Wat is HVCI?

HyperVisor-protected Code Integrity (HVCI), ook wel Memory Integrity genoemd, is een beveiligingsfunctie van Windows die pc's helpt beschermen tegen malware. Deze functie maakt gebruik van Virtualization-Based Security (VBS) om een veilige ruimte binnen uw systeem te creëren waar kritieke controles worden uitgevoerd. U kunt dit zien als een veilige ruimte waar Windows kan controleren of alles wat op het laagste niveau draait, veilig is.

Voor het geval u zich dit afvraagt: de Windows-kernel is een fundamenteel onderdeel van uw besturingssysteem dat bepaalt hoe hardware en software met elkaar communiceren. Als er iets schadelijk in de kernel terechtkomt, kan dit uw hele computer overnemen. HVCI voorkomt dit door ervoor te zorgen dat alleen vertrouwde, digitaal ondertekende code op dit niveau kan worden uitgevoerd. Als een stuurprogramma of systeemcomponent de controle niet doorstaat, wordt deze nooit geladen.

Om HVCI efficiënt te kunnen gebruiken, hebt u redelijk moderne hardware nodig. Microsoft raadt Intel Kaby Lake (2016) of nieuwer en AMD Zen 2 (2019) of recentere CPU's aan, samen met een compatibel moederbord. Oudere systemen kunnen het nog steeds inschakelen, maar ze zijn afhankelijk van software-emulatie, wat meer overhead met zich meebrengt. HVCI is standaard ingeschakeld in Windows 11 en wordt ook ondersteund in Windows 10, dus op de meeste nieuwe systemen werkt het al zonder extra stappen.

HVCI maakt gebruik van dezelfde technologie als virtuele machines en creëert zo een veilige omgeving binnen uw pc. Hier volgt een eenvoudige uitleg van hoe dit in zijn werk gaat:

• Creëert een beschermde ruimte – Windows gebruikt een lichtgewicht hypervisor om beveiligingscontroles te scheiden van de rest van het besturingssysteem. Dit betekent dat zelfs als malware beheerdersrechten krijgt, deze controles niet kan manipuleren.
• Controleert stuurprogramma's en code – Telkens wanneer een stuurprogramma of component op kernelniveau wordt geladen, controleert HVCI de digitale handtekening ervan in deze beveiligde ruimte. Als de code niet vertrouwd is, wordt deze geblokkeerd voordat deze kan worden uitgevoerd.
• Vergrendelt het geheugen – HVCI hanteert strenge geheugenregels, zodat kwaadaardige code niet kan binnendringen en worden uitgevoerd waar dat niet de bedoeling is. Moderne CPU's maken dit proces snel en efficiënt, terwijl oudere CPU's voor hetzelfde resultaat gebruikmaken van software-emulatie, wat meer bronnen kost.

Kortom, HVCI fungeert als een bewaker op het diepste niveau van Windows en zorgt ervoor dat er niets verdachts doorheen komt.

HVCI voorkomt dat kwaadaardige stuurprogramma's en code op kernelniveau worden uitgevoerd, maar deze bescherming kost extra CPU-cycli en geheugenbandbreedte. Dat kan van invloed zijn op de prestaties, vooral op oudere systemen. Microsoft heeft de functie geoptimaliseerd, zodat het verschil op moderne hardware minimaal is en tijdens normaal gamen nauwelijks merkbaar is. Maar voor wie elke frame belangrijk vindt, is het vervelend.

De beveiligingsvoordelen zijn echter aanzienlijk. Systemen met HVCI ingeschakeld hebben veel minder kans op malware-infecties of exploits op kernelniveau. Voor gamers is dit belangrijk omdat veel moderne titels afhankelijk zijn van anti-cheatsystemen die een veilige omgeving nodig hebben om goed te functioneren. Games zoals Valorant en Battlefield 6 vereisen dat deze beveiligingen actief zijn en als je ze uitschakelt, kunnen deze games mogelijk niet worden gestart. We hebben een apart artikel geschreven over alles wat je nodig hebt voor Battlefield 6.

Kunt u HVCI uitschakelen voor een kleine prestatieverbetering? Technisch gezien wel, maar het is de moeite en het risico niet waard. Het uitschakelen ervan vereist meerdere stappen, een herstart van het systeem en maakt uw pc kwetsbaarder voor geavanceerde aanvallen. Voor de meeste gamers is het prestatieverschil te klein om dat te rechtvaardigen. Als u over up-to-date hardware beschikt, zult u nauwelijks enig verschil merken en blijft uw systeem beschermd tegen bedreigingen die gericht zijn op de diepste lagen van Windows.