Kako funkcionira izolacija jezgre (Core Isolation) u sustavu Windows 11 i kada je treba uključiti

Windows 11 uključuje nekoliko sigurnosnih značajki namijenjenih zaštiti računala od prijetnji koje obični antivirusni programi možda neće otkriti. Jedna od njih je izolacija jezgre (Core Isolation), koja koristi zaštitu temeljenu na hardveru kako bi otežala napade na osjetljive dijelove operacijskog sustava. Njezina najvažnija postavka, Integritet memorije (Memory Integrity), pomaže spriječiti zlonamjerni ili nekompatibilni kod da ometa rad jezgre sustava Windows. Iako ova značajka može znatno poboljšati sigurnost, može utjecati i na performanse ili spriječiti ispravan rad starijih upravljačkih programa. Razumijevanje načina na koji izolacija jezgre funkcionira, po čemu se razlikuje od uobičajene zaštite i kada je treba uključiti pomoći će vam da donesete odgovarajuću odluku za svoje računalo u 2026. godini.

Što je izolacija jezgre u sustavu Windows 11 i kako funkcionira?

Izolacija jezgre skup je sigurnosnih značajki unutar sustava Windows 11 koje koriste hardversku virtualizaciju za zaštitu ključnih procesa operacijskog sustava. Umjesto da se sve važne sigurnosne operacije izvršavaju u istom okruženju kao i uobičajene komponente sustava Windows, sustav stvara izolirano područje kojem zlonamjerni softver znatno teže može pristupiti. Takvo razdvajanje posebno je korisno jer su neki sofisticirani napadi usmjereni na sam operacijski sustav, a ne na pojedinačne aplikacije. Ako napadač uspije iskoristiti ranjivost upravljačkog programa, uobičajene sigurnosne mjere možda neće uvijek biti dovoljne za sprječavanje daljnje štete.

Tehnologija na kojoj se temelji izolacija jezgre naziva se sigurnost temeljena na virtualizaciji (Virtualisation-Based Security ili VBS). Oslanja se na mogućnosti modernih procesora i hipervizor sustava Windows kako bi uspostavila zaštićeno okruženje za izvršavanje. Hipervizor upravlja razdvajanjem tog sigurnog okruženja od glavnog operacijskog sustava te pomaže osigurati da određene sigurnosne provjere ostanu zaštićene čak i ako druga komponenta sustava Windows bude ugrožena. Za razliku od pokretanja cijelog virtualnog računala, ovaj postupak ne stvara zasebnu radnu površinu niti zahtijeva instalaciju drugog operacijskog sustava. Odvija se automatski u pozadini, dok Windows nastavlja normalno raditi.

Odjeljak Izolacija jezgre u aplikaciji Sigurnost u sustavu Windows može sadržavati nekoliko zaštitnih značajki, ovisno o hardveru računala i verziji sustava Windows. Integritet memorije najpoznatija je opcija, ali neki kompatibilni sustavi nude i hardverski podržanu zaštitu stoga u načinu rada jezgre te dodatne sigurnosne mehanizme. Te značajke štite od različitih sigurnosnih rizika i ne treba ih međusobno poistovjećivati. Izolacija jezgre stoga nije zasebna aplikacija niti zamjena za antivirusnu zaštitu. Ona je dio šire sigurnosne arhitekture sustava Windows 11 i djeluje zajedno s antivirusnim programom Microsoft Defender, značajkom Secure Boot, vatrozidom i redovitim sigurnosnim ažuriranjima.

Kako integritet memorije štiti jezgru sustava Windows

Integritet memorije, poznat i kao integritet koda zaštićen hipervizorom (Hypervisor-Protected Code Integrity ili HVCI), odgovoran je za provjeru ispunjava li kod koji se treba izvršavati na najpovlaštenijoj razini operacijskog sustava sigurnosne zahtjeve sustava Windows. Ta se razina naziva način rada jezgre (kernel mode). Upravljački programi za grafičke kartice, kontrolere uređaja za pohranu, mrežne prilagodnike i drugi hardver mogu raditi na toj razini jer im je potreban izravan pristup važnim funkcijama sustava. Nažalost, upravo takav pristup čini ranjive upravljačke programe privlačnim metama napadača. Zlonamjerni kod koji se izvršava s ovlastima jezgre mogao bi ometati sigurnosni softver, mijenjati ponašanje sustava ili pristupati osjetljivim informacijama.

