Configuración de Core Isolation y Memory Integrity en Windows

Si usas Windows 10 o Windows 11, seguro que has visto más de una vez el aviso sobre aislamiento del núcleo e integridad de memoria en Seguridad de Windows con un icono amarillo o verde. Detrás de ese mensaje hay un conjunto de tecnologías bastante potentes que pueden marcar la diferencia entre un sistema bien protegido y un equipo expuesto a malware que ataca al kernel. Puedes consultar cómo mejorar la seguridad en Windows 11 para complementar estas protecciones.

En esta guía vamos a desgranar, con calma y en castellano de a pie, qué son exactamente Core Isolation y Memory Integrity, cómo se relacionan con la seguridad basada en virtualización (VBS), qué implican a nivel de rendimiento, cómo activarlos o desactivarlos desde la interfaz gráfica, la línea de comandos, el Registro, Intune o directivas, y cómo diagnosticar problemas típicos con controladores incompatibles, pantallazos azules o advertencias que no desaparecen.

Qué es el aislamiento del núcleo (Core Isolation) en Windows

Cuando Windows habla de aislamiento del núcleo (Core Isolation) se refiere a un conjunto de mecanismos que crean un entorno protegido y virtualizado alrededor de los procesos más críticos del sistema, especialmente los que funcionan en modo kernel. La idea es que el corazón del sistema operativo quede separado del resto de procesos y de los controladores que se cargan en memoria.

Para conseguir este aislamiento, Windows se apoya en la seguridad basada en virtualización (VBS). VBS utiliza el hipervisor de Windows para levantar un entorno separado de la sesión normal del sistema, que se asume que podría llegar a quedar comprometida. Ese entorno aislado se convierte en una especie de raíz de confianza desde la que se valida qué código puede ejecutarse en el kernel.

En la práctica, Core Isolation hace que el kernel y ciertos procesos de alta seguridad se ejecuten en un espacio de memoria protegido, fuera del alcance directo del software que corre en el sistema operativo “normal”. Si un malware intenta inyectar código en esa zona sensible, la propia arquitectura le corta el paso antes de poder hacer demasiado daño.

Un ejemplo típico: abres un adjunto del correo que contiene malware y este intenta explotar una vulnerabilidad de un controlador para colarse en el kernel. Con aislamiento de núcleo desactivado, el camino está mucho más despejado; con Core Isolation y sus protecciones activas, el código malicioso se queda en la parte “no confiable” del sistema y el impacto se reduce de forma drástica.

Qué es la integridad de memoria (Memory Integrity o HVCI)

Dentro del aislamiento del núcleo, la función estrella es la llamada integridad de memoria, también conocida como HVCI (Hypervisor-Enforced Code Integrity). Esta característica lleva la integridad de código del kernel a ese entorno virtualizado creado por VBS, de forma que el hipervisor vigila qué se ejecuta realmente en modo kernel.

En otras palabras, la integridad de memoria hace que solo se cargue en el kernel código firmado y considerado de confianza. Si un controlador o módulo intenta modificarse, inyectar instrucciones o manipular estructuras internas de memoria del kernel, la protección lo bloquea y en muchos casos provoca un error grave (pantallazo azul) para evitar que el sistema siga funcionando en un estado potencialmente comprometido.

Esta capa de seguridad añade también restricciones a cómo se asigna y gestiona la memoria en modo kernel. Determinadas asignaciones que se sabe que son vectores habituales de ataque quedan limitadas o supervisadas desde el entorno seguro de VBS, reduciendo la superficie de ataque frente a exploits avanzados.

Funciones de seguridad proporcionadas por la integridad de memoria

Además de la validación de código en general, la integridad de memoria protege algunos elementos muy concretos dentro del kernel que suelen ser diana de los atacantes. Entre lo más importante destacan dos aspectos:

• Protección del mapa de bits de Control Flow Guard (CFG) en controladores de modo kernel, para evitar que se manipule el flujo de ejecución legítimo.
• Protección del propio proceso de integridad de código del kernel, de forma que solo otros procesos de confianza con certificados válidos pueden interactuar con él o cargar nuevos módulos.

Todo esto hace que resulte mucho más complicado para el malware alterar las rutas de ejecución del kernel o colar controladores maliciosos que aparentan ser legítimos. Si la protección detecta algo raro en la memoria de modo kernel, el sistema prefiere bloquear antes de dejar que el código malicioso continúe ejecutándose.

