Microsoft comenzará en octubre a ampliar la protección de integridad de memoria en Windows 11, reforzando la seguridad de una de las zonas más sensibles del sistema operativo: el kernel. La función se apoya en Virtualization-based Security (VBS) para utilizar la virtualización por hardware y crear entornos aislados donde determinados componentes críticos quedan separados del resto del sistema.
El cambio está diseñado para funcionar de forma prácticamente transparente, sin exigir configuraciones adicionales a la mayoría de usuarios. Microsoft mantendrá además las políticas y decisiones existentes, por lo que los equipos donde la integridad de memoria se encuentre actualmente deshabilitada no pasarán a tenerla activada automáticamente con el despliegue de octubre.
Windows 11 utiliza VBS para proteger el kernel mediante aislamiento
La base de esta protección es Virtualization-based Security, una tecnología que aprovecha las capacidades de virtualización presentes en los procesadores modernos para crear una región protegida y separada del entorno habitual de Windows. De esta forma, determinados procesos relacionados con la seguridad pueden ejecutarse aislados del resto del sistema operativo.
El planteamiento parte de una premisa especialmente importante: el propio kernel puede llegar a verse comprometido. En lugar de confiar únicamente en que el núcleo del sistema permanezca intacto, Microsoft utiliza el hipervisor para establecer barreras adicionales que dificulten que un atacante pueda manipular componentes críticos incluso después de superar otras protecciones.
La integridad de memoria aprovecha precisamente este aislamiento para proteger la ejecución de código a nivel de kernel. Su objetivo es impedir que código malicioso o no autorizado pueda modificar determinadas áreas protegidas, reduciendo el riesgo frente a ataques avanzados, controladores manipulados y técnicas destinadas a elevar privilegios dentro del sistema.
Todo este mecanismo funciona prácticamente en segundo plano. El usuario no necesita configurar máquinas virtuales ni administrar entornos independientes, ya que Windows 11 utiliza directamente las capacidades de virtualización del hardware para mantener separadas estas zonas críticas.
Microsoft podrá aplicar más correcciones de seguridad sin reiniciar Windows
El uso de VBS también forma parte de la estrategia de Microsoft para ampliar las capacidades de hotpatching, permitiendo instalar determinadas correcciones de seguridad mientras el sistema continúa funcionando y sin necesidad de realizar inmediatamente un reinicio completo.
Esta posibilidad resulta especialmente importante en equipos empresariales y sistemas destinados a tareas críticas, donde detener una máquina para completar una actualización puede provocar interrupciones en servicios o cargas de trabajo que necesitan permanecer disponibles durante largos periodos.
El hotpatching no significa que todas las actualizaciones de Windows 11 vayan a instalarse sin reiniciar el equipo, ya que dependerá del tipo de corrección y del entorno donde se aplique. Sin embargo, disponer de una arquitectura apoyada en VBS facilita que Microsoft pueda desplegar más parches de seguridad sin interrumpir constantemente el funcionamiento del sistema.
Para las grandes organizaciones con flotas de dispositivos administrados, el proceso también debería resultar sencillo. Las políticas y decisiones existentes seguirán siendo válidas, evitando que el nuevo despliegue modifique configuraciones establecidas previamente por los administradores.
Los equipos con la integridad de memoria desactivada no la recibirán automáticamente
Este es uno de los puntos más importantes del despliegue previsto para octubre. Microsoft no sobrescribirá las decisiones que ya hayan tomado los usuarios o administradores sobre la integridad de memoria.
Si la función se encuentra actualmente deshabilitada en un dispositivo, Windows 11 no la activará automáticamente como consecuencia de este despliegue. Esto permite mantener configuraciones específicas en equipos donde exista algún problema de compatibilidad, determinados controladores requieran un comportamiento concreto o simplemente se haya establecido una política diferente.
En los sistemas compatibles donde la protección permanezca habilitada, Windows podrá aprovechar VBS y la virtualización por hardware de forma predeterminada, sin necesidad de intervención continua por parte del usuario.
La integridad de memoria seguirá pudiendo desactivarse desde las opciones correspondientes de Windows, aunque hacerlo elimina una de las capas destinadas a proteger las partes más sensibles del sistema operativo. Para la mayoría de usuarios, Microsoft pretende que esta tecnología funcione automáticamente y permanezca prácticamente invisible.
Windows 11 continúa trasladando parte de su seguridad directamente al hardware
La ampliación de la integridad de memoria encaja con la estrategia que Microsoft lleva tiempo aplicando en Windows 11: utilizar cada vez más funciones proporcionadas por el propio hardware para reforzar la seguridad, incluyendo TPM, Secure Boot, virtualización y aislamiento mediante hipervisor.
El objetivo es evitar que comprometer una única capa del sistema permita automáticamente acceder al resto. Mediante VBS, determinados recursos continúan aislados incluso aunque un atacante consiga superar previamente otras barreras de seguridad, elevando considerablemente la dificultad de determinados ataques.
A partir de octubre, Microsoft ampliará estas protecciones entre las instalaciones compatibles de Windows 11, pero sin imponerlas sobre configuraciones donde hayan sido deshabilitadas previamente. La compañía busca así reforzar la seguridad por defecto sin eliminar el control de administradores y usuarios sobre sus propios dispositivos.
Vía: TechPowerUp