Kada je integritet memorije uključen, Windows provodi važne provjere integriteta koda jezgre unutar izoliranog okruženja uspostavljenog tehnologijom VBS. Te provjere pomažu osigurati da je kod koji radi u načinu rada jezgre pravilno provjeren prije izvršavanja. Značajka također jača zaštitu memorije tako što sprječava izmjenu izvršive memorije jezgre kao da je riječ o običnim podacima u koje se može pisati. Time se znatno otežavaju određene vrste napada koje uključuju umetanje zlonamjernog koda ili manipulaciju ranjivim upravljačkim programima. Međutim, ova zaštita ne znači da je svaki digitalno potpisani upravljački program potpuno siguran. Legitimni upravljački programi i dalje mogu sadržavati sigurnosne propuste, zbog čega je njihovo redovito ažuriranje iznimno važno.

Česta je zabluda da integritet memorije izravno štiti osobne datoteke ili sprječava aplikacije da koriste previše radne memorije (RAM-a). Njegova je svrha drukčija: zaštititi integritet ključnog koda operacijskog sustava i provjera koje se koriste za njegovu validaciju. Ova značajka ne šifrira dokumente, ne zamjenjuje Microsoft Defender niti jamči zaštitu od krađe identiteta, ucjenjivačkog softvera i zlonamjernih preuzimanja. Isto tako, isključivanje integriteta memorije ne znači automatski da je računalo zaraženo ili potpuno nezaštićeno. Windows zadržava druge sigurnosne mehanizme, ali jedan vrijedan sloj obrane od napada usmjerenih na jezgru više nije aktivan. Zbog toga Microsoft preporučuje korištenje ove značajke na sustavima koji je podržavaju bez problema s kompatibilnošću.

Kada biste trebali uključiti integritet memorije u sustavu Windows 11?

Za većinu korisnika relativno modernih računala sa sustavom Windows 11 preporučljivo je ostaviti integritet memorije uključenim. Posebno je koristan na prijenosnim računalima koja se koriste za posao, računalima koja sadržavaju povjerljive dokumente i uređajima koji se redovito povezuju s nepoznatim mrežama. Dodatna zaštita može koristiti i osobama koje instaliraju aplikacije drugih proizvođača, povezuju vanjske uređaje ili koriste računalo za financijske transakcije. Iako integritet memorije ne može spriječiti svaki mogući napad, smanjuje mogućnosti zlonamjernog softvera da ometa ključne komponente sustava Windows. Na kompatibilnom hardveru ova zaštita često radi bez primjetnog utjecaja na svakodnevne aktivnosti.

Integritet memorije može već biti uključen prilikom instalacije sustava Windows 11, osobito na novijim računalima koja zadovoljavaju Microsoftove zahtjeve za kompatibilnost hardvera i upravljačkih programa. Međutim, njegovo stanje ovisi o proizvođaču uređaja, mogućnostima procesora, povijesti instalacije i sigurnosnoj konfiguraciji. Na računalu nadograđenom sa starije verzije sustava Windows postavka može biti isključena zbog zastarjelog upravljačkog programa, dok na novom prijenosnom računalu može biti automatski uključena. Stoga je bolje provjeriti stvarno stanje postavke nego pretpostaviti da svaka instalacija sustava Windows 11 koristi istu konfiguraciju. Sigurnost u sustavu Windows može prikazati upozorenje kada je integritet memorije isključen, ali samo upozorenje ne objašnjava postoji li na vašem računalu konkretan problem s kompatibilnošću.

Postoje situacije u kojima uključivanje integriteta memorije zahtijeva dodatno razmatranje. Računala koja koriste stariju specijaliziranu opremu, zastarjele upravljačke programe ili određene pomoćne alate koji rade na niskoj razini sustava mogu imati problema s kompatibilnošću. To se može odnositi na starije pisače, USB dodatke, alate za nadzor hardvera i aplikacije koje ovise o upravljačkim programima koji se više ne ažuriraju. Računala namijenjena igranju također zahtijevaju individualnu procjenu jer radna opterećenja osjetljiva na performanse mogu različito reagirati na zaštitu temeljenu na virtualizaciji. Ipak, isključivanje integriteta memorije samo zato što se računalo koristi za igranje nije automatski opravdano. Bolji je pristup provjeriti kompatibilnost, testirati performanse u aplikacijama koje doista koristite i zadržati snažniju sigurnosnu konfiguraciju kad god je to praktično.

