Энциклопедия архитектуры и структур ядра Windows NT

Справочник по ключевым низкоуровневым концепциям, структурам данных, регистрам CPU, таблицам дескрипторов и подсистемам ядра Windows NT.

Категория:

Слой ОС:

Найдено терминов: 91 из 91

Reset VectorHardware / Firmware

Reset Vector 0xFFFFFFF0 (Аппаратный вектор сброса процессора)

Физический адрес (0xFFFFFFF0), с которого любой x86/x64 процессор начинает исполнение первой машинной инструкции после подачи питания или сигнала RESET.

Структура / Регистр:CS:EIP = 0xF000:0xFFF0 (Base 0xFFFF0000)

Где находится:Кремниевый кристалл CPU (жестко зашитая логика микрокода) + чип SPI Flash ROM на материнской плате

Находится ровно на 16 байт ниже границы 4 ГБ физического адресного пространства. Содержит 16-байтную инструкцию безусловного перехода (JMP) в основной блок прошивки UEFI/BIOS. Запросы по этому адресу аппаратно направляются чипсетом в микросхему SPI Flash ROM, так как DRAM ещё не инициализирована.

Связанные термины:REAL_MODEPROTECTED_MODECARSECUEFI

Real ModeHardware / Firmware

Real Address Mode (16-битный реальный режим процессора x86)

Базовый 16-битный режим совместимости с процессором Intel 8086, в котором любой x86/x64 процессор начинает работу после сброса.

Структура / Регистр:CR0.PE = 0

Где находится:Аппаратный исполнительный конвейер кремниевого кристалла CPU

Ограничен 1 МБ адресуемой памяти (20-битная сегментная адресация: Сегмент * 16 + Смещение). Полностью отсутствует аппаратная защита памяти и кольца привилегий: любой код может перезаписать память любого другого компонента. Фаза SEC в UEFI практически мгновенно переводит процессор из Real Mode в 32-битный Protected Mode.

Связанные термины:RESET_VECTORPROTECTED_MODELONG_MODECR0GDT

Protected ModeHardware / Firmware

Protected Virtual Address Mode (32-битный защищённый режим)

32-битный режим процессора x86 с аппаратной изоляцией памяти, кольцами привилегий (Rings 0–3), таблицами GDT/IDT и поддержкой виртуальной страничной памяти (Paging).

Структура / Регистр:CR0.PE = 1

Где находится:Блок управления памятью (MMU) и регистры защиты внутри кристалла CPU

Включается установкой бита PE (Protection Enable, бит 0) в регистре управления CR0. Позволяет адресовать до 4 ГБ плоской памяти, разграничивать доступ ядра (Ring 0) и приложений (Ring 3) и генерировать аппаратные исключения (#GP) при несанкционированном доступе.

Связанные термины:REAL_MODELONG_MODECR0GDTIDTPAGE_FAULT

Long ModeHardware / Firmware

IA-32e / AMD64 Long Mode (64-битный режим процессора)

Основной 64-битный режим работы современных операционных систем (Windows NT x64), расширяющий регистры до 64 бит и поддерживающий до 256 ТБ адресного пространства.

Структура / Регистр:IA32_EFER.LME / CR4.PAE

Где находится:64-битный регистровый файл и исполнительные конвейеры ядра CPU

Активируется установкой бита EFER.LME (Long Mode Enable) в MSR 0xC0000080 и включением страниц памяти (CR0.PG=1, CR4.PAE=1). Использует 4-уровневую (PML4) или 5-уровневую (PML5) трансляцию страниц, NX-бит защиты от выполнения и 16 регистров общего назначения (RAX-R15).

Связанные термины:PROTECTED_MODEREAL_MODECR3PTENX_BIT

CR0Hardware / Firmware

Control Register 0 (Регистр управления процессора CR0)

Ключевой системный регистр процессора x86/x64, управляющий режимами работы процессора (Real Mode / Protected Mode), страничной памятью и кэшированием.

Структура / Регистр:CR0 (Bits: PE, MP, EM, TS, NE, WP, AM, NW, CD, PG)

Где находится:Системный регистр управления на кремниевом кристалле процессора (CPU)

Бит 0 (Protection Enable) переключает процессор в защищенный режим. Бит 31 (Paging) включает трансляцию виртуальных страниц. Бит 16 (Write Protect) запрещает ядру Ring 0 запись в страницы, помеченные как read-only.

Связанные термины:PROTECTED_MODECR3CR4REAL_MODE

SSDTRing 0 (Kernel/HAL)

System Service Descriptor Table (Таблица дескрипторов системных сервисов)

Таблица указателей на функции ядра (syscalls), вызываемые через инструкцию syscall (x64) или sysenter (x86).

Структура / Регистр:KSERVICE_TABLE_DESCRIPTOR (_KSERVICE_TABLE_DESCRIPTOR)

Windows использует массив KeServiceDescriptorTable. В x64 таблица содержит 32-битные относительные смещения (сдвинутые вправо на 4 бита) относительно базы KiServiceTable, что защищает указатели от простого хукинга. Также существует KeServiceDescriptorTableShadow для вызовов win32k.sys (GDI/USER).

Связанные термины:IDTSYSCALLKPCRKiSystemService

IDTHardware / Firmware

Interrupt Descriptor Table (Таблица дескрипторов прерываний)

Аппаратная таблица ЦП x86/x64, содержащая шлюзы прерываний, исключений (Page Fault, Double Fault) и аппаратных векторов IRQ.

