安全原则
检查保护状态只需要读取 Windows 信息。不要为了让未知设备工作而关闭 IOMMU、Secure Boot、BitLocker 或其他安全控制。
01
Windows 如何限制 DMA
Windows 使用系统 IOMMU 隔离设备的内存访问。支持 DMA Remapping 的驱动可以让设备在被分配的区域内工作；不兼容的外部设备则可能根据登录状态和管理员策略被阻止启动。
这是设备、驱动、固件和操作系统共同形成的保护，不是单独一个 BIOS 开关。
02
安全检查当前状态
方法一：打开“Windows 安全中心”，依次进入“设备安全 → 核心隔离详细信息 → 内存访问保护”。
方法二：运行 msinfo32.exe，在“系统摘要”中查看“内核 DMA 保护”字段。
03
为什么不同电脑显示不同状态
Kernel DMA Protection 需要平台固件正确声明支持，并依赖 IOMMU（Intel VT-d 或 AMD-Vi）、PCIe 控制、Windows 版本和驱动兼容性。显示 Off 或未显示并不自动证明 Windows 故障，也不能证明设备安全。
04
保护范围与限制
Microsoft 说明，Windows Kernel DMA Protection 主要处理操作系统加载后的外部 DMA 风险；启动前的防护由平台固件负责。它也不覆盖所有旧式总线，因此仍需要物理访问控制、可信固件、签名驱动、磁盘加密和资产管理。
05
状态异常时的安全处理
无法确认时应交由组织管理员或授权支持复核。
- 记录主板完整型号、UEFI 版本和 Windows Build
- 依据主板及设备厂商文档核对支持状态
- 只安装正式发布、签名的固件和驱动
- 更新前准备恢复密钥、备份和回滚方案
FAQ
常见问题
01支持的电脑会自动开启 Kernel DMA Protection 吗？
Microsoft 表示，符合完整平台要求的系统通常会自动启用。实际状态仍应通过 Windows 安全中心或系统信息确认。
02显示 Off 是否表示电脑损坏？
不一定。可能是平台、UEFI、IOMMU、ACPI 标志或驱动条件不满足，需要按厂商资料核验。
03Kernel DMA Protection 与 Memory Integrity 相同吗？
不是。它们是不同的 Windows 安全控制，即使都可能出现在设备安全相关界面中。
04它是否保护操作系统启动前的阶段？
Windows 运行期保护从操作系统加载后发挥作用；启动前的 DMA 防护由平台固件负责。
SOURCES