Mở Windows Security trên laptop Windows 11 rồi thấy dòng cảnh báo lớp bảo vệ nhân đang tắt là tình huống tôi gặp khá thường xuyên sau khi nâng cấp hệ điều hành. Memory Integrity là tính năng nằm trong nhóm cách ly lõi, có công dụng khiến phần mềm độc hại khó lợi dụng driver cấp thấp để chiếm quyền điều khiển hệ thống. Nói đơn giản, Windows chuyển phần kiểm tra mã driver sang một vùng nhớ biệt lập do trình ảo hóa quản lý. Bài này dựa trên tài liệu của Microsoft để giải thích vì sao công tắc bị tắt, laptop cần phần cứng gì và lúc nào nên bật lại.
Memory Integrity là gì và nằm ở đâu trong Windows 11
Microsoft định nghĩa Memory Integrity là tính năng bảo mật khiến chương trình độc hại khó dùng driver cấp thấp để chiếm quyền kiểm soát máy tính. Trong tài liệu kỹ thuật, tính năng này còn mang tên HVCI, viết tắt của hypervisor-protected code integrity, và từng thuộc gói Device Guard. Bản chất của cơ chế là chạy tiến trình kiểm tra tính toàn vẹn của mã chế độ nhân bên trong môi trường ảo biệt lập, nên kể cả khi nhân Windows bị xâm nhập, kẻ tấn công vẫn khó nạp driver giả mạo. Trên giao diện tiếng Việt, mục này hiển thị là tính toàn vẹn của bộ nhớ, tôi gọi ngắn là toàn vẹn bộ nhớ.
Công tắc nằm tại Windows Security, chọn Device security, bấm Core isolation details rồi gạt mục Memory integrity. Trên bản tiếng Việt, Core isolation hiển thị là cách ly lõi, nhóm tính năng được Microsoft mô tả là bảo vệ các tiến trình cốt lõi của Windows bằng cách cô lập chúng trong bộ nhớ. Danh sách mục trong cách ly lõi thay đổi theo phiên bản Windows và phần cứng, nên hai laptop cùng chạy Windows 11 vẫn có thể hiện số công tắc khác nhau. Điều kiện tiên quyết theo trang hỗ trợ là ảo hóa phần cứng phải được kích hoạt trong UEFI hoặc BIOS.
Trong cách ly lõi còn vài thành phần gắn với HVCI. Kernel-mode Hardware-enforced Stack Protection chỉ bật được khi toàn vẹn bộ nhớ đang chạy và CPU hỗ trợ Intel Control-Flow Enforcement Technology hoặc AMD Shadow Stack. Danh sách chặn driver có lỗ hổng, tên gốc Microsoft Vulnerable Driver Blocklist, tự kích hoạt khi laptop đang bật Memory Integrity, Smart App Control hoặc chế độ S. Smart App Control là lớp kiểm soát ứng dụng riêng, tôi chỉ nhắc ở đây để thấy ba tính năng cùng dùng chung một danh sách chặn.
Ảo hóa bảo mật VBS cần laptop có phần cứng gì
Memory Integrity không chạy độc lập mà dựa trên nền bảo mật dựa trên ảo hóa, gọi tắt VBS. VBS dùng trình ảo hóa của Windows để dựng một môi trường biệt lập làm gốc tin cậy, với giả định nhân hệ điều hành có thể đã bị xâm phạm. Vì phụ thuộc trình ảo hóa, cách ly lõi chỉ đầy đủ khi CPU 64 bit có phần mở rộng ảo hóa Intel VT-x hoặc AMD-V. Tài liệu dành cho nhà sản xuất của Microsoft liệt kê thêm nhiều yêu cầu firmware mà người mua laptop thường không để ý tới.
