إذا كنت تستخدم نظام التشغيل Windows 10 أو Windows 11 وتشعر بالقلق بشأن الأمان، فربما تكون قد رأيت في أمان ويندوز خيارات عزل النواة y سلامة الذاكرةيواجه العديد من المستخدمين تحذيرات مثل "تم تعطيل ميزة سلامة الذاكرة، وقد يكون جهازك عرضة للاختراق"، وليس من الواضح دائمًا ما يعنيه ذلك أو كيفية تفعيلها بشكل صحيح دون التسبب في مشاكل. إذا كنت ترغب في معرفة المزيد، كيفية تأمين نظام التشغيل ويندوز يمكنك الرجوع إلى مصادر أخرى.
ستجد في هذا الدليل شرحاً وافياً جداً، ولكن بلغة واضحة، لماهية هذا الأمر بالضبط. العزلة الأساسيةكيف يعمل سلامة الذاكرةيشرح هذا الدليل المتطلبات، وكيفية تفعيله عبر خيارات ويندوز الرسومية، أو سطر الأوامر، أو السياسات المتقدمة، وما يجب فعله في حال واجهت أخطاءً أو شاشات زرقاء أو مشاكل في الأداء بعد التفعيل. الهدف هو مساعدتك على اتخاذ قرار مدروس بشأن تفعيله، والأهم من ذلك، تهيئته بثقة. يمكنك أيضًا مراجعة [رابط إلى الوثائق/الدليل/إلخ ذات الصلة]. دليل شامل للأمن والخصوصية.
ما هو عزل النواة وما هو دور سلامة الذاكرة؟
الدعوة عزل النواة هي تقنية أمان متقدمة مدمجة في نظام التشغيل ويندوز وتعتمد على الأمان القائم على المحاكاة الافتراضية (VBS)بشكل أساسي، يقوم نظام التشغيل ويندوز بإنشاء بيئة افتراضية صغيرة ومعزولة داخل النظام نفسه، والتي تعمل كمنطقة ذات ثقة قصوى والتي يتم من خلالها مراقبة ما يحدث في النظام. نواة وفي عمليات حيوية أخرى.
وفي إطار تلك البيئة المحمية، يدخل ما يلي حيز التنفيذ: سلامة الذاكرةالمعروف أيضا باسم HVCI (سلامة الكود المفروضة بواسطة المشرف)تتطلب هذه الميزة أن يتم توقيع الكود الذي يعمل في وضع النواة والتحقق منه بشكل صحيح، كما أنها تتحكم بشكل صارم في كيفية تخصيص الموارد وتعديلها. ذاكرة النواة، مما يعيق المحاولات النموذجية التي تقوم بها أنواع عديدة من البرامج الضارة لحقن نفسها في جوهر النظام.
عند تمكين عزل النواة وسلامة الذاكرة، يقوم نظام التشغيل ويندوز بإنشاء نوع من "الجدار الافتراضي" حول النواة: برنامج إدارة الأجهزة الافتراضية لنظام التشغيل ويندوز يعزل هذا النظام جزءًا من الذاكرة حيث تُجرى فحوصات سلامة التعليمات البرمجية، ويصبح نظام التشغيل نفسه أكثر تحكمًا. وهذا يُعقّد مهمة أي مهاجم في تعديل هياكل النظام الداخلية أو تحميل برامج تشغيل خبيثة.
كل هذا جزء من تغيير في نموذج أمان ويندوز: لم يعد من المفترض أن النواة لا يمكن المساس بها، بل من المفترض أنها قابلة للهجوم، ويتم تعزيز ذلك بطبقة إضافية تعمل على تلك النواة. بيئة افتراضية معزولةإنه نهج مشابه لوجود "نظام تشغيل مصغر" مخصص لمراقبة النظام الرئيسي.
