Windows 10에서 Device Guard를 활성화 또는 비활성화하는 방법

Device Guard는 함께 구성할 경우 코드 무결성 정책에 정의한 신뢰할 수 있는 응용 프로그램만 실행하도록 장치를 잠그는 엔터프라이즈 관련 하드웨어 및 소프트웨어 보안 기능의 조합입니다. 응용 프로그램을 신뢰할 수 없으면 실행할 수 없습니다. 기본 요구 사항을 충족하는 하드웨어를 사용하면 공격자가 Windows 커널을 제어할 수 있더라도 악성 실행 코드를 실행할 수 없습니다. 올바른 하드웨어를 사용하면 Device Guard는 Windows 10의 새로운 가상화 기반 보안을 사용하여 Microsoft Windows 커널에서 코드 무결성 서비스를 격리할 수 있습니다. 이 경우 코드 무결성 서비스는 Windows 가상화로 보호되는 컨테이너에서 커널과 함께 실행됩니다.

이 가이드에서는 Windows 10 Enterprise 및 Windows 10 Education PC에서 Device Guard 가상화 기반 보안을 활성화하거나 비활성화하는 방법을 보여줍니다.

Device Guard를 활성화하거나 비활성화하려면 관리자로 로그인해야 합니다.

• Windows 10에서 Windows 보안을 여는 방법
• Windows 10에서 Windows 보안에 대한 변조 방지를 켜는 방법
• Exploit Protection으로 Windows 10 보안 강화

Device Guard를 활성화 또는 비활성화하는 방법

1 단계 . Windows 기능을 엽니다.

Windows 10 Enterprise/Education 버전 1607 이상에서는 Hyper-V 아래에서 Hyper-V 하이퍼바이저를 선택 하고 확인을 클릭합니다 .

버전 1607 이전의 Windows 10 Enterprise/Education 버전에서는 Hyper-V에서 Hyper -V 하이퍼바이저를 선택하고 격리된 사용자 모드를 선택한 후 확인을 클릭합니다 .

2 단계 . 로컬 그룹 정책 편집기를 엽니다 .

3단계 . 로컬 그룹 정책 편집기의 왼쪽 창에서 다음 키로 이동합니다.

Computer Configuration\Administrative Templates\System\Device Guard

4단계 . 로컬 그룹 정책 편집기의 Device Guard 오른쪽 창에서 가상화 기반 보안 켜기 정책을 두 번 클릭하여 편집합니다.

5단계 . 6단계(켜짐) 또는 7단계(꺼짐)를 따르십시오.

6단계 . Device Guard를 활성화하려면

• 활성화됨을 선택합니다 .
• 옵션의 플랫폼 보안 수준 선택 드롭다운 메뉴에서 보안 부팅 또는 보안 부팅 및 DMA 보호를 선택합니다.

참고: 보안 부팅(권장) 옵션은 특정 컴퓨터의 하드웨어에서 지원하는 다양한 보호 기능을 갖춘 보안 부팅을 제공합니다. IOMMU(입/출력 메모리 관리 장치)가 있는 컴퓨터는 DMA 보호 기능을 갖춘 보안 부팅을 갖습니다. IOMMU가 없는 컴퓨터에서는 보안 부팅만 활성화됩니다.

DMA를 사용한 보안 부팅은 DMA를 지원하는 컴퓨터, 즉 IOMMU가 있는 컴퓨터에서만 보안 부팅 및 VBS를 활성화합니다. 이 설정을 사용하면 IOMMU가 없는 컴퓨터에는 코드 무결성 정책이 활성화될 수 있지만 VBS(하드웨어 기반) 보호가 제공되지 않습니다.

• 옵션의 코드 무결성의 가상화 기반 보호 드롭다운 메뉴에서 UEFI 잠금으로 활성화 또는 잠금 없이 활성화를 선택합니다.

참고: UEFI 잠금으로 활성화 옵션을 사용하면 코드 무결성의 가상화 기반 보호가 원격으로 비활성화되지 않습니다. 이 기능을 비활성화하려면 그룹 정책을 비활성화로 설정하고 현재 사용자가 있는 각 컴퓨터의 보안 기능을 제거하여 UEFI 구성을 삭제해야 합니다.

잠금 없이 활성화 옵션을 사용하면 그룹 정책을 사용하여 코드 무결성의 가상화 기반 보호를 원격으로 비활성화할 수 있습니다.

• 원하는 경우 Credential Guard 구성 드롭다운 메뉴에서 UEFI 잠금으로 활성화 또는 잠금 없이 활성화를 선택하여 Credential Guard를 활성화할 수도 있습니다.

참고: UEFI 잠금으로 활성화 옵션을 사용 하면 Credential Guard가 원격으로 비활성화되지 않습니다. 이 기능을 비활성화하려면 그룹 정책을 비활성화로 설정하고 현재 사용자가 UEFI에서 구성을 지울 수 있도록 각 컴퓨터에서 보안 기능을 제거해야 합니다.

잠금 없이 활성화 옵션을 사용 하면 그룹 정책을 사용하여 Credential Guard를 원격으로 비활성화할 수 있습니다. 이 설정을 사용하는 장치는 Windows 10(버전 1511) 이상을 실행해야 합니다.

• 8단계로 이동합니다.

7단계 . Device Guard를 비활성화하려면

구성되지 않음 또는 비활성화됨을 선택하고 확인을 클릭한 후 8단계로 이동합니다.

참고 : 구성되지 않음이 기본 설정입니다.

8단계 . 로컬 그룹 정책 편집기를 닫습니다.

9단계 . 변경 사항을 적용하려면 컴퓨터를 다시 시작하세요.

당신의 성공을 기원합니다!