| Thành phần | Yêu cầu theo Microsoft | Tên công nghệ |
|---|---|---|
| CPU 64 bit có ảo hóa | Trình ảo hóa Windows chỉ chạy trên bộ xử lý 64 bit có phần mở rộng ảo hóa | Intel VT-x, AMD-V |
| SLAT | Phần ảo hóa của CPU phải hỗ trợ dịch địa chỉ bậc hai | Intel EPT, AMD RVI |
| IOMMU | Mọi thiết bị nhập xuất có DMA phải nằm sau IOMMU | Intel VT-d, AMD-Vi |
| TPM 2.0 | Mô-đun nền tảng tin cậy phiên bản 2.0 | TPM rời hoặc TPM tích hợp |
| Secure Boot | Bắt buộc bật trên thiết bị dùng VBS | Secure Boot trong UEFI |
| UEFI Memory Attributes Table | Firmware tách vùng mã và dữ liệu runtime, căn theo trang 4 KB | UEFI 2.6 MAT |
Hai mục dễ kiểm tra là TPM 2.0 và Secure Boot, cả hai đều nằm trong điều kiện cài Windows 11. TPM 2.0 có thể là chip rời trên bo mạch hoặc chức năng tích hợp trong bộ xử lý, khác biệt giữa hai dạng này được phân tích trong bài Pluton trên laptop - Bộ xử lý bảo mật trong CPU khác TPM rời ở đâu. Mục khó kiểm tra hơn là IOMMU, tức bộ quản lý bộ nhớ cho thiết bị nhập xuất, mang tên Intel VT-d hoặc AMD-Vi, có nhiệm vụ ngăn thiết bị dùng DMA đọc ghi tùy ý vào RAM.
Microsoft còn ghi chú hiệu năng theo đời CPU. Toàn vẹn bộ nhớ chạy tốt hơn trên Intel Kaby Lake trở về sau nhờ Mode-Based Execution Control, và AMD Zen 2 trở về sau nhờ Guest Mode Execute Trap. Bộ xử lý cũ hơn phải giả lập các tính năng này bằng Restricted User Mode, kèm mức ảnh hưởng hiệu năng lớn hơn. Phần lớn laptop bán mới trong năm 2025 và 2026 dùng chip ra đời sau hai mốc này, nên điều tôi ưu tiên kiểm tra trước là BIOS có đang tắt ảo hóa hay không.
Khi nào Windows 11 tự bật Memory Integrity trên laptop mới
Theo tài liệu Microsoft cho nhà sản xuất, Memory Integrity được bật mặc định trên bản cài sạch Windows 11 nếu phần cứng tương thích, đồng thời bật sẵn trên mọi Secured-core PC. Điểm dễ bị bỏ sót là cơ chế tự bật chỉ áp dụng khi cài sạch, không áp dụng khi nâng cấp thiết bị đang dùng. Đây là lý do một laptop lên Windows 11 từ Windows 10 thường thấy công tắc ở trạng thái tắt, trong khi laptop cùng cấu hình được cài sạch lại bật sẵn.
| Hạng mục | Mức tối thiểu để Windows tự bật |
|---|---|
| Bộ xử lý Intel | Core thế hệ 8 trở lên từ Windows 11 22H2 (bản 21H2 cần thế hệ 11 trở lên) |
| Bộ xử lý AMD | Kiến trúc Zen 2 trở lên |
| Bộ xử lý Qualcomm | Snapdragon 8180 trở lên |
| RAM | Tối thiểu 8 GB (áp dụng cho CPU x64) |
| Ổ lưu trữ | SSD dung lượng tối thiểu 64 GB |
| Driver | Đã cài driver tương thích toàn vẹn bộ nhớ |
| BIOS | Ảo hóa đang được bật |
Bảng trên cho thấy một laptop có cấu hình đủ mạnh vẫn có thể không được bật chỉ vì một driver cũ hoặc ảo hóa bị tắt trong BIOS. Microsoft còn mô tả cơ chế an toàn cho thiết bị được bật mặc định: nếu hệ thống gặp lỗi khi khởi động trong 3 lần khởi động đầu sau khi bật, Windows có thể tự tắt tính năng, vì lỗi có khả năng đến từ một driver khởi động bị chặn. Khi đó công tắc trong cách ly lõi hiện trạng thái tắt dù tôi chưa từng chạm vào.
