Включение Windows Virtualization Based Security (VBS) в виртуальных машинах на ESXi — это способ повысить безопасность Windows-систем через аппаратную виртуализацию. Технология использует гипервизор для изоляции критических процессов от основной ОС, что защищает от эксплойтов и атак на ядро. Но почему это важно именно в VMware ESXi? Дело в том, что по умолчанию отключён в виртуальных средах — его нужно активировать вручную, иначе не сможет использовать функции вроде Credential Guard или Hypervisor-Protected Code Integrity (HVCI).

В этой статье разберём, что даёт Enable Windows Virtualization Based Security в ESXi, какие требования к железу и ПО, как проверить совместимость и по шагам включить функцию. А ещё — типичные ошибки и способы их обхода.

Что такое Windows Virtualization Based Security и зачем он нужен

Windows Virtualization Based Security (VBS) — это набор функций безопасности в Windows 10/11 и Windows Server 2016+, которые используют виртуализацию для защиты от уязвимостей. В основе лежит Hyper-V гипервизор, который создаёт изолированную среду для критически важных процессов. Например:

  • Credential Guard — хранит пароли и биометрические данные в изолированном контейнере, недоступном для основной системы;
  • HVCI (Hypervisor-Protected Code Integrity) — проверяет целостность кода ядра и драйверов в реальном времени;
  • Secure Boot — гарантирует, что загружается только доверенное ПО;
  • Isolated User Mode — запускает чувствительные процессы (например, lsass.exe) в защищённой области.

В физических машинах работает «из коробки», если включена виртуализация в BIOS (Intel VT-x или AMD-V). Но в виртуальных средах, например на ESXi, гипервизор VMware блокирует вложенную виртуализацию по умолчанию. Поэтому, чтобы включить в виртуальной машине на ESXi, нужно:

  1. Активировать поддержку вложенной виртуализации в настройках ВМ;
  2. Настроить для использования VBS;
  3. Проверить совместимость железа и ПО.
💡

Перед включением VBS убедитесь, что ваш процессор поддерживает SLAT (Second Level Address Translation). Без него производительность упадёт на 10–30%, а некоторые функции (например, Credential Guard) не заработают. Проверьте поддержку через coreinfo -v в или egrep -c 'slat' /proc/cpuinfo в Linux.

КомпонентМинимальные требованияРекомендации
ПроцессорПоддержка Intel VT-x или AMD-V + SLATIntel Core i5/i7/i9 (4-е поколение и новее) или AMD Ryzen (2-е поколение и новее)
ESXiВерсия 6.7 и выше7.0+ для лучшей совместимости с Windows 11
WindowsWindows 10 (1607+) или Windows Server 2016+Windows 11 22H2 или Windows Server 2022 для полного набора функций VBS
ОЗУ4 ГБ (для тестов)8 ГБ и более для производственной нагрузки
Виртуальный дискUEFI (не Legacy BIOS)NVMe для ускорения загрузки

Требования к оборудованию и программному обеспечению

Чтобы включить Windows Virtualization Based Security в ESXi, нужно выполнить несколько условий. В таблице ниже — минимальные требования для разных версий и ESXi:

Важно: если ваш сервер не поддерживает SLAT, будет работать, но с серьёзным просадком производительности. В некоторых случаях (например, на старых Xeon E5) включение может сделать систему непригодной для использования.

Также проверьте, что в ESXi включена поддержка CPU Hot Plug — иногда это мешает вложенной виртуализации. Отключите её в настройках виртуальной машины, если не используете.

Как проверить, поддерживает ли ваша система VBS

Прежде чем переходить к настройке, нужно убедиться, ваше оборудование и ПО готовы к Windows Virtualization Based Security. Вот быстрые способы проверки:

  • В Windows:
    1. Откройте cmd от имени администратора;
    2. Выполните команду systeminfo | findstr /B /C:"Hyper-V";
    3. Если в результате есть строка Hyper-V - A hypervisor has been detected. Features required for Hyper-V will not be displayed — значит, гипервизор уже активен (например, в ESXi), и можно включать.
  • В ESXi:
    1. Подключитесь к хосту через ESXi Shell (SSH);
    2. Выполните esxcli hardware cpu global get | grep -i virt;
    3. Должны быть строки вроде Hardware Virtualization: Supported.
  • Через PowerShell:
    1. Запустите Get-VMHost | Get-View | Select Name, @{N="VirtBasedSecurity";E={$_.Config.Hardware.Cpu.CpuList[0].VirtBasedSecuritySupported}};
    2. Если VirtBasedSecurity = True — всё в порядке.

Если проверка показывает, что виртуализация отключена, нужно сначала активировать её в сервера (для физических машин) или в настройках виртуальной машины (для ESXi).

