系统常识 Windows 11VBS虚拟化安全性
VBS（基于虚拟化的安全性）隔离什么、开销多大
讲清 VBS 的隔离机制（用 hypervisor 把内核分成可信/不可信区，保护内核与凭据），实际性能开销多大、何时该关，以及与内存完整性的关系。
发布于 2026/11/11
所属频道 Windows 11
结论先行
VBS（Virtualization-Based Security）用一个内置 hypervisor 把内核切成「可信区（HVCI 保护）」与「不可信区」，内核代码与凭据只落在可信区，驱动/恶意代码要动它们必须过 hypervisor 的内存隔离。代价是日常使用几乎无感，个别对延迟敏感的游戏/模拟场景有可测损耗（幅度视硬件而定）——权衡后再决定开关。
它到底隔离什么
| 保护对象 | 机制 |
|---|---|
| 内核代码/数据 | 落在 hypervisor 的隔离内存，普通驱动改不到 |
| 凭据/令牌 | 同区保护，提权攻击面缩小 |
| 驱动行为 | 不可信区的驱动越权访问会被拦 |
内存完整性（HVCI）是 VBS 的一个具体应用；「开 VBS 但没开 HVCI」是部分加固组合。
开销有多大
- 日常办公/网页：基本无感。
- 对 CPU 占用敏感的固定帧率场景（部分 3A/模拟器）：可能有可测差距，幅度视机型与驱动而定。
- 关闭方法：设置 → 隐私和安全性 → 设备安全性 → 内核隔离 → 内存完整性（关），部分版本需重启。
什么时候该关
- 游戏实测掉帧明显、且已排除驱动/散热问题。
- 老驱动/反作弊明确不支持内存完整性。
- 关掉后注意：内核级攻击面变大，网络暴露面大的机器慎关。
怎么查当前状态
- 任务管理器 → 性能 → CPU：看「虚拟化」是否已启用（间接指标）。
- 设置 → 设备安全性 → 内核隔离：看内存完整性开关。
- 个别工具按注册表项读 VBS 状态，口径以系统设置页为准。
操作小结
- VBS = hypervisor 内核隔离，保护内核与凭据。
- 日常开销可忽略，游戏/老驱动场景可关。
- 关在「设备安全性 → 内核隔离」。
- 网络暴露面大的机器关前权衡安全成本。