Bảng tối thiểu này còn một ngoại lệ: Microsoft ghi rõ CPU Intel Core thế hệ 11 bản desktop chưa nằm trong logic tự bật hiện tại, dù vẫn là nền tảng được khuyến nghị và nhà sản xuất có thể chủ động bật Memory Integrity cho thiết bị. Với Windows 10, trước đây tính năng chỉ bật mặc định trên bản cài sạch ở chế độ S. Từ Windows 11 22H2, Windows Security hiển thị cảnh báo khi tính năng tắt, nên laptop nâng cấp lên thường thấy dấu hiệu cảnh báo trên biểu tượng bảo mật ở thanh tác vụ.
Vì sao cách ly lõi báo lỗi driver không tương thích
Thông báo hay gặp khi gạt công tắc là Windows cho biết đã có driver không tương thích được cài trên laptop, và cách ly lõi giữ nguyên trạng thái tắt. Nguyên nhân nằm ở cách driver được viết. Tài liệu kiểm thử driver của Microsoft nêu các quy tắc như không dùng vùng nhớ vừa ghi được vừa thực thi được, không sinh mã động trong nhân, cấp phát bộ nhớ không thực thi và căn chỉnh section theo bội số 0x1000. Driver vi phạm một trong các điểm này sẽ bị toàn vẹn bộ nhớ chặn nạp.
Để tìm driver gây lỗi, tôi mở Event Viewer theo đường Applications and Services Logs, Microsoft, Windows, CodeIntegrity, Operational. Microsoft hướng dẫn xem nhật ký Code Integrity tại đây để biết driver nào bị chặn nạp, và sự kiện liên quan tới khả năng tương thích của toàn vẹn bộ nhớ thường mang Event ID 3087. Tôi lưu ý thêm rằng một số ứng dụng cài dịch vụ trước rồi mới nạp driver khi khởi chạy, nên cần xác nhận cả phần mềm lẫn thiết bị ngoại vi đi kèm driver đó.
Phương án xử lý theo hướng dẫn của Microsoft gồm ba bước. Bước đầu là tìm bản driver mới từ nhà sản xuất thiết bị, qua Windows Update hoặc Device Manager. Nếu không có bản tương thích, tôi gỡ thiết bị hoặc ứng dụng đang dùng driver đó. Khi cần giữ thiết bị, phương án còn lại là chờ hãng phát hành driver tương thích rồi mới bật lại tính năng, thay vì dùng công cụ bên thứ ba xóa driver mà không rõ nó thuộc phần mềm nào.
Memory Integrity có làm laptop chơi game chậm đi không
ComputerBase (07/10/2022) ghi lại khuyến nghị của Microsoft trong trang hỗ trợ Options to optimize gaming performance in Windows 11: ở một số tình huống và cấu hình thiết bị chơi game, Memory Integrity cùng Virtual Machine Platform có thể làm giảm hiệu năng. Bản ghi này không nêu con số cụ thể về mức giảm. Trang hỗ trợ gốc hiện không còn truy cập được trên site của Microsoft, nên tôi chỉ dùng phần nội dung được ComputerBase ghi lại.
Theo bản ghi của ComputerBase, khuyến nghị khi đó là game thủ muốn ưu tiên hiệu năng có thể tắt hai tính năng trong lúc chơi, rồi bật lại sau khi chơi xong vì lý do bảo mật. Tôi hiểu khuyến cáo này là thao tác tạm thời, không phải cấu hình để nguyên lâu dài. Tài liệu Microsoft Learn cũng xác nhận bộ xử lý đời cũ phải giả lập tính năng phần cứng sẽ chịu ảnh hưởng hiệu năng lớn hơn, nên laptop dùng chip đời mới có lợi thế hơn ở điểm này.
Trước khi tắt toàn vẹn bộ nhớ, tôi thử các bước không đụng tới lớp bảo vệ nhân: cắm sạc, chọn chế độ nguồn hiệu năng cao, cập nhật driver đồ họa và kiểm tra trò chơi có chạy đúng GPU rời không. Thiết lập để Windows ưu tiên tài nguyên cho trò chơi đang mở được trình bày trong bài Game Mode trên Windows 11 - Bật khi nào để laptop chơi game ổn định hơn. Nếu vẫn phải tắt để chơi, tôi bật lại ngay sau phiên chơi rồi khởi động lại laptop để duy trì lớp bảo vệ.
