需启用hvci以防御内核级攻击：一、安全中心开启内存完整性；二、组策略启用device guard；三、注册表修改hypervisorenforcedcodeintegrity；四、命令行配置bcd启动类型；五、uefi/bios开启cpu虚拟化。
如果您希望提升 Windows 11 系统对内核级内存篡改、驱动劫持及高级漏洞利用（如 CVE-2023-24932 类攻击）的防御能力，则需启用底层虚拟化内存保护机制，即“基于虚拟化的代码完整性”（HVCI）。该机制依托 CPU 硬件虚拟化扩展，在 Hyper-V 分区中构建隔离执行层，强制校验所有内核模式驱动签名，并实时拦截未签名或策略外的内存写入与执行行为。以下是多种独立可行的启用方式：
一、通过 Windows 安全中心图形界面开启内存完整性
该方法调用系统内置安全服务，自动执行兼容性扫描、驱动签名验证与 HVCI 初始化流程，无需命令行操作，适用于所有 Windows 11 版本（含家庭版），且在用户交互层面最简洁可靠。
1、按下 Win + I 打开“设置”，进入“隐私和安全性” → “Windows 安全中心”。
2、点击“设备安全性”卡片，进入设备防护主界面。
3、向下滚动至“内核隔离”区域，点击“核心隔离详细信息”。
4、将“内存完整性”开关切换为开启状态；若显示为灰色不可用，说明硬件虚拟化未启用或存在不兼容驱动。
5、系统弹出提示后，点击立即重新启动以应用更改并完成 HVCI 加载。
二、通过本地组策略编辑器启用 Device Guard 并绑定 HVCI
此方法适用于 Windows 11 专业版、企业版或教育版，可强制激活 VBS 基础层并锁定 HVCI 启用状态，防止第三方软件或组策略覆盖导致的安全降级，具备最高策略优先级。
1、按下 Win + R，输入 gpedit.msc 并回车，以管理员权限打开组策略编辑器。
2、依次展开路径：计算机配置 → 管理模板 → 系统 → Device Guard。
3、在右侧双击“启用基于虚拟化的安全性”策略项。
4、选择“已启用”，并在下方勾选启用内存完整性保护选项。
5、点击“确定”保存设置，关闭组策略编辑器。
6、执行 shutdown /r /t 0 命令立即重启，确保 HVCI 在系统启动早期完成初始化。
三、通过注册表直接启用 HypervisorEnforcedCodeIntegrity
该方法绕过图形界面与策略层限制，直接修改内核安全子系统注册表键值，适用于组策略不可用、安全中心界面异常或需脚本化部署的场景，作用于系统最底层运行时环境。
1、按下 Win + R，输入 regedit 并以管理员身份运行注册表编辑器。
2、导航至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity。
3、在右侧窗格中查找名为 Enabled 的 DWORD (32 位) 值；若不存在，则右键空白处 → 新建 → DWORD (32 位) 值，并命名为该名称。
4、双击 Enabled，将其“数值数据”设为 1，基数保持为十六进制。
5、关闭注册表编辑器，重启计算机使 HVCI 配置生效。
四、通过管理员命令提示符启用 Hypervisor 并验证启动类型
此方法直接修改系统引导配置数据库（BCD），确保 Windows 启动时加载 Hyper-V 分区并激活 VBS 基础层，是 HVCI 正常运行的前提条件，属于底层最基础且不可绕过的启用路径。
1、右键点击“开始菜单”，选择“终端（管理员）”或“命令提示符（管理员）”。
2、在终端中逐字输入以下命令并按回车：bcdedit /set hypervisorlaunchtype auto。
3、若返回“操作成功完成”，表示设置已写入；若提示“拒绝访问”，请确认是否以管理员权限运行。
4、关闭终端窗口，立即重启计算机。
5、重启后，按下 Win + R 输入 msinfo32，查找“基于虚拟化的安全性”条目，确认其状态为正在运行且“内存完整性”为已启用。
五、通过 UEFI/BIOS 启用 CPU 虚拟化技术并确认平台就绪
HVCI 依赖物理 CPU 级虚拟化支持（Intel VT-x 或 AMD-V），若 BIOS/UEFI 中对应选项被禁用，或“虚拟机平台”Windows 功能未启用，HVCI 将无法加载，所有上层配置均无效。此步骤为全部启用方式的硬件前提。
1、按下 Ctrl + Shift + Esc 打开任务管理器，切换至“性能”选项卡，点击“CPU”，查看“虚拟化”状态是否为已启用。
2、若显示“已禁用”，重启电脑并在开机自检阶段反复按 Del、F2、F10 或 Esc（依主板品牌而定）进入 UEFI/BIOS 设置界面。
3、导航至 Advanced → CPU Configuration（Intel）或 Security → SVM Mode / AMD-V（AMD）路径。
4、将 Intel Virtualization Technology 或 SVM Mode 设为 Enabled；建议同步启用 Intel VT-d 或 IOMMU。
5、按 F10 保存设置并退出，系统重启后再次通过任务管理器确认“虚拟化”与“已启用虚拟机平台”均为已启用状态。