Структура / Регистр:IDTR / KIDTENTRY64

Где находится:Физическая оперативная память DRAM (адресуется аппаратным регистром IDTR внутри CPU)

Регистр IDTR загружается инструкцией LIDT (в функции KiInitializeIdt / KiSystemStartup). Содержит 256 дескрипторов (по 16 байт в x64), указывающих на обработчики исключений (например, KiPageFault, KiBreakpointTrap, KiDoubleFaultAbort).

Связанные термины:GDTTSSKPCRIRQLDPC

GDTHardware / Firmware

Global Descriptor Table (Глобальная таблица дескрипторов)

Таблица процессора, определяющая сегменты памяти (CS, DS, SS, GS, FS) и дескрипторы TSS в защищенном и Long Mode режимах.

Структура / Регистр:GDTR / KGDTENTRY64

Где находится:Физическая оперативная память DRAM (адресуется аппаратным регистром GDTR внутри CPU)

В x64 сегментация сведена к минимуму (базовый адрес 0 для большинства сегментов), однако GDT по-прежнему критически необходима для переключения уровней привилегий (CPL: Ring 0 <-> Ring 3) и загрузки селектора TSS (Task State Segment). Загружается через LGDT.

Связанные термины:IDTTSSKPCRCR3

TSSHardware / Firmware

Task State Segment (Сегмент состояния задачи)

Структура x86/x64, используемая процессором для хранения указателей стеков разных колец привилегий (RSP0, RSP1, RSP2) и таблицы IST.

Структура / Регистр:KTSS64 / Task Register (TR)

Где находится:Физическая оперативная память DRAM (селектор хранится в регистре Task Register TR процессора)

В 64-битном режиме Windows TSS используется для хранения стека ядра (RSP0), на который ЦП переключается при переходе Ring 3 -> Ring 0, а также таблицы IST (Interrupt Stack Table) из 7 выделенных стеков для критических исключений (Double Fault, NMI, Machine Check).

Связанные термины:GDTIDTKPCRIST

KPCRRing 0 (Kernel/HAL)

Kernel Processor Control Region (Структура управления процессором ядра)

Специфичная для каждого логического ядра процессора структура, описывающая состояние CPU, базы GDT/IDT/TSS и указатель на KPRCB.

Структура / Регистр:_KPCR (gs:[0x0])

В архитектуре x64 доступ к KPCR осуществляется через сегментный регистр GS (базовый адрес MSR 0xC0000101). Структура KeGetPcr() возвращает адрес KPCR текущего логического процессора. Включает в себя KPRCB (Processor Control Block).

Связанные термины:KPRCBIDTGDTCR3

KPRCBRing 0 (Kernel/HAL)

Kernel Processor Control Block (Блок управления процессором ядра)

Внутренняя структура ядра, содержащая состояние планировщика потоков (CurrentThread, NextThread, IdleThread), очереди DPC, очереди ожидания и статистику CPU.

Структура / Регистр:_KPRCB (gs:[0x180])

Располагается сразу внутри или за KPCR (доступ через gs:[0x180] или KeGetCurrentPrcb()). Содержит очереди очередей готовности (ReadyListHead), текущий поток (CurrentThread), маску аффинитета, счетчики прерываний и таймеров.

Связанные термины:KPCRDPCAPCKTHREAD

CR3Hardware / Firmware

Control Register 3 / PML4 Directory Table Base (Регистр управления CR3)

Регистр процессора, содержащий физический адрес корневой таблицы трансляции страниц памяти (PML4 в 4-уровневой или PML5 в 5-уровневой подсистеме).

Структура / Регистр:CR3 / EPROCESS.Pcb.DirectoryTableBase

Где находится:Системный регистр в блоке MMU (Memory Management Unit) на кристалле CPU

Каждый процесс в Windows имеет собственное значение DirectoryTableBase (CR3). При переключении контекста потока (KiSwapContext / KiSwapProcess) ядро загружает новый адрес CR3, мгновенно переключая виртуальное адресное пространство на таблицы страниц целевого процесса.

Связанные термины:PTEPDEPFNVAD

IRPRing 0 (Kernel/HAL)

I/O Request Packet (Пакет запроса ввода-вывода)

Основная структура подсистемы I/O Manager в Windows, представляющая асинхронный запрос на операцию ввода-вывода к драйверам устройств.

Структура / Регистр:_IRP / _IO_STACK_LOCATION

Драйверы обрабатывают IRP через стек слоев (Driver Stack / Device Objects). IRP содержит заголовок и стек параметров IO_STACK_LOCATION для каждого драйвера в цепочке. Создается через IoAllocateIrp / IoBuildAsynchronousFsdRequest.

Связанные термины:MDLDPCHALPnP

MDLRing 0 (Kernel/HAL)

Memory Descriptor List (Список дескрипторов памяти)

Структура, описывающая физические страницы оперативной памяти (массив PFN), занятые виртуальным буфером.

Структура / Регистр:_MDL (MappedSystemVa, ByteCount, ByteOffset)

Используется для прямого доступа к памяти (DMA) и безопасной передачи буферов между пользовательским пространством и ядром/драйверами без двойного копирования. Управляется функциями MmProbeAndLockPages, MmMapLockedPagesSpecifyCache, MmUnlockPages.

Связанные термины:IRPPFNMmInitSystem

APCRing 0 (Kernel/HAL)

Asynchronous Procedure Call (Асинхронный вызов процедуры)

Механизм выполнения функций в контексте конкретного целевого потока (на уровне Kernel APC или User APC).