Diferencia entre Core Isolation, VBS e Integridad de memoria

Es fácil hacerse un lío con tantos nombres, así que conviene separar conceptos para que quede todo claro y puedas elegir la configuración que más te interese en tu equipo o en tu flota de PCs:

• VBS (Virtualization-Based Security): es la base. Usa el hipervisor para crear un entorno aislado en memoria donde se ejecutan servicios de seguridad.
• Core Isolation (aislamiento de núcleo): nombre comercial que agrupa varios mecanismos que se apoyan en VBS para proteger el kernel y ciertos procesos críticos.
• Memory Integrity (HVCI): componente concreto dentro de Core Isolation que aplica integridad de código estricta en modo kernel, validada desde el entorno VBS.

Se puede tener VBS activado sin habilitar la integridad de memoria, aunque no es lo habitual en equipos modernos con Windows 10/11 y hardware compatible. De hecho, para entornos corporativos se recomienda activar tanto VBS como HVCI siempre que sea posible.

Ventajas de seguridad y coste en rendimiento

La parte positiva de activar Core Isolation e integridad de memoria es evidente: más capas de seguridad en el punto más sensible del sistema. El kernel, los controladores y las rutas críticas de ejecución quedan mucho mejor defendidos frente a rootkits, exploits de día cero y malware que intenta ganar privilegios de sistema.

El inconveniente es que todo este control extra tiene un coste en rendimiento y compatibilidad. Cada vez que se carga un controlador o se hace una operación delicada en el kernel, el hipervisor y la lógica de VBS tienen que validar lo que está ocurriendo. Eso se traduce en más uso de CPU y cierta latencia, especialmente visible en algunos escenarios.

Muchos usuarios han notado que, al activar estas funciones, los FPS en juegos disminuyen o aparecen pequeños tirones donde antes todo iba más fluido. Otros comentan que su PC parece “más pesado” en tareas del día a día, especialmente en máquinas que no van sobradas de recursos o con hardware un poco justo.

Otro efecto secundario posible es que, al activar el aislamiento de núcleo, surjan pantallazos azules o bloqueos al arrancar o durante el uso normal. En la mayoría de los casos, la culpa recae en controladores que no cumplen los requisitos de las nuevas protecciones y que intentan hacer cosas que ahora están vetadas.

En resumen: tienes un nivel de seguridad muy superior, pero a cambio aceptas un cierto impacto en rendimiento y la necesidad de mantener muy al día drivers y firmware (checklist esencial de hardware). En PCs dedicados al juego o a tareas muy exigentes, hay quien prefiere desactivar estas funciones para apurar los recursos al máximo, siempre que compense con buenas prácticas de seguridad.

Activar o desactivar Core Isolation e integridad de memoria desde Seguridad de Windows

La forma más directa para la mayoría de usuarios de gestionar estas opciones pasa por la aplicación Seguridad de Windows, integrada tanto en Windows 10 como en Windows 11. El flujo es prácticamente el mismo en ambas versiones del sistema, con ligeros cambios en los nombres de algunos menús.

En Windows 11 puedes abrir la configuración rápida con Windows + I, ir a Privacidad y seguridad y después a Seguridad de Windows. Desde ahí, pulsa en Abrir Seguridad de Windows y, en el menú de la izquierda, entra en Seguridad del dispositivo. Verás un apartado llamado Aislamiento del núcleo con un enlace de Detalles.

Una vez dentro de los detalles del aislamiento del núcleo, encontrarás el conmutador de Integridad de memoria. Si está desactivado, es probable que veas también un aviso del tipo “la integridad de memoria está desactivada, es posible que el dispositivo sea vulnerable”. Activando el control deslizante, el sistema comenzará a forzar la validación de código en modo kernel.

Además de la integridad de memoria, normalmente verás una opción de lista de controladores vulnerables de Microsoft, que bloquea de forma proactiva drivers problemáticos conocidos por tener agujeros de seguridad. Lo ideal es mantener ambas funciones activas, aunque de nuevo, si te ves con problemas de compatibilidad, quizá toque afinar la configuración.

Al activar la integridad de memoria, Windows te pedirá reiniciar el equipo. Hasta que no se complete ese reinicio, la protección no se aplica realmente y la advertencia de Seguridad de Windows seguirá apareciendo. Tras el arranque, si todo ha salido bien, deberías ver un icono verde junto a Aislamiento del núcleo.

Configuración avanzada vía Registro para VBS e integridad de memoria

En entornos corporativos o cuando quieres forzar la configuración de Core Isolation de forma masiva, es habitual recurrir a claves de Registro y scripts. Windows permite habilitar VBS, bloquearlo por UEFI, exigir ciertas protecciones de plataforma o imponer la integridad de memoria con varios valores específicos.