وظائف ومزايا سلامة الذاكرة
إن سلامة الذاكرة ليست مجرد "مفتاح إضافي" في أمان ويندوز. إنها عنصر أساسي في VBS وتوفر العديد من المزايا. طبقات واقية محددة ضد الهجمات على النواة وبرامج التشغيل.
من جهة، تحمي هذه الوظيفة خريطة بتات حماية تدفق التحكم (CFG) بالنسبة لوحدات التحكم في وضع النواة، فإن CFG هي تقنية تحاول منع تحويل تدفق تنفيذ البرنامج إلى مناطق ذاكرة غير متوقعة.
علاوة على ذلك، سلامة الذاكرة يحمي العملية نفسها، وسلامة التعليمات البرمجية في وضع النواةتتولى هذه الجهة مسؤولية التحقق من صحة الشهادات الخاصة بالعمليات ووحدات التحكم الموثوقة، ومن عدم تعرضها للتلاعب. وبهذه الطريقة، لا تتم مراقبة الآخرين فحسب، بل تتم مراقبة وحدات المراقبة نفسها أيضاً، مما يقلل من خطر تخريب آلية الأمان.
ومن المساهمات المهمة الأخرى أنها تقيد بشكل صارم تخصيصات ذاكرة النواةتعتمد العديد من تقنيات تصعيد الامتيازات أو برامج التجسس الجذرية تحديدًا على جعل النظام يحجز الذاكرة بطريقة معينة لحقن التعليمات البرمجية الضارة.
عملياً، يترجم كل هذا إلى تحسن ملحوظ في نموذج تهديد ويندوزتتحول نواة النظام من كونها هدفًا يسهل الوصول إليه نسبيًا لبعض أنواع البرامج الضارة المتطورة إلى كونها أكثر حماية بكثير، خاصة عند دمجها مع ميزات أخرى مثل Credential Guard أو غيرها من وسائل الحماية القائمة على الأجهزة، بالإضافة إلى التعرف التلقائي على الكلام في نظام التشغيل ويندوز.
من الناحية العملية، يترجم كل هذا إلى تحسن ملحوظ في نموذج تهديد ويندوز: حيث تتحول النواة من كونها هدفًا يسهل الوصول إليه نسبيًا لبعض عائلات البرامج الضارة المتطورة إلى كونها أكثر حماية، خاصة عند دمجها مع ميزات أخرى مثل Credential Guard أو غيرها من الحمايات القائمة على الأجهزة.
ما الذي يحميه برنامج Core Isolation تحديداً على جهاز الكمبيوتر الخاص بك؟
لفهم ما تقدمه هذه الوظيفة بشكل كامل، من المفيد التمييز بين المكونات الرئيسية y الأجهزة الطرفيةيركز عزل النواة وسلامة الذاكرة بشكل أساسي على حماية المسار الذي يربط النظام بالأجهزة الأساسية (اللوحة الأم، وحدة المعالجة المركزية، وحدة معالجة الرسومات، ذاكرة الوصول العشوائي، وحدة التخزين الرئيسية ...)، وهو المكان الذي تحدث فيه أكثر الأشياء حساسية.
في الوقت نفسه، كل شيء متصل من خلال منافذ USB أو منافذ أخرى تُعتبر أجهزة التخزين الخارجية (مثل الفأرة ولوحة المفاتيح والطابعات والهواتف المحمولة) من الأجهزة الطرفية. ورغم أنها ليست جوهر الحاسوب، إلا أنها تُشكل مدخلاً رئيسياً للبرمجيات الخبيثة. ويُسهم الحفاظ على سلامة الذاكرة في الحد من قدرة البرمجيات الخبيثة على مهاجمة نواة النظام مباشرةً، حتى في حال اختراق أحد هذه الأجهزة أو استخدام برنامج تشغيل ضعيف.