Структура / Регистр:_KAPC / KiDeliverApc

Специальные ядерные APC (Special Kernel APC) используются менеджером памяти и подсистемой I/O для завершения операций ввода-вывода. Доставляются функцией KiDeliverApc при понижении IRQL ниже APC_LEVEL (IRQL 1).

Связанные термины:DPCIRQLKTHREAD

DPCRing 0 (Kernel/HAL)

Deferred Procedure Call (Отложенный вызов процедуры)

Механизм отложенного выполнения низкоприоритетной части обработки прерываний на уровне IRQL DISPATCH_LEVEL (IRQL 2).

Структура / Регистр:_KDPC / KiRetireDpcList

Когда ISR (Interrupt Service Routine) драйвера завершает критические действия с железом на высоком DIRQL, он ставит DPC в очередь (через KeInsertQueueDpc). Процессор обрабатывает очередь DPC (KiRetireDpcList) на уровне DISPATCH_LEVEL, освобождая шину прерываний.

Связанные термины:APCIDTIRQLKPRCB

HALRing 0 (Kernel/HAL)

Hardware Abstraction Layer (Слой аппаратных абстракций)

Низкоуровневая динамическая библиотека (hal.dll / halacpi.dll), изолирующая ядро Windows от архитектурных различий материнских плат, чипсетов и контроллеров прерываний (APIC/IOAPIC).

Структура / Регистр:hal.dll / HalInitSystem

Инициализируется в 2 фазы: HalInitSystem(0) на фазе 0 (ранняя настройка таймеров и базового APIC) и HalInitSystem(1) на фазе 1 (настройка шин PCI/ACPI, IOMMU и контроллеров питания).

Связанные термины:KPCRIDTIOMMU

ELAMRing 0 (Kernel/HAL)

Early Launch Anti-Malware (Ранний запуск антивредоносного ПО)

Специальный тип драйверов безопасности, загружаемый загрузчиком winload.efi до инициализации всех остальных драйверов сторонних производителей.

Структура / Регистр:SERVICE_BOOT_START (ELAM Hive Classification)

ELAM-драйверы получают управление первыми и классифицируют остальные загрузочные драйверы на Good, Bad, Unknown. Если драйвер помечен как вредоносный, ядро блокирует его инициализацию на раннем этапе загрузки.

Связанные термины:VBSHVCISecure Boot

VBSRing -1 (Hypervisor)

Virtualization-Based Security (Безопасность на основе виртуализации)

Технология изоляции Windows, использующая гипервизор Hyper-V для создания защищенных виртуальных уровней доверия (VTL 0 и VTL 1).

Структура / Регистр:Hyper-V / VTL0 vs VTL1 / SLAT (EPT/NPT)

Обычная Windows (ядро и приложения) работает в VTL 0. Изолированное защищенное ядро (Secure Kernel, securekernel.exe) и изолированный процесс LSA (Credential Guard) работают в VTL 1, полностью защищенные даже при компрометации Ring 0 в VTL 0.

Связанные термины:HVCIELAMSecure Boot

HVCIRing -1 (Hypervisor)

Hypervisor-Protected Code Integrity (Целостность кода, защищенная гипервизором / Memory Integrity)

Функция безопасности VBS, запрещающая исполнение неподписанного или измененного кода в пространстве ядра Windows с помощью аппаратной виртуализации (SLAT / Second Level Address Translation).

Структура / Регистр:SLAT Page Tables / CI.dll / VTL1

Где находится:Гипервизор (VTL 1) / Аппаратные таблицы SLAT в RAM

Гипервизор контролирует биты прав доступа на страницах памяти ядра (Write XOR Execute). Страница не может быть одновременно доступна на запись и исполнение, что предотвращает инъекцию шеллкода в Ring 0.

Связанные термины:VBSELAM

BCDHardware / Firmware

Boot Configuration Data (Данные конфигурации загрузки)

Иерархическая база данных параметров загрузки Windows (в формате куста реестра), заменившая устаревший файл boot.ini.

Структура / Регистр:BCD Registry Hive / BmOpenBootConfigurationDataStore

Где находится:NVRAM или раздел EFI (файл на накопителе)

Хранится в файле `\EFI\Microsoft\Boot\BCD` (на EFI-разделе) или `\Boot\BCD` (на MBR). Содержит GUID-записи для Boot Manager, Winload, тестов памяти и параметров ядра (safeboot, testsigning, debug, noexecute).

Связанные термины:bootmgrwinload

PEBRing 3 (User-mode)

Process Environment Block (Блок окружения процесса)

Пользовательская структура в памяти каждого процесса, содержащая параметры запуска, список загруженных DLL (Ldr), кучи и флаги отладки.

Структура / Регистр:_PEB (gs:[0x60] in x64 / fs:[0x30] in x86)

Доступна из пользовательского режима (в x64 через gs:[0x60]). Содержит структуру PEB_LDR_DATA со списками модулей (InLoadOrderModuleList, InMemoryOrderModuleList), переменные окружения ProcessParameters и флаг BeingDebugged.

Связанные термины:TEBEPROCESSsmsscsrss

TEBRing 3 (User-mode)

Thread Environment Block (Блок окружения потока)

Пользовательская структура для каждого потока, содержащая указатель на PEB, фреймы исключений (SEH), локальное хранилище потока (TLS) и код последней ошибки (LastErrorValue).

Структура / Регистр:_TEB (gs:[0x30] in x64)

Доступна в пользовательском режиме x64 через регистр сегмента gs:[0x30]. Содержит ClientId (UniqueProcess, UniqueThread) и стек вызовов.