Las claves relevantes se encuentran bajo HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard y sus subclaves. Desde una consola con privilegios de administrador, se pueden usar comandos reg add para definir los valores deseados en cada escenario (y no olvides hacer copias de seguridad del Registro antes de tocar nada).

Por ejemplo, para activar la configuración recomendada de VBS con integridad de memoria habilitada y sin bloqueo UEFI, se utilizan comandos que establecen EnableVirtualizationBasedSecurity a 1, definen RequirePlatformSecurityFeatures (por ejemplo a 1 para solo arranque seguro, o 3 para arranque seguro y protección DMA), y configuran las claves de HypervisorEnforcedCodeIntegrity con Enabled=1 y Locked=0.

También se puede activar VBS en modo obligatorio mediante el valor Mandatory=1. En este caso, si el hipervisor, el kernel seguro o algún módulo dependiente no llegan a cargarse durante el arranque, el sistema simplemente no continuará arrancando. Es una opción mucho más estricta que conviene probar bien antes de desplegar masivamente.

Otra configuración interesante es la clave WasEnabledBy bajo la subclave de HypervisorEnforcedCodeIntegrity. Si se elimina ese valor, la interfaz gráfica de integridad de memoria se atenúa y aparece el mensaje “This setting is managed by your administrator”, lo que permite bloquear el cambio desde la UI y evitar que el usuario la active o desactive a mano.

Activar Core Isolation e integridad de memoria desde línea de comandos

Si prefieres scripts o necesitas automatizar instalaciones, es muy cómodo activar la integridad de memoria con una sola orden desde un Símbolo del sistema elevado o desde PowerShell. La clave principal es el valor Enabled de la ruta de HVCI en el Registro.

Basta con ejecutar, como administrador, un comando que añada el valor Enabled=1 en HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity. Esa modificación le indica a Windows que debe encender la integridad de memoria en el siguiente arranque.

Una vez aplicado el cambio, es recomendable comprobar que la seguridad basada en virtualización está soportada y operativa. Para ello se puede usar SystemInfo.exe y revisar el apartado de requisitos de Hyper-V: si los campos aparecen en “Sí”, el hardware y la configuración de BIOS/UEFI cumplen las condiciones para trabajar con VBS y Core Isolation; también puedes ver las especificaciones completas de tu PC desde la configuración para mayor seguridad.

Por último, para completar el proceso, hay que reiniciar el equipo. Esto puede hacerse desde el propio símbolo del sistema con un shutdown /r. Tras el reinicio, se verifica el estado en Seguridad de Windows, en Seguridad del dispositivo, para confirmar que la integridad de memoria aparece como activa dentro del aislamiento del núcleo.

Integridad de memoria y App Control para empresas

En organizaciones que utilizan directivas centralizadas, la integridad de memoria también se puede activar como parte de App Control for Business (el antiguo Windows Defender Application Control). Este enfoque permite gestionar HVCI como una opción más dentro de las reglas de aplicaciones permitidas.

Desde el asistente de Control de aplicaciones, se puede crear o editar una directiva y marcar la casilla de “Integridad de código protegida por hipervisor” en la sección de reglas de la política. Esa selección fuerza la habilitación de HVCI en los equipos a los que se aplica la política (reglas personalizadas en AppLocker son un enfoque similar para controlar qué se ejecuta).

Alternativamente, se puede recurrir al cmdlet de PowerShell Set-HVCIOptions para ajustar las opciones de integridad de memoria de forma más granular. Y para quienes editan las políticas en bruto, también es posible modificar directamente el elemento <HVCIOptions> del XML de App Control, estableciendo los valores deseados para el comportamiento de HVCI.

Cómo comprobar si VBS e integridad de memoria están activos

Además del indicador visual en Seguridad de Windows, hay formas más técnicas de comprobar qué capacidades de VBS están disponibles en el equipo y cuáles se están usando realmente. Windows proporciona una clase WMI llamada Win32_DeviceGuard que expone propiedades muy útiles para auditar el estado de estas funciones.

Desde una sesión de PowerShell con privilegios de administrador, se puede lanzar un Get-CimInstance sobre esa clase en el espacio de nombres adecuado. La salida incluye campos como AvailableSecurityProperties, donde se indican las capacidades compatibles (hipervisor, arranque seguro, protección DMA, NX, mitigaciones SMM, MBEC/GMET, virtualización de APIC…), y RequiredSecurityProperties, que enumeran qué requisitos son necesarios para habilitar VBS.

