณลักษณะด้านความปลอดภัยฮาร์ดแวร์และซอฟต์แวร์ที่เกี่ยวข้องกับองค์กร ซึ่งเมื่อกำหนดค่าร่วมกัน จะล็อกอุปกรณ์ให้เรียกใช้เฉพาะแอปพลิเคชันที่เชื่อถือได้ซึ่งคุณกำหนดไว้ในนโยบายความสมบูรณ์ของโค้ดของคุณ หากแอปพลิเคชันไม่น่าเชื่อถือ จะไม่สามารถเรียกใช้ได้ ด้วยฮาร์ดแวร์ที่ตรงตามข้อกำหนดพื้นฐาน นั่นหมายความว่าแม้ว่าผู้โจมตีจะสามารถควบคุมเคอร์เนลของ Windows ได้ แต่พวกเขาก็ไม่สามารถเรียกใช้โค้ดปฏิบัติการที่เป็นอันตรายได้ ด้วยฮาร์ดแวร์ที่เหมาะสม Device Guard สามารถใช้การรักษาความปลอดภัยบนพื้นฐานการจำลองเสมือนใหม่ใน Windows 10 เพื่อแยกบริการ Code Integrity ออกจากเคอร์เนล Microsoft Windows ในกรณีนี้ บริการ Code Integrity ทำงานควบคู่ไปกับเคอร์เนลในคอนเทนเนอร์ที่ได้รับการป้องกันโดยการจำลองเสมือนของ Windows

คู่มือนี้จะแสดงวิธีเปิดหรือปิดใช้งานการรักษาความปลอดภัยที่ใช้การจำลองเสมือนของ Device Guard บนพีซี Windows 10 Enterprise และ Windows 10 Education

คุณต้องเข้าสู่ระบบในฐานะผู้ดูแลระบบเพื่อเปิดหรือปิดใช้งาน Device Guard

• วิธีเปิดความปลอดภัยของ Windows ใน Windows 10
• วิธีเปิดใช้งาน Tamper Protection สำหรับ Windows Security บน Windows 10
• เพิ่มความปลอดภัยให้กับ Windows 10 ด้วย Exploit Protection

วิธีเปิดหรือปิดใช้งาน Device Guard

ขั้นตอนที่ 1 . เปิดคุณลักษณะของ Windows

ใน Windows 10 Enterprise/ Education เวอร์ชัน 1607 หรือใหม่กว่า ให้เลือกHyper-V Hypervisorภายใต้Hyper-Vแล้วคลิกOK

ใน Windows 10 Enterprise/ Education เวอร์ชันก่อนเวอร์ชัน 1607 ให้เลือกHyper-V Hypervisorภายใต้ Hyper-V เลือกIsolated User Modeแล้วคลิกOK

ขั้นตอนที่ 2 . เปิดตัวแก้ไขนโยบายกลุ่มภายใน

ขั้นตอน ที่3นำทางไปยังคีย์ต่อไปนี้ในบานหน้าต่างด้านซ้ายของ Local Group Policy Editor

Computer Configuration\Administrative Templates\System\Device Guard

ขั้นตอน ที่4 ในบานหน้าต่างด้านขวาของ Device Guard ใน Local Group Policy Editor คลิกสองครั้งที่ นโยบายTurn On Virtualization Based Securityเพื่อแก้ไข

ขั้นตอน ที่5ทำตามขั้นตอนที่ 6 (เปิด) หรือขั้นตอนที่ 7 (ปิด)

ขั้นตอน ที่6เพื่อเปิดใช้งาน Device Guard

• เลือกเปิดใช้งาน
• ในตัวเลือก ให้เลือกSecure BootหรือSecure Boot และ DMA Protectionในเมนูแบบเลื่อนลงเลือกระดับความปลอดภัยของแพลตฟอร์ม