Связанные термины:PEBKTHREADETHREAD

SCMRing 3 (User-mode)

Service Control Manager (Диспетчер управления службами / services.exe)

Системный процесс services.exe в Сессии 0, отвечающий за запуск, остановку и управление системными службами и загрузку драйверов автозапуска.

Структура / Регистр:services.exe / ScStartService

Запускается процессом wininit.exe. Читает ветку реестра HKLM\SYSTEM\CurrentControlSet\Services и запускает службы типов SERVICE_SYSTEM_START и SERVICE_AUTO_START, взаимодействуя с ними по протоколу RPC (Advapi32 / Scm RPC).

Связанные термины:wininitlsasssmss

ALPCRing 0 (Kernel/HAL)

Advanced Local Procedure Call (Усовершенствованный локальный вызов процедур)

Высокопроизводительный механизм межпроцессного взаимодействия (IPC) в ядре Windows для обмена сообщениями между процессами на одном хосте.

Структура / Регистр:_ALPC_PORT / NtAlpcCreatePort / NtAlpcSendWaitReceivePort

Используется для связи подсистем: Winlogon <-> LSASS, приложения <-> CSRSS, клиенты RPC <-> Services.exe. Поддерживает передачу коротких сообщений через стек, передачу больших буферов через разделяемые секции (Section View) и прямой маппинг страниц.

Связанные термины:csrsssmsslsass

PFNRing 0 (Kernel/HAL)

Page Frame Number (Номер физического фрейма страницы)

Номер 4-килобайтного физического блока памяти и соответствующая запись в глобальной базе данных ядра PFN Database.

Структура / Регистр:_MMPFN / MmPfnDatabase

Менеджер памяти Windows отслеживает состояние каждой физической страницы через массив `_MMPFN` (база MmPfnDatabase). Фрейм может находиться в одном из 8 состояний: Active, Standby, Modified, ModifiedNoWrite, Free, Zeroed, Bad, Transition.

Связанные термины:PTECR3MmInitSystem

PTEHardware / Firmware

Page Table Entry (Элемент таблицы страниц)

64-битный дескриптор в таблице страниц процессора x64, сопоставляющий виртуальную страницу памяти с физическим адресом PFN и задающий флаги доступа (Valid, Writable, User/Supervisor, NX).

Структура / Регистр:_MMPTE / HARDWARE_PTE

В x64 архитектуре трансляция проходит через 4 уровня: PML4E -> PDPTE -> PDE -> PTE. В PTE младшие биты хранят права: бит 0 (Valid/Present), бит 1 (Read/Write), бит 2 (User/Kernel), бит 63 (No-Execute / NX).

Связанные термины:PFNCR3MmInitSystem

VADRing 0 (Kernel/HAL)

Virtual Address Descriptor (Дескриптор виртуального адреса)

Сбалансированное двоичное дерево (AVL-дерево) в структуре EPROCESS, описывающее выделенные диапазоны виртуальной памяти процесса (VirtualAlloc, mmap).

Структура / Регистр:_MMVAD / _MM_AVL_TABLE

Когда поток обращается к адресу памяти, вызывая Page Fault (KiPageFault), диспетчер памяти обходит VAD-дерево процесса (`EPROCESS.VadRoot`), чтобы проверить, выделен ли данный диапазон и каковы права доступа (PAGE_READWRITE, PAGE_EXECUTE_READ и т.д.).

Связанные термины:CR3PTEEPROCESS

CARHardware / Firmware

Cache-as-RAM (Использование кэша CPU в качестве оперативной памяти)

Режим ранней инициализации, при котором L2/L3 кэш процессора настраивается как временная RAM до подъёма контроллера памяти (DRAM).

Структура / Регистр:MTRR (Memory Type Range Registers) / MSR 0x2FF

Где находится:Кэш-память L2 / L3 (SRAM) внутри кремниевого кристалла процессора

На фазе SEC прошивки оперативная память ещё физически недоступна. ЦП переводит кэш в режим No-Eviction Mode (NEM) с помощью регистров MTRR, создавая стек для выполнения C-кода фазы PEI.

Связанные термины:SECPEIUEFI

UEFIHardware / Firmware

Unified Extensible Firmware Interface (Спецификация прошивки платформы)

Современный стандартизированный интерфейс между микропрограммой материнской платы и операционной системой, заменивший Legacy BIOS.

Структура / Регистр:EFI_SYSTEM_TABLE / EFI_BOOT_SERVICES / EFI_RUNTIME_SERVICES

Где находится:Микросхема энергонезависимой флеш-памяти SPI Flash ROM (8–32 МБ) на материнской плате

Предоставляет Boot Services (управление памятью, протоколы устройств) и Runtime Services (доступ к переменным NVRAM, капсульное обновление, RTC). Поддерживает GPT, Secure Boot и 64-битный режим процессора с первых миллисекунд.

Связанные термины:SECPEIDXEBDSGPT

SECHardware / Firmware

Security Phase (Фаза безопасности UEFI)

Первая фаза исполнения UEFI после аппаратного сброса процессора по вектору 0xFFFFFFF0.

Структура / Регистр:Reset Vector (0xFFFFFFF0) / SEC Core

Где находится:Кремниевый кристалл CPU (исполнение из SPI Flash ROM в режиме Cache-as-RAM)

Переключает CPU из 16-битного Real Mode в Flat Protected Mode, настраивает CAR (Cache-as-RAM) и передаёт корень доверия (Root of Trust) диспетчеру фазы PEI.

