CPU保護特権リングとは何ですか？

Microsoftは、Windows10バージョン1803以降のカーネルメモリに強力な保護を導入しました。

最も注目すべきものの中には、カーネルDMA保護がありました。全体的な機能は、ダイレクトメモリアクセス（DMA）攻撃、特にPCIホットプラグを介して実装された攻撃からパーソナルコンピュータを保護するために設計されました。保護範囲はビルド1903で拡張され、M.2スロットなどの内部PCIeポートをカバーします。

Microsoftがこれらのセクターに追加の保護を提供することを選択した主な理由の1つは、PCIデバイスがすでにDMA対応であるためです。この機能により、システムプロセッサの権限を必要とせずに、システムメモリの読み取りと書き込みが可能になります。この特性は、PCIデバイスのパフォーマンスが高い主な理由の1つです。

DMA保護プロセスのニュアンス

Windowsは、入出力メモリ管理ユニット（IOMMU）プロトコルを利用して、許可されていない周辺機器によるDMA操作の実行をブロックします。ただし、ドライバがDMAリマッピングを使用して実行されるメモリ分離をサポートしている場合は、ルールに例外があります。

それでも、追加の権限が必要です。通常、OS管理者はDMA認証を提供するように求められます。関連するプロセスをさらに変更および自動化するために、ITスペシャリストがDmaGuard MDMポリシーを変更して、互換性のないDMAリマッピングドライバーをどのように処理するかを決定できます。

システムにカーネルDMA保護が設定されているかどうかを確認するには、セキュリティセンターを使用して、[メモリアクセス保護]の[コア分離の詳細]で設定を表示します。この機能を備えているのは、Windows10バージョン1803以降にリリースされたオペレーティングシステムのみであることに注意してください。

CPUがリング1と2の特権にほとんど依存しない理由

リング1と2は、主にドライバーとゲストオペレーティングシステムによって使用されます。これらの特権レベルのコードのほとんどは、半再利用されています。そのため、最新のWindowsプログラムの大部分は、システムにカーネルレベルとユーザーレベルの2つのレベルしかないかのように動作します。

とはいえ、VirtualBoxやVirtualMachineなどの仮想化アプリケーションはRing1を利用して動作します。