تجدر الإشارة إلى أن هذه الوظيفة لا يحل هذا البرنامج محل برامج مكافحة الفيروسات.لا يزال برنامج Windows Defender (أو Microsoft Defender) ضروريًا لتحليل الملفات والعمليات وحركة مرور الشبكة، وهو جزء من استراتيجية احمِ جهاز الكمبيوتر الخاص بك من الاختراقات والهجماتيُعدّ عزل النواة وسلامة الذاكرة عنصرين أساسيين في الحماية، حيث يُفعّلان عند محاولة هجوم استهداف نظام التشغيل مباشرةً. ويؤدي الجمع بينهما إلى تعزيز الأمن العام بشكل كبير.
لكن هذه الحماية الإضافية لها عيوبها. التكلفة في المواردكما أن نظام التحكم بالدخول الذي يتطلب خطوات أكثر يستغرق وقتًا أطول لدخول منزلك، فكلما زاد عدد عمليات التحقق التي يجريها نظام ويندوز على الكود المُحمّل في النواة، زاد الوقت واستهلاك وحدة المعالجة المركزية. وقد يكون هذا ملحوظًا في الأنظمة ذات المواصفات المنخفضة جدًا أو في حالات مثل الألعاب ذات المتطلبات العالية.
المزايا والعيوب: الأمن مقابل الأداء
يؤدي تمكين عزل النواة وسلامة الذاكرة بشكل واضح إلى زيادة أمن النظاملكن الأمر ليس كله وردياً. فقد لاحظ العديد من المستخدمين أنه بعد تفعيل هذه الخيارات، فإن يتم تقليل معدل الإطارات في الثانية في الألعاب أو أن النظام يبدو أثقل إلى حد ما، خاصة على أجهزة الكمبيوتر التي كانت بالفعل عند الحد الأقصى للأجهزة.
توجد أيضًا حالات تظهر فيها الأعراض التالية عند تفعيل عزل النواة. شاشات الموت الزرقاء (BSOD) أو انسدادات غريبة. في معظم هذه الحالات، يكون السبب عادةً هو نفسه: برامج تشغيل غير متوافقة أو مصممة بشكل سيئ ولا تفي بأشد قواعد سلامة الكود صرامة التي تتطلبها HVCI.
من ناحية أخرى، إذا كان استخدامك للكمبيوتر محافظًا نسبيًا (لا تقوم بتنزيل برامج غير عادية، وتزور مواقع ويب موثوقة، وتحافظ على تحديث نظامك، وتترك برنامج Microsoft Defender نشطًا)، فقد لا تلاحظ فرقًا كبيرًا في الأمان عند تفعيل Core Isolation، بينما قد تلاحظ انخفاضًا في الأداء، خاصة في الألعاب أو التطبيقات كثيفة الاستخدام.
التوصية المنطقية عادةً هي التالية: إذا كانت معداتك حديثة نسبيًا، إنه يلبي متطلبات المحاكاة الافتراضيةإذا لم تظهر أي أخطاء عند تفعيل الميزة، ولم تلاحظ أي مشاكل ملحوظة في الأداء، فمن المستحسن إبقاء خاصية عزل النواة مُفعّلة. مع ذلك، إذا بدأت تواجه انخفاضات حادة في الأداء أو عدم استقرار، فقد ترغب في تعطيلها أو استخدامها في أوقات محددة فقط.
على أي حال، حتى مع تفعيل كل هذه الوظائف، يظل العنصر الأساسي هو المستخدم: تجنب التنزيلات الغريبةإن تجنب فتح المرفقات المشبوهة، وعدم زيارة المواقع الإلكترونية المشبوهة، وتحديث جميع البيانات باستمرار، هي أفضل وسيلة للحماية. صحيح أن التكنولوجيا تساعد، لكنها لا تصنع المعجزات إن لم تكن حذرًا أثناء التصفح.
كيفية تفعيل عزل النواة وسلامة الذاكرة من أمان ويندوز
إن الطريقة الأكثر مباشرة ووضوحًا لتفعيل عزل النواة وسلامة الذاكرة هي من خلال تطبيق أمان Windowsوهو مدمج في كل من نظامي التشغيل ويندوز 10 وويندوز 11. الخطوات متشابهة جدًا في كلا النظامين، على الرغم من أن اسم القائمة يتغير قليلاً.