Связанные термины:CARPEIUEFI

PEIHardware / Firmware

Pre-EFI Initialization Phase (Фаза предварительной инициализации EFI)

Фаза прошивки, поднимающая контроллер оперативной памяти (DRAM) и базовую системную логику.

Структура / Регистр:PEI Foundation / PEIM / HOB List

Где находится:Кремниевый кристалл CPU + шина SMBus/I2C + чипсет материнской платы

Исполняет легковесные модули PEIM (PEI Modules). После обнаружения и настройки планок RAM формирует структуры HOB (Hand-Off Blocks) и передаёт управление фазе DXE.

Связанные термины:SECDXEHOBCAR

PEIMHardware / Firmware

Pre-EFI Initialization Module (Модуль предварительной инициализации)

Специализированный драйвер фазы PEI для опроса SPD памяти, чипсета и передачи данных фазе DXE.

Структура / Регистр:EFI_PEI_SERVICES / PPI (PEI-to-PEI Interface)

Где находится:Кэш CPU (CAR) ➔ оперативная память DRAM

Модули PEIM работают в условиях ограниченной памяти CAR, инициализируют шины SMBus/I2C и поднимают DRAM.

Связанные термины:PEIHOBCAR

DXEHardware / Firmware

Driver Execution Environment (Среда исполнения драйверов UEFI)

Основная фаза UEFI, загружающая драйверы устройств (NVMe, PCIe, USB, FAT32/ESP, видео) и создающая таблицы сервисов.

Структура / Регистр:DXE Dispatcher / EFI Protocols / EFI_HANDLE

Где находится:Физическая оперативная память DRAM

Диспетчер DXE считывает HOB-список из PEI, строит карту системной памяти и загружает протоколы драйверов в память для последующего использования загрузчиком Windows.

Связанные термины:PEIBDSUEFI

BDSHardware / Firmware

Boot Device Selection (Фаза выбора загрузочного устройства UEFI)

Финальная фаза прошивки, считывающая порядок загрузки из NVRAM, проверяющая Secure Boot и запускающая bootmgfw.efi.

Структура / Регистр:BdsEntry / NVRAM BootOrder / EFI_LOADED_IMAGE

Где находится:Физическая оперативная память DRAM + контроллер накопителя NVMe/SATA

Анализирует переменные BootOrder и Boot####. При включенном Secure Boot проверяет цифровую подпись загрузочного EFI-приложения и запускает его через gBS->StartImage().

Связанные термины:DXEUEFIBCD

HOBHardware / Firmware

Hand-Off Block (Блок передачи данных между фазами UEFI)

Структура данных, через которую фаза PEI передает информацию об обнаруженной физической памяти и железе фазе DXE.

Структура / Регистр:EFI_HOB_MEMORY_ALLOCATION / HOB List Pointer

Где находится:Буферы структур в оперативной памяти DRAM

Представляет собой связный список дескрипторов (EFI_HOB_GENERIC_HEADER), описывающих диапазоны RAM, статус загрузки и адреса прошивки.

Связанные термины:PEIDXE

MBRHardware / Firmware

Master Boot Record (Главная загрузочная запись)

Первый сектор накопителя (LBA 0, 512 байт) в устаревшей схеме разбиения BIOS, содержащий начальный код загрузки и таблицу из 4 разделов.

Структура / Регистр:LBA 0 (Offset 0x01BE: Partition Table, Signature 0xAA55)

Где находится:Первый физический сектор (LBA 0, 512 байт) на пластине HDD или NAND флеш-чипе SSD

Код MBR загружается по фиксированному физическому адресу 0x7C00. Он находит активный раздел и передаёт управление сектору VBR (Volume Boot Record).

Связанные термины:VBRGPT

GPTHardware / Firmware

GUID Partition Table (Таблица разделов GUID)

Современный стандарт схемы размещения таблиц разделов на физическом накопителе, использующий 64-битные LBA-адреса и GUID-идентификаторы.

Структура / Регистр:_GPT_HEADER (LBA 1, Signature "EFI PART")

Где находится:Секторы LBA 1–33 и последний сектор на физическом накопителе (SSD / HDD)

Заголовок GPT располагается в LBA 1 (резервная копия в конце диска), защищен контрольной суммой CRC32 и содержит массив до 128 дескрипторов разделов.

Связанные термины:MBRUEFIBCD

VBRHardware / Firmware

Volume Boot Record (Загрузочный сектор раздела)

Первый сектор активного дискового раздела, содержащий код загрузки конкретного менеджера (например, bootmgr).

Структура / Регистр:Boot Sector (BPB - BIOS Parameter Block)

Где находится:Начальный физический сектор активного раздела накопителя (Volume Boot Record)

Вызывается кодом MBR после проверки сигнатуры 0xAA55, считывает файл bootmgr в память и переходит на него в 16-битном Real Mode.

Связанные термины:MBRBCD

TPMHardware / Firmware

Trusted Platform Module (Криптографический модуль доверия)

Аппаратный или микропрограммный чип безопасности для криптографического хранения ключей BitLocker, замеров загрузки (PCR) и аттестации платформы.

Структура / Регистр:TPM 2.0 / PCR (0-23) / TIS (TPM Interface Specification)

Где находится:Дискретная микросхема TPM 2.0 на материнской плате либо встроенный модуль fTPM/ME/PSP в кристалле CPU/чипсета

Каждый этап загрузки (UEFI, Bootmgr, Winload, Kernel) измеряет хеши последующих модулей и расширяет регистры PCR (Platform Configuration Registers). Ключ BitLocker расшифровывается только при совпадении PCR.