Otros campos importantes son SecurityServicesConfigured y SecurityServicesRunning, que detallan si están configurados o en ejecución Credential Guard, integridad de memoria, protección de inicio seguro, medidas de firmware SMM o la protección de pila aplicada por hardware, entre otros servicios basados en virtualización.

La propiedad VirtualizationBasedSecurityStatus indica claramente si VBS está desactivado, habilitado pero no activo, o habilitado y en ejecución. Y en sistemas con aislamiento de máquinas virtuales reforzado, los campos VirtualMachineIsolation y VirtualMachineIsolationProperties muestran si hay características como AMD SEV-SNP o Intel TDX disponibles.

Si prefieres algo más visual, también se puede usar msinfo32.exe. Ejecutándolo como administrador, en la sección de Resumen del sistema encontrarás, en la parte inferior, un bloque con las características de seguridad basadas en virtualización disponibles y las que están activas en ese momento.

Protección de pila impuesta por hardware y su relación con la integridad de memoria

Además de HVCI, en las versiones recientes de Windows se ha introducido la protección de pila forzada por hardware, una función que aprovecha capacidades de CPU modernas como Intel Control-Flow Enforcement Technology o AMD Shadow Stack para blindar aún más el modo kernel.

Esta característica mantiene una segunda copia de las direcciones de retorno del código de kernel en una pila de sombras de solo lectura. Si un controlador malicioso o un exploit intenta modificar la dirección de retorno en la pila normal para redirigir la ejecución hacia código malicioso, la CPU compara con la copia segura de la pila de sombras y, al detectar la discrepancia, dispara un error grave (BSOD) en lugar de permitir el secuestro del flujo de ejecución.

No todos los controladores son compatibles con esta función, porque hay un pequeño número de drivers legítimos que modifican direcciones de retorno por motivos no maliciosos. Por eso, Microsoft lleva tiempo trabajando con los fabricantes para actualizar sus controladores e ir ampliando la lista de los que pueden convivir sin problemas con la protección de pila impuesta por hardware.

En la interfaz de Seguridad de Windows, esta protección suele aparecer como otra opción con botón de alternancia. Para poder activarla, es obligatorio que la integridad de memoria esté habilitada y que la CPU sea compatible con las tecnologías de control de flujo correspondientes.

Si el sistema detecta un controlador o servicio incompatible, mostrará un aviso indicando qué elemento está bloqueando la activación. En ese caso, lo recomendable es buscar una versión actualizada del driver, desinstalar la aplicación asociada o, en última instancia, valorar si merece la pena prescindir de esa pieza de software para poder habilitar la capa extra de seguridad.

Desactivar avisos de integridad de memoria y problemas con el icono amarillo

Algo que suele desesperar a más de un administrador es ver que, aunque haya decidido desactivar la integridad de memoria por política, sigue apareciendo un icono de advertencia amarillo en Seguridad de Windows que obliga a entrar en la configuración local y descartar el mensaje con permisos de administrador.

Este comportamiento no siempre se controla directamente con las mismas claves de Registro que encienden o apagan HVCI. De hecho, hay casos en los que, aun estando el valor Enabled a 0, la aplicación sigue insistiendo en que la función está desactivada y muestra la advertencia como si esperara que se activara.

Para entornos gestionados con Intune, GPO u otras herramientas de administración (directivas de seguridad), la vía recomendada suele ser establecer políticas que definan explícitamente el estado deseado de Core Isolation y ocultar o atenuar la interfaz de usuario donde sea posible. Como se mencionaba antes, eliminar o ajustar el valor WasEnabledBy puede hacer que aparezca el mensaje de “esta configuración está administrada por el administrador”, reduciendo la interacción del usuario.

Aun así, no todas las advertencias son suprimibles con facilidad y, en algunas configuraciones, el icono amarillo es básicamente la forma que tiene Seguridad de Windows de recordarte que estás desactivando voluntariamente una capa de protección. En ese contexto, la solución real pasa por asumir el aviso o reconfigurar la política de seguridad para que el sistema deje de considerar recomendable la activación.

Solución de problemas comunes con Core Isolation e integridad de memoria

Si al activar estas funciones empiezan los dolores de cabeza, lo habitual es que haya algún controlador desactualizado o incompatible intentando hacer cosas que ya no están permitidas. Empezar por el Administrador de dispositivos y actualizar drivers desde el fabricante suele resolver una buena parte de las incidencias; además, aplicar prácticas de seguridad para Windows reduce las probabilidades de encontrarte con controladores problemáticos.

