Целостность памяти (HVCI) не включается в Windows 11 на ноутбуке: как безопасно удалить несовместимый драйвер

Целостность памяти (HVCI) не включается в Windows 11 на ноутбуке: как безопасно удалить несовместимый драйвер

Жёлтый восклицательный знак на значке щита в трее Windows 11 и сообщение «Целостность памяти отключена. Не удалось включить целостность памяти — устраните несовместимости драйверов» в разделе Безопасность Windows → Безопасность устройства → Изоляция ядра — одна из самых частых ситуаций после переноса системы или подключения периферии прошлых лет. Если действовать грубо и вручную удалять файлы .sys из системной папки C:\Windows\System32\drivers, при следующей перезагрузке ноутбук легко отправить в бесконечный синий экран INACCESSIBLE_BOOT_DEVICE или остаться без работающей клавиатуры и тачпада! Разберём, почему Windows блокирует включение защиты и как убрать мешающий пакет строго штатными инструментами хранилища драйверов.

Почему старый драйвер не проходит проверку HVCI

Технология Hypervisor-Protected Code Integrity (HVCI) использует аппаратную виртуализацию процессора (подробнее о роли гипервизора в системе читайте в разборе ошибки гипервизора HYPERVISOR_ERROR 0x00020001) для жёсткого правила безопасности памяти ядра W^X (Write XOR Execute): ни одна страница оперативной памяти на уровне ядра не имеет права быть одновременно доступной для записи и исполняемой как программный код. Благодаря этому даже при обнаружении уязвимости злоумышленник не может записать вредоносный шелл-код в память ядра и передать на него управление.

Проблема в том, что старые драйверы, написанные во времена Windows 7, Windows 8 и ранних сборок Windows 10 (старые USB-модемы, оптические сканеры, ТВ-тюнеры, картридеры смарт-карт, звуковые улучшайзеры, драйверы старых игровых рулей и телефонов), выделяют память устаревшим вызовом с правами «и писать, и исполнять». Даже если вы выбросили этот USB-модем четыре года назад, его пакет oemXX.inf остался лежать в системном хранилище DriverStore, поэтому проверка совместимости перед включением ползунка Целостность памяти справедливо останавливает активацию.

Шаг 1. Снимите точный список блокирующих пакетов и проверьте их класс!

Нажмите ссылку «Просмотреть несовместимые драйверы» прямо под выключенным тумблером Целостность памяти и разверните карточку каждого найденного файла. Критически важно выписать два поля:

1. Имя файла драйвера (например, драйвер старого телефонного кабеля, внешнего USB-хаба или сканера).
2. Опубликованное имя (Published Name) — оно почти всегда имеет вид oem14.inf, oem38.inf и тому подобное.

Красный список: какие драйверы нельзя удалять вслепую!

Прежде чем вводить любую команду удаления, проверьте по журналу Microsoft-Windows-CodeIntegrity / Operational (события Event ID 3087 / 3023) или в командной строке администратора, к какому классу устройств относится найденный файл:

Шаг 2. Безопасное удаление остаточного пакета oemXX.inf штатным pnputil

Если вы убедились, что мешающий драйвер имеет имя вида oemXX.inf и принадлежит ненужному старому внешнему устройству:

1. Создайте контрольную точку восстановления системы (Поиск → Создание точки восстановления → Создать) — это ваша стопроцентная страховка, позволяющая откатить реестр за две минуты прямо из среды восстановления WinRE, даже если вы перепутаете номер пакета.
2. Откройте Терминал (Администратор) или командную строку от имени администратора.
3. Сначала перепроверьте содержимое конкретного номера пакета командой просмотра pnputil /enum-drivers, найдя в выводе ваш номер (например, убедитесь, что oem42.inf действительно относится к старому внешнему USB-адаптеру, а не к системному контроллеру хранения!).
4. Удалите пакет из хранилища драйверов командой:
   • сначала без принудительного ключа: pnputil /delete-driver oemXX.inf (подставив свой точный номер из окна «Безопасность Windows»);
   • если старый фантомный профиль устройства числится привязанным в реестре, отключите внешнее устройство от порта и выполните pnputil /delete-driver oemXX.inf /uninstall /force.
5. Вернитесь в окно Изоляция ядра, нажмите «Проверить снова» и переведите ползунок Целостность памяти в положение Вкл., после чего выполните обычную перезагрузку ноутбука.

Особенности корпоративных и б/у ноутбуков

На корпоративных ноутбуках в домене или при проверке вторичного устройства по чеклисту выбора ноутбука с пробегом тумблер Целостность памяти может быть не просто выключен, а окрашен в серый цвет с подписью «Этим параметром управляет ваш администратор». В этом случае никаких битых драйверов в системе может не быть вовсе:

• проверьте в BIOS Setup, включены ли аппаратная виртуализация (Intel VT-x / AMD SVM), защита ввода-вывода (VT-d / IOMMU), безопасная загрузка Secure Boot и модуль TPM 2.0 — без любого из этих четырёх кирпичей гипервизорная изоляция не активируется;
• проверьте, не применялись ли ранее так называемые «твикеры оптимизации для игр», которые принудительно записывают нулевое значение в ветку реестра DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity ради пары процентов синтетического теста ценой отключения базовой защиты ядра.

Стоп-линия: когда лучше оставить тумблер выключенным

Единственный законный случай, когда инженер сознательно откладывает включение HVCI — работа с уникальным дорогостоящим узкопрофильным оборудованием (старый лабораторный хроматограф, промышленный ЧПУ-контроллер, архивный сканер плёнок), для которого производитель давно закрылся и физически никогда не выпустит 64-разрядный HVCI-совместимый драйвер. В такой ситуации безопаснее выделить под этот прибор отдельный изолированный ноутбук без доступа к корпоративной почте и банковским ключам, чем ломать рабочую связь со станком.

Контрольный чек-лист

• [ ] Создана точка восстановления системы на системном разделе перед любыми операциями с хранилищем драйверов.
• [ ] Проверен точный номер oemXX.inf и исключено вхождение драйвера в системные классы клавиатуры, мыши и контроллеров дисков.
• [ ] Пакет удалён штатной утилитой pnputil или обновлён через официальный инсталлятор вендора без ручного удаления файлов из System32.
• [ ] После перезагрузки ноутбука в окне «Изоляция ядра» тумблер Целостность памяти горит активным, а в msinfo32 строка Службы безопасности на основе виртуализации показывает работающую защиту целостности кода.

Частые вопросы

Замедляет ли включённая Целостность памяти работу современного ноутбука в офисе и браузере?

На современных процессорах последних поколений (Intel Core 12+ / Core Ultra и AMD Ryzen 6000+ / Ryzen AI), где реализована нативная аппаратная поддержка таблиц Mode-Based Execution Control (MBEC / GMET), накладные расходы в офисных программах, браузере и компиляции лежат в пределах статистической погрешности (единицы процента), зато система надёжно защищена от закрепления руткитов уровня ядра.

Что делать, если после удаления фильтра клавиатуры перестал работать ввод пароля на экране входа?

На экране блокировки Windows 11 нажмите в правом нижнем углу значок Специальные возможности → Экранная клавиатура мышью или внешним проводным USB-манипулятором, войдите в систему (или загрузитесь в WinRE с зажатой клавишей Shift при нажатии «Перезагрузка») и откатите систему к созданной за минуту до этого точке восстановления — работоспособность встроенной клавиатуры вернётся мгновенно.

Полезные материалы по смежным узлам ноутбука: проверка узлов по цифровому паспорту ноутбука, правила апгрейда оперативной памяти и SSD в ноутбуке.