หมายเหตุ:ตัวเลือกSecure Boot (แนะนำ)ให้การบูตที่ปลอดภัยพร้อมการป้องกันที่หลากหลายซึ่งรองรับโดยฮาร์ดแวร์ของคอมพิวเตอร์เฉพาะ คอมพิวเตอร์ที่มีหน่วยจัดการหน่วยความจำอินพุต/เอาท์พุต (IOMMU) จะมีการบูตอย่างปลอดภัยพร้อมการป้องกัน DMA คอมพิวเตอร์ที่ไม่มี IOMMU จะเปิดใช้งานการบูตแบบปลอดภัยเท่านั้น

Secure Boot ด้วย DMAจะเปิดใช้งานการบูตอย่างปลอดภัยและ VBS เฉพาะบนคอมพิวเตอร์ที่รองรับ DMA เท่านั้น เช่น คอมพิวเตอร์ที่มี IOMMU ด้วยการตั้งค่านี้ คอมพิวเตอร์ทุกเครื่องที่ไม่มี IOMMU จะไม่มีการป้องกัน VBS (บนฮาร์ดแวร์) แม้ว่าอาจเปิดใช้งานนโยบายความสมบูรณ์ของโค้ดก็ตาม

• ในตัวเลือก ให้เลือกเปิดใช้งานด้วยการล็อค UEFIหรือเปิดใช้งานโดยไม่มีการล็อคในเมนูแบบเลื่อนลงการป้องกันตามการจำลองเสมือนของความสมบูรณ์ของโค้ด

หมายเหตุ:ตัวเลือกเปิดใช้งานด้วย UEFI ล็อคช่วยให้แน่ใจว่าการป้องกันตามการจำลองเสมือนของความสมบูรณ์ของโค้ดไม่ได้ถูกปิดใช้งานจากระยะไกล หากต้องการปิดใช้งานคุณลักษณะนี้ คุณต้องตั้งค่านโยบายกลุ่มเป็นปิดใช้งาน รวมถึงลบฟังก์ชันความปลอดภัยสำหรับคอมพิวเตอร์แต่ละเครื่องที่มีผู้ใช้ปัจจุบันเพื่อลบการกำหนดค่าบน UEFI

ตัวเลือกเปิดใช้งานโดยไม่ต้องล็อคช่วยให้สามารถปิดใช้งานการป้องกันตามการจำลองเสมือนของความสมบูรณ์ของรหัสจากระยะไกลโดยใช้นโยบายกลุ่ม

• หากต้องการ คุณยังสามารถเปิดใช้งาน Credential Guard ได้ โดยเลือกEnabled with UEFI lockหรือEnabled without lockในเมนูแบบเลื่อนลง Credential Guard Configuration

หมายเหตุ:ตัวเลือกเปิดใช้งานด้วยการล็อค UEFIช่วยให้มั่นใจได้ว่า Credential Guard จะไม่ถูกปิดใช้งานจากระยะไกล หากต้องการปิดใช้งานคุณลักษณะนี้ คุณต้องตั้งค่านโยบายกลุ่มเป็นปิดใช้งาน รวมถึงลบฟังก์ชันความปลอดภัยในคอมพิวเตอร์แต่ละเครื่องสำหรับผู้ใช้ปัจจุบันเพื่อล้างการกำหนดค่าใน UEFI

ตัวเลือกเปิดใช้งานโดยไม่ต้องล็อคช่วยให้ Credential Guard สามารถปิดใช้งานจากระยะไกลได้โดยใช้นโยบายกลุ่ม อุปกรณ์ที่ใช้การตั้งค่านี้ต้องใช้ Windows 10 (เวอร์ชัน 1511) ขึ้นไป

• ไปที่ขั้นตอนที่ 8

ขั้นตอน ที่7หากต้องการปิดใช้งาน Device Guard

เลือกNot Configured or DisabledคลิกOKและไปที่ขั้นตอนที่ 8

หมายเหตุ : Not Configured เป็นการตั้งค่าเริ่มต้น

ขั้นตอน ที่8ปิดตัวแก้ไขนโยบายกลุ่มภายใน

ขั้นตอน ที่9รีสตาร์ทคอมพิวเตอร์เพื่อใช้การเปลี่ยนแปลง

ขอให้คุณประสบความสำเร็จ!