Utjecaj na performanse, hardverski zahtjevi i kompatibilnost

Integritet memorije zahtijeva podršku za hardversku virtualizaciju, koja mora biti omogućena u postavkama UEFI-ja ili BIOS-a računala. Na Intelovim sustavima ta je mogućnost najčešće označena kao Intel Virtualization Technology ili VT-x, dok se na AMD-ovim sustavima obično naziva AMD-V ili SVM Mode. Moderni procesori također uključuju značajke koje povećavaju učinkovitost potrebnih mehanizama zaštite memorije. Microsoft navodi da procesori Intel Kaby Lake i noviji, kao i arhitekture AMD Zen 2 i novije, imaju mogućnosti koje poboljšavaju učinkovitost HVCI-ja. Stariji kompatibilni procesori mogu se oslanjati na manje učinkovite metode, što potencijalno povećava utjecaj na performanse. Sama generacija procesora ne jamči da će svako računalo pravilno podržavati ovu značajku jer su važni i kompatibilnost firmvera te upravljačkih programa.

Kada je integritet memorije uključen, dolazi do određenog dodatnog procesorskog opterećenja jer Windows mora provoditi strože provjere i ograničenja pristupa memoriji. Razlika u performansama ovisi o procesoru, instaliranim upravljačkim programima, softveru i vrsti radnog opterećenja. Uobičajene aktivnosti poput pregledavanja interneta, gledanja videozapisa, uređivanja dokumenata i korištenja e-pošte na modernom hardveru mogu pokazivati vrlo male ili gotovo neprimjetne promjene. Određene igre, osobito one čije su performanse ograničene procesorom, kao i zahtjevniji zadaci, mogu se ponašati drukčije. Ne postoji pouzdan univerzalni postotak koji opisuje gubitak performansi na svakom računalu sa sustavom Windows 11. Usporedba provedena u istoj aplikaciji, s istim postavkama i u jednakim radnim uvjetima korisnija je od oslanjanja na pojedinačne rezultate testiranja s drugog računala.

Kompatibilnost upravljačkih programa često predstavlja veći problem od samog utjecaja na performanse. Integritet memorije možda se neće moći uključiti ako Windows otkrije instalirani upravljački program koji ne zadovoljava njegove zahtjeve. Također može spriječiti učitavanje nekompatibilnog upravljačkog programa nakon aktivacije značajke. Najsigurnije je rješenje preuzeti ažurirani upravljački program putem servisa Windows Update ili izravno sa službene internetske stranice proizvođača hardvera. Ako kompatibilna verzija ne postoji, možda ćete morati zamijeniti određeni softver ili uređaj ili privremeno ostaviti integritet memorije isključenim. Uklanjanje upravljačkih programa bez utvrđivanja njihove namjene rizično je, osobito kada upravljaju uređajima za pohranu, mrežnim povezivanjem ili drugim ključnim hardverskim komponentama. Neuspjela provjera kompatibilnosti razlog je za dodatnu provjeru, a ne za neselektivno brisanje sistemskih datoteka.

Kako uključiti izolaciju jezgre i riješiti uobičajene probleme

Windows 11 omogućuje jednostavno upravljanje integritetom memorije bez instaliranja dodatnog softvera ili uređivanja registra sustava. Otvorite izbornik Start, potražite Sigurnost u sustavu Windows (Windows Security) i pokrenite aplikaciju. Odaberite Sigurnost uređaja (Device security), a zatim Pojedinosti o izolaciji jezgre (Core isolation details). Pronađite prekidač Integritet memorije (Memory integrity) i postavite ga na Uključeno ako je trenutačno isključen. Windows može zatražiti administratorsko odobrenje, a obično je potrebno ponovno pokrenuti računalo kako bi promjena stupila na snagu. Istim postavkama možete pristupiti i putem izbornika Postavke (Settings), Privatnost i sigurnost (Privacy & security), Sigurnost u sustavu Windows (Windows Security) i Sigurnost uređaja (Device security). Nazivi i dostupnost pojedinih opcija izolacije jezgre mogu se neznatno razlikovati ovisno o verziji sustava Windows 11 i konfiguraciji hardvera.

Nakon ponovnog pokretanja računala vratite se na stranicu s pojedinostima o izolaciji jezgre kako biste potvrdili da je integritet memorije uključen. Ako prekidač ostane isključen ili Windows prijavi da se značajka ne može pokrenuti, provjerite je li dostupna hardverska virtualizacija. Otvorite Upravitelj zadataka (Task Manager), odaberite Performanse (Performance), zatim CPU i pronađite status virtualizacije. Ako je virtualizacija onemogućena, možda ćete morati aktivirati odgovarajuću postavku u UEFI-ju ili BIOS-u. Točan postupak ovisi o proizvođaču matične ploče ili prijenosnog računala. Ako računalo koristi BitLocker ili šifriranje uređaja, prije promjene sigurnosnih postavki firmvera provjerite imate li pristup ključu za oporavak jer neke promjene mogu pokrenuti dodatnu provjeru pri oporavku sustava. Tijekom rješavanja problema izbjegavajte mijenjanje nepovezanih postavki BIOS-a.