في نظام التشغيل ويندوز 11، يمكنك فتح التطبيق بالضغط على ويندوز + I للذهاب إلى الإعدادات ثم الدخول الخصوصية والأمان > أمان ويندوزستجد زرًا لفتحه. يمكنك أيضًا البحث عن "أمان ويندوز" من قائمة ابدأ أو النقر على أيقونة الدرع الأزرق التي تظهر عادةً في شريط النظام.
بمجرد الدخول إلى أمان ويندوز، انتقل إلى القسم أمان الجهازستجد هناك القسم المسمى عزل النواةمن المحتمل أن ترى رسالة تشير إلى أن تم تعطيل سلامة الذاكرة وأن جهازك قد يكون عرضة للاختراق إذا لم تقم بتفعيله.
انقر فوق تفاصيل العزل الأساسيستُفتح شاشة تحتوي على عدة خيارات متقدمة. أهمها المفتاح. سلامة الذاكرةبتفعيلها، سيبدأ نظام التشغيل Windows في تطبيق سياسات سلامة التعليمات البرمجية المعززة هذه على النواة، مما يمنع تحميل برامج التشغيل أو التعليمات البرمجية التي يحتمل أن تكون ضارة.
في نفس القسم، يمكنك أيضًا العثور على الخيار، وذلك حسب إصدار نظام التشغيل Windows الخاص بك. قائمة حظر برامج التشغيل المعرضة للخطر من Microsoftتمنع هذه الميزة، التي تُفعّل عادةً بشكل افتراضي، تحميل بعض برامج التشغيل المعروفة باحتوائها على ثغرات أمنية خطيرة. وبالإضافة إلى سلامة الذاكرة، فإنها توفر طبقة إضافية من الحماية ضد برامج التشغيل التي تُسبب مشاكل.
كيفية تفعيل سلامة الذاكرة وVBS باستخدام الأوامر والسجل
إذا كنت تدير عدة أجهزة كمبيوتر أو ترغب في تحكم أدق، فهذا ممكن أيضًا. تفعيل عزل النواة وسلامة الذاكرة عبر سطر الأوامريتضمن ذلك تعديل مفاتيح محددة في سجل نظام ويندوز بشكل مباشر. وهذا مفيد للغاية في بيئات الشركات أو عند الرغبة في أتمتة عملية التهيئة.
للبدء، افتح موجه الأوامر كمسؤولاضغط على مفتاحي Windows + S، واكتب "cmd"، ثم انقر بزر الماوس الأيمن على "موجه الأوامر" واختر "تشغيل كمسؤول". وافق على مطالبة التحكم في حساب المستخدم إذا ظهرت.
يكمن المفتاح الرئيسي لسلامة الذاكرة في HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrityضمن هذا الفرع، القيمة يمكن لمستخدمي تطبيق Smart Spaces مع Google Wallet الاستفادة من دخول محمول دون لمس مع أي قارئ HID® Signo™ مُمكَّن بتقنية NFC. يتحكم هذا الخيار في ما إذا كان HCVI مُفعّلاً (1) أو مُعطّلاً (0). يمكنك تفعيله باستخدام أمر مشابه لما يلي:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v Enabled /t REG_DWORD /d 1 /f
يعتمد عزل النواة على الأمان القائم على المحاكاة الافتراضية (VBS) يتم تفعيلها. ويتم التحكم بها بواسطة المفتاح. HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuardهناك العديد من القيم المهمة: على سبيل المثال، تمكين VirtualizationBasedSecurity (لتشغيل برنامج الكتاب المقدس الصيفي)، تتطلب ميزات أمان النظام الأساسي (لفرض متطلبات التمهيد الآمن وحماية الوصول المباشر إلى الذاكرة بقيم مختلفة) و مقفل (للإشارة إلى ما إذا كان قفل UEFI قد تم إنشاؤه أم لا).
