Was bringt die Windows 10 Virtualisierungsbasierte Sicherheit / HVCI

[abulafia]

Habe die jetzt aktiviert und festgestellt, dass 8,5 % CPU Leistung verloren gehen.

Steht dem ein Sicherheitsgewinn entgegen? Oder bringt mir das ohne Codeintegritätsrichtlinien eh keinen Gewinn?

 

[Moe.Joe]

Was genau hast du denn aktiviert?
So wie ich das sehe ist HVCI ein (neues) übergeordnetes Buzzword für Virtualisierungsbasierte Sicherheit.
Für Features wie CredentialGuard,DeviceGuard, etc. wird meist die Enterprise Version von Windows vorrausgesetzt (hast du diese?). Der Credential Guard bringt beispielsweise nur in Verbindung mit einem AD (Kerberos/NTLM) etwas.
Alle diese Verfahren setzen auf Virtualisierung -> Zusätzliche Hypervisorschicht -> zwangsläufig Performanceverlust.
Sicherheit bedeutet oft weniger Performance, das ist sowohl in der digitalen, als auch in der analogen Welt so. Ein Überrollkäfig im Auto macht das Auto schwerer, somit langsamer, ob man darauf verzichten will muss jeder für sich selbst entscheiden.
Um die genaue Funktionsweise zu erläutern und somit den Sicherheitsgewinn zu erklären könnte man ein halbes Buch füllen.
Kurzantwort: Ja es bringt mehr Sicherheit, IMHO sogar enorm, denn 99% der 0815 Würmer die so im Netz unterwegs sind können so unbrauchbar gemacht werden(enterpriseversion + oft AD vorrausgesetzt). und Ja du hast bei eigentlich all diesen Features einen Performanceverlust, bei einigen mehr bei den anderen weniger.

 

[abulafia]

Habe mich an die Anleitung gehalten. Den Unterschied erkennt man in meinen Screenshots und am Performance-Verlust.
https://docs.microsoft.com/de-de/wi...ce-guard-enable-virtualization-based-security
https://docs.microsoft.com/de-de/wi...ualization-based-protection-of-code-integrity

Offensichtlich lässt sich das auch unter Windows 10 Pro aktivieren. Die Frage ist ja, ob generische Codeintegritätsrichtlinien überhaupt sinnvoll sind.

 

[Moe.Joe]

okey diese Frage (Codeintegritätsrichtlinien) kann ich dir leider nicht beantworten.
HVCI scheint eine mögliche Komponente von VBS zu sein, welcher die Kernel und Treiberintegrität sicherstellt und tatsächlich unter Win 10 Pro funktioniert. Treiber hierzu müssen jedoch kompatibel sein.
Idealerweise verbindet man alle Komponenten von VBS.
Soweit ich das im kurz überfliegen gelesen habe schützt beispielsweise der DeviceGuard unter anderem den HVCI vor Angriffen.
Einiges über VBS findest du hier:

https://insights.adaptiva.com/downloads/documents/2018-01-29-windows-10-design-guide.pdf

Ansonsten kannst du dich durch die unzähligen Artikel auf der MS Seite durchkämpfen.
Für Privatpersonen meiner Meinung nach noch nicht Praxistauglich, da doch einiges an Konfigurationsaufwand nötig ist.
Die Idee dahinter ist jedoch ziemlich rafiniert und bringt einen ordentlichen Sicherheitsgewinn.