Связанные термины:VBSFVEBitLocker

FVERing 0 (Kernel/HAL)

Full Volume Encryption / BitLocker (Полнодисковое шифрование BitLocker)

Технология прозрачного аппаратного/программного шифрования томов Windows алгоритмами XTS-AES 128/256.

Структура / Регистр:fvevol.sys / FVE Metadata Block / VMK / FVK

Управляется библиотекой fveapi.dll и драйвером fvevol.sys. Во время загрузки Bootmgr разблокирует том через TPM (BmFveOpenVolume), передавая мастер-ключ VMK в winload.efi.

Связанные термины:TPMwinload

IRQLRing 0 (Kernel/HAL)

Interrupt Request Level (Уровень приоритета прерываний ядра)

Аппаратный/программный приоритет выполнения потока или обработчика прерываний в ядре Windows (от PASSIVE_LEVEL=0 до HIGH_LEVEL=15 в x64; в устаревшем 32-битном x86 верхний предел составлял 31).

Структура / Регистр:CR8 (Task Priority Register / TPR в x64) / KeGetCurrentIrql

Определяет, какие прерывания замаскированы. При IRQL >= DISPATCH_LEVEL (2) запрещено обращение к выгружаемой (paged) памяти и блокирующие ожидания (KeWaitForSingleObject).

Связанные термины:DPCAPCIDTKPCR

SMSSRing 3 (User-mode)

Session Manager Subsystem (Подсистема диспетчера сессий / smss.exe)

Первый пользовательский процесс Windows, создающий файлы подкачки, переменные среды и изолированные сессии (Session 0 и Session 1).

Структура / Регистр:smss.exe / SmpInit / SmpCreateSession

Запускается ядром через StartFirstUserProcess. Работает в нативном режиме NT Native API (ntdll.dll без Win32) и порождает дочерние экземпляры smss.exe для каждой сессии.

Связанные термины:CSRSSWININITWINLOGONPEB

CSRSSRing 3 (User-mode)

Client/Server Runtime Subsystem (Клиент-серверная подсистема времени выполнения / csrss.exe)

Критический системный процесс пользовательского режима, отвечающий за консольные окна (conhost), создание процессов и нитей в Win32-подсистеме.

Структура / Регистр:csrss.exe / CsrServerCore / ALPC Port

Запускается для каждой сессии. При аварийном завершении csrss.exe ядро немедленно генерирует Blue Screen (BSOD CRITICAL_PROCESS_DIED). Взаимодействует с приложениями через ALPC.

Связанные термины:SMSSWINLOGONALPCPEB

LSASSRing 3 (User-mode)

Local Security Authority Subsystem Service (Служба подсистемы локальной безопасности / lsass.exe)

Процесс безопасности Windows, отвечающий за аутентификацию пользователей, токены доступа, Kerberos, NTLM и применение политик безопасности.

Структура / Регистр:lsass.exe / LsaInitSystem / Secur32.dll

Создает токены безопасности (Access Tokens) при входе через LogonUI/Winlogon. В системах с VBS изолируется в VTL 1 как LSAIso (Credential Guard) для защиты хешей паролей от извлечения (Mimikatz).

Связанные термины:WINLOGONWININITVBSSCM

LSARing 3 (User-mode)

Local Security Authority (Подсистема локальной безопасности)

Ядерная и пользовательская подсистема проверки подлинности, аудита и генерации маркеров доступа (Access Tokens).

Структура / Регистр:LsaRegisterLogonProcess / TOKEN (_TOKEN)

Интегрирована в lsass.exe и se.dll/ntoskrnl.exe. Обеспечивает проверку прав доступа к объектам ядра (Security Descriptors, DACL, SACL).

Связанные термины:LSASSWINLOGONVBS

WINLOGONRing 3 (User-mode)

Windows Logon Process (Процесс интерактивного входа в систему / winlogon.exe)

Процесс управления интерактивной сессией пользователя в Сессии 1, обрабатывающий Secure Attention Sequence (SAS, Ctrl+Alt+Del) и загружающий профиль пользователя.

Структура / Регистр:winlogon.exe / WlInitialize / WlxLoggedOnSAS

Запускает LogonUI.exe для ввода пароля/PIN/биометрии, аутентифицирует учетные данные через LSASS, монтирует реестр NTUSER.DAT и стартует userinit.exe.

Связанные термины:LSASSCSRSSEXPLORERSMSS

WININITRing 3 (User-mode)

Windows Initialization Process (Процесс инициализации Сессии 0 / wininit.exe)

Системный процесс-инициализатор неинтерактивной Сессии 0, запускающий диспетчер служб (services.exe), LSASS и диспетчер сессий (lsm.exe).

Структура / Регистр:wininit.exe / WinMain

Создает оконную станцию WinSta0 и десктопы для системных служб. Является критическим процессом Сессии 0.

Связанные термины:SCMLSASSSMSS

EXPLORERRing 3 (User-mode)

Windows Explorer Shell (Оболочка Проводника Windows / explorer.exe)

Главный процесс пользовательской графической оболочки Windows, создающий Рабочий стол, Панель задач, меню Пуск и трей.

Структура / Регистр:explorer.exe / ExplorerWinMain / Shell_TrayWnd

Запускается процессом userinit.exe после успешного монтирования профиля HKCU. Предоставляет пользователю графический рабочий стол и хостит COM-серверы расширений оболочки.

Связанные термины:WINLOGONPEB

PNPRing 0 (Kernel/HAL)

Plug and Play Manager (Диспетчер Plug and Play ядра)

Подсистема ядра, выполняющая перечисление аппаратных устройств на шинах (PCI, ACPI, USB), сопоставление драйверов и распределение ресурсов (IRQ, I/O, MMIO).