Širu sigurnosnu konfiguraciju možete provjeriti i pomoću uslužnog programa Informacije o sustavu (System Information). Pritisnite Windows + R, unesite msinfo32 i otvorite Informacije o sustavu. Potražite stavku Sigurnost temeljena na virtualizaciji (Virtualisation-based security) i povezane sigurnosne usluge koje su trenutačno pokrenute. Ti podaci mogu pomoći razlikovati je li VBS aktivan i rade li odgovarajući zaštitni mehanizmi. Točne informacije koje se prikazuju ovise o konfiguraciji sustava Windows i hardverskoj podršci. Za većinu kućnih korisnika prekidač u aplikaciji Sigurnost u sustavu Windows i dalje je najjednostavniji način provjere samog integriteta memorije. Ako računalo pripada poslodavcu ili obrazovnoj ustanovi, sigurnosnim postavkama može se upravljati centralizirano pa je o promjenama bolje razgovarati s administratorom nego pokušavati zaobići ograničenja neslužbenim postupcima.

Što učiniti ako se integritet memorije ne može uključiti

Ako Windows prijavi nekompatibilne upravljačke programe, otvorite pojedinosti o izolaciji jezgre i pregledajte informacije o nekompatibilnim upravljačkim programima. Upozorenje može sadržavati naziv datoteke upravljačkog programa, izdavača ili povezanog uređaja. Najprije provjerite Windows Update, uključujući neobavezna ažuriranja upravljačkih programa kada je to prikladno, a zatim posjetite službenu stranicu podrške proizvođača odgovarajućeg uređaja. Ažuriranje starog upravljačkog programa pisača, pomoćnog programa za periferni uređaj ili aplikacije za upravljanje hardverom može riješiti problem bez dodatnih zahvata. Ako se određeni uređaj više ne koristi, uklanjanje njegova izvornog softvera putem Postavki i uklanjanje nekorištenog uređaja kroz Upravitelj uređaja (Device Manager) može pomoći, iako paketi upravljačkih programa ponekad ostaju instalirani. Nemojte preuzimati zamjenske upravljačke programe s nepoznatih internetskih stranica niti izravno brisati datoteke iz sistemskih mapa sustava Windows.

Ako postavka nije dostupna ili je nije moguće aktivirati unatoč kompatibilnim upravljačkim programima, provjerite jesu li Windows 11 i firmver uređaja ažurirani. Provjerite podržava li procesor virtualizaciju i je li ta mogućnost uključena u UEFI-ju ili BIOS-u. Razmotrite i mogućnost da druga konfiguracija virtualizacije, zastarjela komponenta firmvera ili sigurnosna pravila kojima upravlja organizacija utječu na rad značajke. Ako je integritet memorije nedavno uključen, a neki uređaj prestane raditi, provjerite obavijesti povezane s upravljačkim programima prije mijenjanja drugih postavki sustava. Microsoft upozorava da nekompatibilni upravljački programi povremeno mogu izazvati ozbiljne probleme, uključujući rušenje sustava. Ako se problemi sa stabilnošću pojave neposredno nakon aktivacije, privremeno isključivanje značajke putem aplikacije Sigurnost u sustavu Windows može poslužiti kao mjera za otklanjanje poteškoća dok ne nabavite kompatibilan upravljački program.

Na podržanom računalu sa sustavom Windows 11 i ažuriranim upravljačkim programima dugoročno je uglavnom bolje ostaviti integritet memorije uključenim. Dodatna zaštita posebno je vrijedna jer napade na jezgru operacijskog sustava može biti teško otkriti i sanirati njihove posljedice. Ako uključivanje ove značajke uzrokuje znatne probleme s performansama ili onemogućuje rad važnog hardvera, najprije istražite dostupna ažuriranja i kompatibilnost prije nego što odlučite isključiti zaštitu. Odluka bi se trebala temeljiti na stvarnom ponašanju vašeg računala, a ne na općenitim tvrdnjama da značajka uvijek povećava sigurnost bez ikakvih nedostataka ili da uvijek smanjuje performanse u igrama. Redovito ažurirajte Windows i upravljačke programe, izrađujte sigurnosne kopije podataka i koristite pouzdan sigurnosni softver bez obzira na stanje ove postavke. Integritet memorije najučinkovitiji je kada se koristi kao dio sveobuhvatne zaštite računala.