Настройка для поддержки вложенной виртуализации

Чтобы включить Windows Virtualization Based Security в ESXi, нужно разрешить вложенную виртуализацию для виртуальной машины. Вот пошаговая инструкция:

  1. Отключите виртуальную машину. Включать настройки вложенной виртуализации на работающей ВМ нельзя.
  2. Откройте настройки ВМ:
    • В vSphere Client выберите ВМ → правый клик → Edit Settings;
    • В ESXi Web Client перейдите в Virtual Machines → выберите ВМ → Actions → Edit Settings.
  3. Включите вложенную виртуализацию:
    • В настройках ВМ перейдите на вкладку VM Options;
    • Раскройте Advanced → найдите параметр Expose hardware assisted virtualization to the guest OS;
    • Установите флажок и сохраните изменения.
  4. Добавьте параметр в конфигурацию ВМ (если нужно):

    В некоторых версиях ESXi (например, 6.7) может потребоваться вручную добавить строку в конфиг ВМ. Для этого:

    1. Подключитесь к хосту по SSH;
    2. Найдите файл конфигурации ВМ (обычно в /vmfs/volumes/Датастор/Имя_ВМ/Имя_ВМ.vmx);
    3. Добавьте строку: cpuid.1.eax = "0000:0000:0000:0001";
    4. Перезагрузите ВМ.
⚠️ Внимание: Изменение файлов .vmx вручную может привести к неработоспособности виртуальной машины. Всегда делайте резервную копию перед редоктированием.
Какой гипервизор вы используете для виртуализации?
VMware ESXi
Microsoft Hyper-V
Proxmox VE
Другой

Сравнение методов включения в ESXi

Существует несколько способов активировать Windows Virtualization Based Security в виртуальной машине на ESXi. В таблице ниже сравниваем их плюсы и минусы:

МетодПлюсыМинусыДля каких случаев подходит
Через GUI vSphere ClientПростота, наглядность, минимум командНе работает в старых версиях ESXi (до 6.7)Для большинства пользователей
Через PowerCLIАвтоматизация, удобно для массовой настройкиТребует знания PowerShell, настройка окруженияДля администраторов с большим количеством ВМ
Редактирование .vmxРаботает везде, включая старые версии ESXiРиск ошибок, требует доступа по SSHДля опытных пользователей или старых систем
Через ESXi CLIБыстро, не требует дополнительных инструментовТребует доступа к консоли, знание командДля единичных ВМ на физическом хосте

Самый универсальный и безопасный способ — через vSphere Client. Если у вас старая версия ESXi или нужно настроить много машин — используйте PowerCLI или .vmx.

Настройка для работы с VBS

После того как в ESXi включена вложенная виртуализация, нужно настроить саму Windows. Вот что нужно сделать:

  1. Убедитесь, что установлена в режиме UEFI. VBS не работает с Legacy BIOS. Проверить можно через msinfo32 → BIOS Mode.
  2. Включите виртуализацию в Windows:
    1. Откройте Панель управления → Программы и компоненты → Включение или отключение компонентов Windows;
    2. Найдите Hyper-V и отметьте:
      • Гипервизор платформы Hyper-V;
      • Модуль гипервизора для Windows.
    3. Нажмите OK и перезагрузите систему.
  3. Активируйте через групповую политику:
    1. Откройте gpedit.msc (для Windows Pro/Enterprise) или используйте редактор локальной групповой политики;
    2. Перейдите по пути: Конфигурация компьютера → Административные шаблоны → Система → Устройство ограждения;
    3. Включите политики:
      • Включить виртуализацию на основе виртуализации;
      • Включить защиту целостности кода на основе виртуализации;
      • Включить Credential Guard (опционально).
    4. Примените изменения и перезагрузитесь.
  4. Проверьте работу VBS:
    1. Откройте Task Manager → вкладка Performance;
    2. В разделе CPU должна отображаться строка Virtualization: Enabled;
    3. Выполните в PowerShell: Get-WmiObject -Namespace root\securitycenter2 -Class AntiVirusProduct | Select-Object * — если включён, будет упоминание HypervisorProtected.

Даже если VBS включён в Windows, без поддержки со стороны гипервизора (ESXi) он работать не будет. Всегда проверяйте настройки и в хостовой системе, и в гостевой.

Пошаговая инструкция: как включить в на ESXi

Теперь соберём всё вместе в пошаговую инструкцию. Следуйте этим действиям, чтобы включить Windows Virtualization Based Security в ESXi:

Чек-лист по включению VBS в ESXi

Выполнено: 0 / 6

Часто задаваемые вопросы

Можно ли включить на без поддержки SLAT?

Технически да, но это сильно ударит по производительности. Без SLAT виртуализация памяти работает медленно, и некоторые функции VBS (например, Credential Guard) могут не заработать. В большинстве случаев лучше обновить железо или отключить VBS.

Почему после включения VBS Windows не загружается?

Чаще всего это связано с тем, что установлена в режиме Legacy BIOS. требует UEFI. Решение: переустановите в режиме или конвертируйте существующую установку с помощью инструментов вроде mbr2gpt.

Также проверьте, что в настройках ВМ в ESXi включён параметр Expose hardware assisted virtualization to the guest OS.

Как отключить VBS, если он вызывает проблемы?

Чтобы отключить VBS:

  1. Откройте gpedit.msc;
  2. Перейдите в Конфигурация компьютера → Административные шаблоны → Система → Устройство ограждения;
  3. Отключите все политики, связанные с VBS;
  4. Отключите компоненты Hyper-V в Включение или отключение компонентов Windows;
  5. Перезагрузите систему.

Если после этого проблемы остаются, проверьте настройки в ESXi — возможно, нужно отключить вложенную виртуализацию для ВМ.

Работает ли в Windows 10 Home?

Нет. Windows Virtualization Based Security доступен только в редакциях Windows 10/11 Pro, Enterprise, и Windows Server 2016+. В Home-версии функций нет.