Cuando el problema es más grave y el sistema sufre errores críticos durante el arranque o queda muy inestable después de habilitar la integridad de memoria, una opción es acudir al Entorno de recuperación de Windows (Windows RE). Antes de nada conviene deshabilitar las directivas que fuerzan VBS/HVCI (por ejemplo, a través de directiva de grupo) para que no se vuelvan a aplicar automáticamente.

Desde Windows RE se puede cargar el Registro del sistema afectado y modificar directamente la clave de HypervisorEnforcedCodeIntegrity para establecer Enabled=0. Con eso se apaga la integridad de memoria, y tras reiniciar el dispositivo normalmente debería arrancar sin esa capa de protección (si necesitas ver cómo reparar el Registro de Windows ahí tienes instrucciones útiles).

Es importante tener en cuenta que, aunque desactives HVCI, puede que VBS siga habilitado si las claves de DeviceGuard siguen configuradas o si hay otras funciones como Credential Guard activas. Revisar todas las entradas de DeviceGuard, así como las políticas de seguridad aplicadas, ayuda a entender qué está quedando en marcha y qué no.

Uso de integridad de memoria en máquinas virtuales Hyper-V

La integridad de memoria no es una función exclusiva de máquinas físicas. También puede proteger máquinas virtuales de Hyper-V de la misma manera que lo haría con un equipo tradicional, siempre que se cumplan ciertos requisitos tanto en el host como en el invitado.

Para empezar, el host de Hyper-V debe ejecutar al menos Windows Server 2016 o Windows 10 versión 1607. Además, la máquina virtual debe ser de generación 2 y tener como sistema operativo invitado una versión moderna de Windows (Server 2016 o Windows 10/11).

Desde dentro de la propia máquina virtual, los pasos para activar Core Isolation e integridad de memoria son prácticamente los mismos que en un PC físico: se usa Seguridad de Windows, se accede a Seguridad del dispositivo y se ajusta la configuración de aislamiento del núcleo.

Hay que tener en cuenta, eso sí, que la integridad de memoria protege solo frente al malware que se ejecuta en la máquina virtual invitada. El administrador del host conserva el control absoluto y puede, por ejemplo, deshabilitar la seguridad basada en virtualización para una VM concreta con un comando de Set-VMSecurity, obligando a que la máquina invitada no utilice VBS.

También existen limitaciones de compatibilidad: los adaptadores de canal de fibra virtual no están soportados cuando se usa integridad de memoria. Antes de conectar uno de estos adaptadores a una máquina virtual, hay que excluirla de VBS. De forma similar, la opción AllowFullSCSICommandSet en discos de paso a través tampoco es compatible con HVCI, por lo que, si se necesita esa funcionalidad, habrá que renunciar a la seguridad basada en virtualización en esa VM.

Cuándo conviene activar o desactivar Core Isolation

Con toda esta información sobre la mesa, toca hacerse la pregunta práctica: ¿dejo Core Isolation activado o lo quito?. La respuesta, como casi siempre en seguridad, depende del equilibrio que quieras entre protección y rendimiento, y del tipo de uso que hagas del equipo.

Si el ordenador se usa para navegar con frecuencia por webs de procedencia dudosa, descargar muchos archivos, instalar software poco conocido o se comparte en entornos como oficinas, colegios o bibliotecas, es muy recomendable mantener la integridad de memoria y el aislamiento del núcleo activos, y complementar con un buen antivirus como el propio Microsoft Defender.

En cambio, si el PC está orientado sobre todo a jugar y has comprobado que al activar estas funciones aparecen caídas de FPS, microcortes o incluso pantallazos azules ligados a drivers, puedes plantearte desactivarlas para rascar algo de rendimiento. Eso sí, conviene compensar aplicando buenas prácticas básicas de seguridad: no abrir adjuntos sospechosos, evitar webs poco fiables y mantener siempre actualizado el sistema.

Para equipos que ejecutan tareas muy críticas, que almacenan información sensible o que forman parte de infraestructuras más complejas, el enfoque habitual en empresas es justo el contrario: activar VBS, HVCI y, si es posible, protección de pila por hardware, revisar compatibilidad de controladores y asumir el ligero coste en recursos como precio a pagar por una defensa reforzada.

Conocer a fondo cómo funcionan Core Isolation y la integridad de memoria, qué implicaciones tienen sobre tu hardware y qué opciones de configuración ofrecen a través de la interfaz gráfica, el Registro, las directivas y las herramientas de administración remota, te permite ajustar Windows a tu forma de trabajar sin ir a ciegas y decidir con criterio hasta qué punto quieres blindar el kernel de tu sistema.