检查内核隔离"内存完整性"是否开启（HVCI）

用 PowerShell 查询 Windows 内核隔离的内存完整性保护是否真正在运行，而不只是开了开关。

Windows硬件安全PowerShell低风险

运行 (Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard).SecurityServicesRunning，输出中包含 2 即表示 HVCI 正在运行。

01命令

命令

$ (Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard).SecurityServicesRunning

02作用说明

内存完整性基于虚拟化安全（VBS），能阻止攻击者向 Windows 内核注入代码。安全中心里只显示开关状态，而这条 WMI 查询能看出实际运行情况：SecurityServicesRunning 包含 2 表示 HVCI 已激活，VirtualizationBasedSecurityStatus 为 2 表示 VBS 本身也已启动。结果为空或 0 通常是 CPU 不支持、驱动不兼容，或开关从未打开。

03风险

风险低风险

!注意: 开启内存完整性后部分老驱动（尤其某些显卡和反作弊驱动）会加载失败；开关位置在 Windows 安全中心 > 设备安全性 > 内核隔离。

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

Manage Windows Defender Credential Guard
Microsoft Learn · vendor-doc · 2026-09-17
依据: Documents the Win32_DeviceGuard WMI class: SecurityServicesRunning lists running virtualization-based security services, where a value of 2 indicates HVCI is active.

最后验证: 2026-09-18 · 分类: 安全与隐私