Cách bật lại toàn vẹn bộ nhớ và kiểm tra đã chạy chưa
Đường bật lại giống đường tắt: Windows Security, Device security, Core isolation details, gạt Memory integrity sang On rồi khởi động lại theo yêu cầu. Nếu công tắc trong cách ly lõi bị mờ hoặc báo lỗi, tôi vào UEFI hoặc BIOS xác nhận mục ảo hóa CPU đã bật chưa, sau đó xử lý driver không tương thích như phần trên. Trường hợp ứng dụng Windows Security không mở được thì chưa thể chạm tới công tắc, cách xử lý tình huống này nằm trong bài Cách khắc phục lỗi Windows Security Center không khởi động.
| Trường trong Win32_DeviceGuard | Giá trị | Ý nghĩa |
|---|---|---|
| VirtualizationBasedSecurityStatus | 0 | VBS chưa được bật |
| VirtualizationBasedSecurityStatus | 1 | VBS đã bật nhưng chưa chạy |
| VirtualizationBasedSecurityStatus | 2 | VBS đã bật và đang chạy |
| SecurityServicesConfigured | Có giá trị 2 | HVCI đã được cấu hình |
| SecurityServicesRunning | Có giá trị 2 | HVCI đang chạy |
| CodeIntegrityPolicyEnforcementStatus | 0, 1, 2 | Tắt, chỉ ghi nhận (Audit), thực thi (Enforced) |
Công tắc hiện On chưa chắc tính năng đã chạy, nên tôi kiểm tra thêm bằng PowerShell quyền quản trị với lệnh Get-CimInstance cho lớp Win32_DeviceGuard trong namespace root\Microsoft\Windows\DeviceGuard. Cách nhanh hơn là chạy msinfo32, các tính năng VBS hiện ở cuối mục System Summary. Theo tài liệu Microsoft Learn về VBS và HVCI, trường SecurityServicesRunning chứa giá trị 2 nghĩa là toàn vẹn bộ nhớ đang chạy, còn VirtualizationBasedSecurityStatus bằng 2 nghĩa là VBS đã bật và đang hoạt động.
Rủi ro khi để tắt lâu dài là driver độc hại hoặc driver có lỗ hổng dễ được nạp vào nhân hơn, trong khi danh sách chặn driver có lỗ hổng không còn được tự bật nếu Smart App Control và chế độ S cũng đều tắt. Nếu bật xong mà laptop lỗi màn hình xanh khi khởi động, Microsoft hướng dẫn vào Windows Recovery Environment, đặt giá trị Enabled của khóa HypervisorEnforcedCodeIntegrity về 0 bằng lệnh reg add rồi khởi động lại.
Câu hỏi thường gặp (FAQ)
Laptop chạy Windows 11 Home có bật được Memory Integrity không?
Có. Microsoft liệt kê tính năng này cho Windows 10, Windows 11 và Windows Server 2016 trở lên mà không giới hạn theo bản Home hay Pro. Credential Guard mới là tính năng chỉ có trên bản Enterprise hoặc Education.
Tắt công tắc trong cách ly lõi có làm mất dữ liệu không?
Không. Công tắc chỉ thay đổi cách Windows kiểm tra mã driver ở chế độ nhân, không chạm tới tệp cá nhân. Thay đổi có hiệu lực sau khi khởi động lại laptop.
Vì sao Windows Security vẫn hiện cảnh báo dù tôi cố ý tắt?
Từ Windows 11 22H2, Windows Security hiển thị cảnh báo khi toàn vẹn bộ nhớ tắt, kèm dấu hiệu trên biểu tượng ở thanh tác vụ và trong Notification Center. Tôi có thể bỏ qua cảnh báo này ngay trong ứng dụng Windows Security.
Làm sao biết driver nào đang chặn toàn vẹn bộ nhớ?
Tôi mở Event Viewer tại Applications and Services Logs, Microsoft, Windows, CodeIntegrity, Operational để xem driver nào bị chặn nạp. Theo Microsoft Learn, sự kiện liên quan tới khả năng tương thích của tính năng này thường mang Event ID 3087.
Để lại một bình luận