Структура / Регистр:_DEVICE_NODE / IopInitializePlugPlayServices

Инициализируется на фазе 1 (IopInitializeBootDrivers / PipEnumerateDeviceTree). Строит дерево узлов устройств (Device Node Tree) и отправляет драйверам IRP-запросы IRP_MJ_PNP (IRP_MN_START_DEVICE и др.).

Связанные термины:IRPHALACPI

INBVRing 0 (Kernel/HAL)

Initialization Boot Video (Драйвер базовой загрузочной видеографики)

Встроенный графический драйвер ядра для отображения логотипа загрузки Windows, кольца прогресса и синего экрана смерти (BSOD).

Структура / Регистр:InbvEnableBootDriver / InbvDisplayString / InbvBitBlt

Работает с линейным видеобуфером Framebuffer, переданным из UEFI (через структуру LOADER_PARAMETER_BLOCK), до загрузки полноценного WDDM-драйвера видеокарты.

Связанные термины:winloadHAL

ACPIHardware / Firmware

Advanced Configuration and Power Interface (Расширенный интерфейс конфигурации и питания)

Стандарт описания конфигурации материнской платы, таблиц питания (DSDT, SSDT, MADT, FADT) и управления спящими режимами (S0-S5).

Структура / Регистр:RSDP / RSDT / XSDT / MADT / acpi.sys

Где находится:Таблицы в оперативной памяти DRAM + контроллер чипсета материнской платы (PCH)

Драйвер acpi.sys парсит байткод AML (ACPI Machine Language), строит дерево устройств материнской платы и настраивает маршрутизацию прерываний через таблицу MADT.

Связанные термины:HALPNPAPIC

APICHardware / Firmware

Advanced Programmable Interrupt Controller (Расширенный контроллер прерываний)

Аппаратный контроллер прерываний x86/x64, состоящий из Local APIC (в каждом ядре ЦП) и I/O APIC (в чипсете материнской платы).

Структура / Регистр:LAPIC Base MSR (0x1B / 0x800-0x83F в x2APIC) / I/O APIC

Где находится:Локальные контроллеры LAPIC внутри каждого ядра CPU + чип I/O APIC в чипсете платы

Обеспечивает доставку аппаратных IRQ, межпроцессорных прерываний (IPI / Inter-Processor Interrupts) для синхронизации ядер CPU и локальных таймеров.

Связанные термины:IDTHALIRQL

DMAHardware / Firmware

Direct Memory Access (Прямой доступ к памяти)

Аппаратный механизм, позволяющий периферийным контроллерам (NVMe, сетевые карты, GPU) передавать данные напрямую в/из RAM без участия CPU.

Структура / Регистр:DMA_ADAPTER / AllocateAdapterChannel / IOMMU

Где находится:Контроллеры периферийных устройств (NVMe, сетевые карты, GPU) на шине PCIe

В Windows настраивается через объекты DMA_ADAPTER и списки дескрипторов MDL. Защищается с помощью IOMMU / DMA Remapping для предотвращения атак DMA-перехвата.

Связанные термины:MDLIOMMU

IOMMUHardware / Firmware

Input-Output Memory Management Unit (Блок управления памятью ввода-вывода)

Аппаратный блок процессора/чипсета (Intel VT-d, AMD-Vi), транслирующий адреса DMA и изолирующий устройства от несанкционированного доступа к системной памяти.

Структура / Регистр:Intel VT-d / AMD-Vi / HalpIommuInterface

Где находится:Аппаратный блок DMA-трансляции (Intel VT-d / AMD-Vi) в кристалле CPU / чипсете

Используется подсистемами безопасности Windows (Kernel DMA Protection, HVCI, VBS) для изоляции памяти ядра от вредоносных PCIe-устройств (Thunderbolt/USB4 DMA Protection).

Связанные термины:DMAVBSHAL

ntoskrnl.exeRing 0 (Kernel/HAL)

Windows NT Operating System Kernel (Исполняемый образ ядра Windows NT)

Главный исполняемый бинарный файл ядра Windows x64, содержащий микроядро (Ke), исполнительную систему (Ex), менеджер памяти (Mm), диспетчер процессов (Ps) и подсистему безопасности (Se).

Структура / Регистр:ntoskrnl.exe / KiSystemStartup / Phase1Initialization

Загружается winload.efi в виртуальную память ядра. Запускается с функции KiSystemStartup, организует планирование потоков, системные вызовы и управление всеми системными объектами.

Связанные термины:KPCRHALSSDTIRP

FirmwareHardware / Firmware

System Firmware / UEFI BIOS (Микропрограмма платформы)

Низкоуровневая прошивка материнской платы, хранящаяся в SPI Flash чипе и выполняющая начальный запуск аппаратных узлов компьютера.

Структура / Регистр:SPI Flash ROM / UEFI Specifications

Где находится:Микросхема SPI Flash ROM (8–32 МБ) с интерфейсом SPI на материнской плате

Включает фазы SEC, PEI, DXE, BDS. Проверяет цифровую подпись Boot Manager и передаёт управление загрузчику bootmgfw.efi.

Связанные термины:UEFISECPEIDXEBDS

SPDHardware / Firmware

Serial Presence Detect (Энергонезависимая память параметров RAM)

Микросхема EEPROM на модуле оперативной памяти, хранящая профили JEDEC/XMP, тайминги, напряжение и поддерживаемую частоту.