قد تبدو مجموعة الأوامر النموذجية لتكوين VBS وHVCI دون تثبيت أي شيء في البرامج الثابتة بشكل دائم على النحو التالي، ويتم تنفيذها دائمًا في وحدة تحكم بصلاحيات مرتفعة:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "EnableVirtualizationBasedSecurity" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "RequirePlatformSecurityFeatures" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard" /v "Locked" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Locked" /t REG_DWORD /d 0 /f
استخدام App Control للأعمال و PowerShell
في المؤسسات التي تطبق سياسات أمنية على العديد من أجهزة الكمبيوتر، تقدم مايكروسوفت طريقة أخرى لتمكين سلامة الذاكرة: التحكم في التطبيقات للأعمالوهو خليفة برنامج Windows Defender Application Control. ومن هناك، يمكن تضمين HVCI كجزء من سياسة مركزية.
إحدى الطرق الشائعة هي استخدام مساعد مراقبة التطبيقاتوالذي يرشدك خلال عملية إنشاء السياسة أو تعديلها. ضمن هذا المعالج، في صفحة قواعد السياسة، يمكنك تحديد الخيار سلامة الكود محمية بواسطة برنامج إدارة الأجهزة الافتراضيةيشير هذا إلى أنك تريد تمكين سلامة الذاكرة على جميع الأجهزة التي تطبق هذه السياسة.
ثمة بديل آخر وهو استخدام cmdlet PowerShell Set-HVCIOptionsيتيح لك هذا تكوين أوضاع تشغيل HVCI المختلفة، مثل التدقيق والتشغيل الإجباري وما إلى ذلك. وهذا مفيد للغاية إذا كنت ترغب في اختبار توافق وحدات التحكم الخاصة بك في وضع التدقيق قبل التبديل إلى وضع إجباري صارم.
وأخيرًا، يمكن لأي شخص لديه خبرة في لغة XML تعديلها مباشرةً. ملف سياسة التحكم في التطبيقات وتعديل قيمة العنصر <HVCIOptions>وهذا يسمح بالتحكم المفصل إلى حد ما في كيفية تطبيق سلامة الذاكرة في بيئة يتم فيها إدارة العديد من أجهزة الكمبيوتر في وقت واحد.
هذا النهج برمته موجه بشكل أكبر نحو الشركات، ولكن من الجيد معرفة أنه يمكن التحكم في سلامة الذاكرة من خلال واجهة المستخدم ومن خلال أدوات إدارة السياسات والبرامج النصية، وذلك حسب احتياجات كل بيئة.
كيفية التحقق من تفعيل VBS وسلامة الذاكرة
بعد تفعيل VBS وسلامة الذاكرة، من المنطقي أن تسأل عما إذا إنهم يعملون بجد أو إذا تُرك شيء ما غير مكتمل. يوفر نظام ويندوز عدة طرق للتحقق من ذلك، سواءً من خلال الرسوم البيانية أو عبر الأوامر.
إحدى أكثر الطرق شمولاً هي استخدام فئة WMI Win32_DeviceGuardيمكن الوصول إلى هذا من خلال جلسة PowerShell بصلاحيات المسؤول. ويمكن لتشغيل أمر كهذا أن يُنشئ تقريرًا مفصلاً إلى حد ما:
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
تتضمن مخرجات هذا الأمر حقولاً مثل الخصائص الأمنية المتاحةوالتي تُدرج ميزات الأمان القائمة على الأجهزة (دعم المشرف، والتمهيد الآمن، وحماية DMA، وحماية NX، وتخفيف SMM، وMBEC/GMET، ومحاكاة APIC الافتراضية، وما إلى ذلك)، و الخصائص الأمنية المطلوبة، مما يشير إلى الخصائص الضرورية لتمكين VBS بشكل صحيح.
