Настройка ELAM в Windows

Краткое определение

ELAM — компонент Windows, запускаемый до остальных драйверов во время загрузки, который классифицирует драйверы как хорошие, неизвестные или плохие; классификация влияет на решение ядра о загрузке драйвера.

Зачем менять политику загрузки драйверов

Изменение политики полезно, когда ELAM блокирует нужный драйвер (например, устаревший диск или контроллер) или когда требуется повысить защиту от загрузочного ПО. Неправильная настройка может привести к невозможности загрузки системы, поэтому изменения должны выполнять опытные администраторы.

Важно: перед изменением создайте точку восстановления системы или резервную копию реестра. Восстановление из среды восстановления (WinRE) может потребоваться при ошибках загрузки.

Варианты поведения ELAM — кратко

Good only — загружать только подписанные и неизменённые драйверы.
Good and unknown — загружать подписанные и те, которые не классифицированы антивирусом.
Good, unknown and bad but critical — загружать также известные «плохие», если они критичны для загрузки.
All — загружать все драйверы без учёта классификации.

Настройка политики через Group Policy (Editor)

Этот способ наиболее удобен для локальных или доменных администраторов.

Откройте редактор локальной групповой политики: найдите gpedit.msc в меню Пуск и запустите.
Перейдите: Computer Configuration -> Administrative Templates -> System -> Early Launch Antimalware.
В правой панели дважды щёлкните политику Boot-Start Driver Initialization.

Окно редактора групповой политики с политикой Boot-Start Driver Initialization

В свойствах выберите Enabled. В секции Options появится выпадающий список. Выберите нужный режим и нажмите Apply, затем OK.

Настройка параметра Boot-Start Driver Initialization — выбор режима и включение политики

Перезагрузите систему, чтобы изменения вступили в силу.

Чтобы отменить настройку, откройте ту же политику и установите Disabled или Not configured.

Настройка через реестр (Regedit)

Если у вас нет доступа к Group Policy (например, в Windows Home) — используйте реестр.

Запустите regedit через поиск в меню Пуск и перейдите к ветке:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies\

Щёлкните правой кнопкой по Policies -> New -> Key и создайте ключ EarlyLaunch.

Создание ключа EarlyLaunch в реестре

В правой панели создайте новое значение DWORD (32-bit) и назовите его DriverLoadPolicy.

Создание DWORD DriverLoadPolicy

Дважды щёлкните DriverLoadPolicy и в поле Value data введите одно из значений, соответствующее выбранному режиму:

Good only — 8
Good and unknown — 1
Good, unknown and bad but critical — 3
All — 7

Ввод значения DriverLoadPolicy в реестре

Перезагрузите компьютер — изменения применятся автоматически.

Чтобы вернуть поведение по умолчанию, удалите значение DriverLoadPolicy под ключом EarlyLaunch.

Таблица соответствия режимов и значений реестра

Режим	Описание	Значение в DriverLoadPolicy
Только хорошие	Загружать подписанные и неповреждённые драйверы	8
Хорошие и неизвестные	Дополнительно: драйверы, не классифицированные антивирусом	1
Хорошие, неизвестные и критически плохие	Также разрешены известные плохие, если они необходимы для загрузки	3
Все	Загружать все драйверы независимо от статуса	7

Альтернативные подходы и автоматизация

PowerShell/Командная строка: можно создать/изменить ключ реестра командами reg.exe или PowerShell (Set-ItemProperty). Пример (от имени администратора):

reg add "HKLM\SYSTEM\CurrentControlSet\Policies\EarlyLaunch" /v DriverLoadPolicy /t REG_DWORD /d 8 /f

Централизованное управление: используйте Microsoft Intune / SCCM / GPO для развертывания настроек в домене.
Временное устранение проблемы: загрузка в безопасном режиме или с внешнего носителя, откат драйвера/удаление проблемного драйвера.

Когда этот метод не работает (ограничения и контрпримеры)

На устройствах с кастомным UEFI-разделом или включённой опцией Secure Boot, проблема может требовать обновления подписи драйвера (driver signing) или изменения настроек контроллера UEFI.
Если драйвер встроен в образ загрузки или загружается до применения политики (редкий случай), изменение политики не поможет.
При дефекте аппаратного контроллера загрузка может завершаться ошибкой независимо от настроек ELAM.

Модель принятия решений — простая эвристика

Если система не загружается после изменения — откатите значение DriverLoadPolicy или загрузитесь в WinRE и удалите параметр.
Если блокируется конкретный драйвер производителя — обновите драйвер или получите подписанную версию от вендора.
Для максимальной безопасности используйте режим «Good only» на рабочих станциях с критическими данными; для совместимости серверов временно применяйте «Good, unknown and bad but critical» только после анализа риска.

Риск‑матрица и меры смягчения

Риск	Вероятность	Влияние	Меры смягчения
Невозможность загрузки	Средняя	Высокое	Создать точку восстановления, иметь загрузочный носитель, инструкция по восстановлению через WinRE
Блокировка важного драйвера	Средняя	Среднее	Перейти в режим с поддержкой unknown/critical, получить исправленный драйвер от производителя
Уменьшение безопасности (режим All)	Низкая	Высокое	Ограничить применение режима All только при диагностике; мониторинг и логирование

Чек-листы по ролям

Администратор системы:

Создать точку восстановления/резервную копию реестра.
Тестировать изменение в лаборатории или на тестовой машине.
Развернуть политику через GPO/Intune.

Служба поддержки:

Идентифицировать конкретный драйвер, который блокируется.
Связаться с вендором для получения подписанного обновления.
Временно изменить политику, если необходимо восстановить работу.

Обычный пользователь:

Не менять настройки без инструкции от администратора.
Сообщать о сбоях загрузки и передавать данные поддержки.

Критерии приёмки

Система корректно загружается после изменения политики.
Не произошло непреднамеренной загрузки вредоносных драйверов (проверено средствами безопасности).
Все критичные устройства функционируют в ожидаемом режиме.

Быстрые тесты и приёмочные сценарии

Применить политику, перезагрузить и проверить журнал событий Windows на сообщения ELAM.
Установить тестовый неподписанный драйвер в контролируемой среде и проверить, блокируется ли он в выбранном режиме.

Шаблон действий (минимальная методология)

Создайте точку восстановления и снимите резервную копию реестра.
Примените настройку на тестовой машине.
Проведите тестовые перезагрузки и функциональные проверки устройств.
Разверните изменение на проде через GPO/MDM.
Мониторьте события и откатывайте при ошибках.

Краткое резюме

ELAM помогает защищать загрузку Windows, классифицируя драйверы до запуска ядра. Доступно четыре режима контроля загрузки. Изменяйте настройки только при полной уверенности и с планом отката. Для доменных сред используйте Group Policy, а для одиночных машин — редактирование реестра или команды reg.

Изображение любезно предоставлено: Dell XPS 15 (9550) Non-Touch

Также читайте: 7 лучших инструментов для расшифровки вымогательского ПО; Как загрузиться в UEFI напрямую из Windows 10; Что такое файл hosts в Windows и как его редактировать