Memory Integrity da ottobre:
cosa controllare

Cos’è Memory Integrity (HVCI)?

Memory Integrity, chiamata anche HVCI (hypervisor-protected code integrity), è una protezione del kernel di Windows. Si appoggia alla sicurezza basata sulla virtualizzazione (VBS): l’hypervisor di Windows crea un ambiente isolato che parte dal presupposto che il kernel possa essere compromesso, e lì dentro esegue il controllo dell’integrità del codice. Ogni driver e ogni componente del kernel viene verificato prima di essere caricato; le pagine di memoria diventano eseguibili solo dopo il controllo, e quelle eseguibili non sono mai scrivibili.

In pratica rende molto più difficile a un malware, anche dopo aver sfruttato una vulnerabilità, caricare driver non attendibili o modificare il codice del kernel. È la stessa base su cui Microsoft costruisce altre protezioni, come gli aggiornamenti a caldo (hotpatch). Sui computer si trova in Sicurezza di Windows, Sicurezza dispositivi, Dettagli isolamento core.

Cosa cambia da ottobre 2026?

Finora Memory Integrity era attiva in automatico solo sulle installazioni pulite di Windows 11 con hardware compatibile e sui dispositivi Secured-core; sui computer aggiornati da versioni precedenti restava spesso spenta. Il 1° settembre 2026 Microsoft ha annunciato che, a partire da ottobre 2026, gli aggiornamenti qualitativi di Windows la attivano sui dispositivi idonei, accendendo se necessario anche la sicurezza basata sulla virtualizzazione.

• Prima di attivarla Windows valuta il dispositivo: capacità dell’hardware, compatibilità e prestazioni.
• Le scelte già fatte restano valide: dove Memory Integrity è stata disattivata da un amministratore o da un utente, la distribuzione non la cambia.
• Dove non si attiva da sola, la si può sempre attivare con gli strumenti di gestione di Windows.

Su quali computer si attiva?

Per i requisiti l’annuncio rimanda alla documentazione Microsoft sull’attivazione di Memory Integrity, che elenca l’hardware minimo per l’attivazione automatica:

Sui processori più vecchi, privi di alcune funzioni hardware dedicate, Memory Integrity funziona tramite emulazione e Microsoft avverte che l’impatto sulle prestazioni è maggiore. È uno dei motivi per cui Windows valuta il dispositivo prima di attivarla.

Cosa può andare storto?

Il punto delicato sono i driver. Microsoft avverte che alcune applicazioni e alcuni driver di periferica non sono compatibili con Memory Integrity: possono smettere di funzionare e, in rari casi, causare un errore all’avvio, sia dopo l’attivazione sia durante. In un’azienda i candidati tipici sono i driver delle periferiche meno aggiornate: scanner, lettori, schede di acquisizione, dispositivi di laboratorio o di produzione, software di virtualizzazione o di controllo remoto datati.

Sulle macchine virtuali Hyper-V ci sono due incompatibilità documentate: gli adattatori Fibre Channel virtuali e i dischi pass-through con l’opzione AllowFullSCSICommandSet richiedono di escludere la macchina dalla sicurezza basata sulla virtualizzazione.

Come verifico se è attiva e se blocca qualche driver?

Lo stato di un computer si legge con la classe WMI Win32_DeviceGuard, da una sessione PowerShell come amministratore:

$dg = Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard
[pscustomobject]@{
  VBS               = $dg.VirtualizationBasedSecurityStatus   # 2 = attiva e in esecuzione
  MemoryIntegrityOn = $dg.SecurityServicesRunning -contains 2 # True = HVCI in esecuzione
}

I driver bloccati da Memory Integrity finiscono nel registro eventi CodeIntegrity, di norma con l’evento 3087. Questo comando li elenca:

Get-WinEvent -LogName 'Microsoft-Windows-CodeIntegrity/Operational' -MaxEvents 500 |
  Where-Object Id -eq 3087 |
  Select-Object TimeCreated, Message

Senza PowerShell: il riepilogo di Informazioni di sistema (msinfo32) mostra in fondo i servizi di sicurezza basata sulla virtualizzazione in esecuzione, e la pagina Isolamento core in Sicurezza di Windows indica lo stato e permette di vedere i driver incompatibili.

Come la gestisco in azienda con Intune o Group Policy?

Lasciare che sia l’aggiornamento a decidere, computer per computer, non è una buona politica: meglio decidere una volta e applicarlo. Le impostazioni documentate da Microsoft:

• Senza blocco UEFI, di norma. Con il blocco UEFI la protezione non si spegne da remoto né con una policy: per disattivarla bisogna entrare nel BIOS. Microsoft lo indica solo per chi vuole impedire esplicitamente la disattivazione.
• Prima un gruppo di prova. Microsoft raccomanda di attivarla su un gruppo di computer di test prima di estenderla a tutti.
• Eccezioni esplicite e temporanee. Se un dispositivo ha un driver indispensabile e incompatibile, la strada giusta è aggiornare il driver; se non esiste, una policy che disattiva Memory Integrity solo su quel dispositivo, con il motivo scritto e una data di revisione.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" /v "Enabled" /t REG_DWORD /d 0 /f

Cosa fare intorno al Patch Tuesday del 13 ottobre

• Rilevare lo stato attuale di Memory Integrity e VBS sui computer aziendali, con il comando sopra o con un report dello strumento di gestione.
• Elencare le periferiche con driver datati o particolari e verificare con i produttori la compatibilità con Memory Integrity.
• Distribuire gli aggiornamenti di ottobre prima a un gruppo di prova che includa quelle periferiche.
• Dopo l’aggiornamento, cercare gli eventi 3087 e le segnalazioni degli utenti su dispositivi che non funzionano più.
• Fissare la scelta con una policy di Intune o di Group Policy e documentare le eccezioni: per chi rientra nella NIS2 è parte delle misure di protezione dei dispositivi da poter dimostrare.

Come lavoriamo noi

Nella gestione dei dispositivi del modern workplace le impostazioni di sicurezza come Memory Integrity sono policy di Intune, non scelte lasciate al singolo computer: le proviamo prima su un gruppo pilota, le distribuiamo a tutti e registriamo le eccezioni. È lo stesso approccio che abbiamo descritto per il login senza password con FIDO2 e Intune e per Windows senza NTLM.