سترى أيضًا حقولًا مثل تم تكوين خدمات الأمان y خدمات الأمن قيد التشغيلوالتي تُظهر ما إذا كانت الخدمات مثل الحرس الاعتمادي أو سلامة الذاكرة يتم تحديد إعداداتها وما إذا كانت قيد التشغيل بالفعل. على سبيل المثال، تشير القيمة التي تتضمن الرقم "2" عادةً إلى أن سلامة الذاكرة إما مُهيأة أو قيد التشغيل، على التوالي.
حقل رئيسي آخر هو حالة الأمان القائمة على المحاكاة الافتراضيةسيُظهر لك هذا ما إذا كان VBS مُعطّلاً (0)، أو مُفعّلاً ولكنه لا يعمل (1)، أو مُفعّلاً ويعمل بكامل طاقته (2). لكي يعمل عزل النواة بشكل صحيح، يُفضّل أن تكون هذه القيمة 2.
إذا كنت تفضل شيئًا أكثر وضوحًا وأقل تقنية، فيمكنك اللجوء إلى msinfo32.exeقم بتشغيل هذا البرنامج (على سبيل المثال، بكتابة "msinfo32" في مربع بحث ويندوز) من جلسة عمل بصلاحيات إدارية. في أسفل نبذة عن النظام سترى قسمًا مخصصًا لميزات VBS، يشير إلى ما إذا كانت مفعلة وما هي الحمايات ذات الصلة النشطة.
سلامة الذاكرة في الأجهزة الافتراضية Hyper-V
لا تقتصر سلامة الذاكرة وعزل النواة على الأجهزة المادية فقط، بل يمكن تفعيلهما أيضًا داخل... آلة افتراضية Hyper-Vشريطة استيفاء متطلبات معينة. في هذه الحالة، تتمتع الآلة الافتراضية بنفس الحماية التي يتمتع بها جهاز الكمبيوتر الفعلي ضد البرامج الضارة التي تحاول مهاجمة نواة نظام التشغيل الخاص بالجهاز الضيف.
لهذا ، فإن مضيف Hyper-V يجب أن يعمل بنظام تشغيل Windows Server 2016 على الأقل أو Windows 10 الإصدار 1607، ويجب أن تكون الآلة الافتراضية من الجيل 2 قم بتشغيل إصدار متوافق من نظام التشغيل ويندوز. داخل الجهاز الظاهري، تكون خطوات تفعيل عزل النواة مماثلة لتلك المتبعة على جهاز كمبيوتر عادي.
من المهم فهم سلامة الذاكرة في الآلة الافتراضية احمِ الضيف، لا المضيفلا يزال بإمكان مسؤول النظام المضيف التحكم في تكوين الجهاز الظاهري، ويمكنه في الواقع تعطيل مشاركة هذا الجهاز الظاهري في VBS باستخدام أوامر مثل:
Set-VMSecurity -VMName <NombreVM> -VirtualizationBasedSecurityOptOut $true
يُعد عزل النواة وسلامة الذاكرة عنصرين أساسيين في تعزيز أمان نظام التشغيل ويندوز: حيث يستفيدان من تقنية المحاكاة الافتراضية للأجهزة، ويضيفان طبقة حماية عميقة للغاية فوق النواة وبرامج التشغيل، قادرة على إيقاف الهجمات المتطورة التي كانت تتمتع بحرية مطلقة في السابق؛ ومع ذلك، يتطلب تفعيلهما تلبية متطلبات معينة للأجهزة، وقبول أنه في بعض الأنظمة أو للاستخدامات المتطلبة للغاية، قد يكون هناك ثمن يجب دفعه في الأداء أو توافق برامج التشغيل، لذلك يُنصح بالتفكير ملياً في استخدامهما والاعتماد دائمًا على ممارسات الأمان الجيدة عند تصفح البرامج وتثبيتها.