Структура / Регистр:SMBus / I2C EEPROM (JEDEC SPD / Intel XMP / AMD EXPO)

Где находится:Микросхема EEPROM (8-pin SOIC) на текстолите планки памяти RAM (DIMM)

Модули фазы PEI опрашивают чипы SPD по шине SMBus/I2C, чтобы правильно настроить контроллер памяти (DRAM Controller) и применить стабильные тайминги CL-tRCD-tRP-tRAS.

Связанные термины:PEIPEIMDRAMCAR

ESPHardware / Firmware

EFI System Partition (Системный раздел EFI)

Специальный раздел диска (FAT32), помеченный GUID c12a7328-f81f-11d2-ba4b-00a0c93ec93b, где хранятся загрузчики bootmgfw.efi и BCD.

Структура / Регистр:FAT32 Partition / \EFI\Microsoft\Boot\bootmgfw.efi

Где находится:Физический раздел FAT32 на твердотельном накопителе (NVMe / SATA SSD)

Прошивка UEFI монтирует раздел ESP с помощью встроенного FAT-драйвера, считывает файл конфигурации BCD и исполняет загрузочный образ операционной системы.

Связанные термины:UEFIGPTBCDbootmgr

NVMeHardware / Firmware

Non-Volatile Memory Express (Протокол твердотельных накопителей)

Высокоскоростной протокол прямого доступа к SSD-накопителям через шину PCIe с аппаратными очередями команд (до 64K очередей по 64K команд).

Структура / Регистр:PCIe NVMe Controller / Submission & Completion Queues / stornvme.sys

Где находится:Контроллер SSD-накопителя в слоте M.2 / PCIe + микросхемы флеш-памяти 3D NAND

Поддерживает низкие задержки за счёт прямого DMA-доступа к памяти хоста и параллельной обработки запросов без блокировок.

Связанные термины:PCIEDMAAHCI

PCIeHardware / Firmware

Peripheral Component Interconnect Express (Шина прямого подключения устройств)

Основная системная высокоскоростная шина последовательной передачи данных (Point-to-Point) для видеокарт, NVMe-накопителей и сетевых адаптеров.

Структура / Регистр:PCIe ECAM / pci.sys / Root Complex

Где находится:Физические дифференциальные линии шины PCIe на плате + контроллер PCIe в CPU/чипсете

Конфигурационное пространство PCIe (ECAM / Enhanced Configuration Access Mechanism) мапится в память (MMIO) и перечисляется драйвером pci.sys на фазе 1 ядра.

Связанные термины:NVMEIOMMUDMAPNP

AHCIHardware / Firmware

Advanced Host Controller Interface (Интерфейс хост-контроллера SATA)

Аппаратный механизм взаимодействия контроллеров накопителей Serial ATA (SATA) с операционной системой с поддержкой Native Command Queuing (NCQ).

Структура / Регистр:storahci.sys / PCI Configuration Space

Где находится:SATA-контроллер, интегрированный в чипсет материнской платы (PCH)

Инициализируется DXE-драйвером на этапе прошивки и драйвером storahci.sys в ядре Windows.

Связанные термины:NVMEDMAPCIE

LBAHardware / Firmware

Logical Block Addressing (Линейная адресация дисковых секторов)

Схема адресации секторов накопителя от LBA 0 (первый сектор диска) до конца объёма, пришедшая на замену CHS (Cylinder-Head-Sector).

Структура / Регистр:LBA 0 (MBR), LBA 1 (GPT Header), LBA 2-33 (Partition Entries)

Где находится:Физическая адресация блоков на флеш-памяти NAND SSD или магнитных пластинах HDD

В MBR LBA ограничена 32 битами (максимум 2 ТБ), в таблицах GPT используются 64-битные LBA-адреса, снимающие ограничения на объём дисков.

Связанные термины:MBRGPTVBR

CRC32Hardware / Firmware

Cyclic Redundancy Check 32-bit (Контрольная сумма CRC32)

Алгоритм вычисления 32-битной контрольной суммы для проверки целостности структур данных (в заголовках GPT, BCD, PE-файлах).

Структура / Регистр:_GPT_HEADER.HeaderCRC32

Заголовок GPT содержит поле HeaderCRC32. Если вычисленный CRC32 не совпадает, прошивка и загрузчик отклоняют заголовок и читают резервную копию GPT из конца диска.

Связанные термины:GPTUEFI

GUIDExecutive & Objects

Globally Unique Identifier (Глобально уникальный 128-битный идентификатор)

128-битный уникальный идентификатор (UUID/GUID), используемый в UEFI, BCD, реестре Windows, COM-объектах и разделах дисков GPT.

Структура / Регистр:typedef struct _GUID { ULONG Data1; USHORT Data2; USHORT Data3; UCHAR Data4[8]; } GUID;

Структура GUID состоит из полей Data1 (32 бит), Data2 (16 бит), Data3 (16 бит) и Data4 (массив из 8 байт). В BCD идентифицирует записи загрузки (например, {default}, {bootmgr}, {memdiag}).

Связанные термины:GPTBCD

PE/COFFExecutive & Objects

Portable Executable Format (Формат исполняемых файлов Windows / UEFI)

Формат бинарных файлов (EXE, DLL, SYS, EFI) в архитектуре Windows и стандарте UEFI.

Структура / Регистр:IMAGE_NT_HEADERS64 / IMAGE_SECTION_HEADER

Состоит из заголовка DOS (MZ), заголовка PE (PE\0\0), опционального заголовка IMAGE_OPTIONAL_HEADER64, таблицы секций (.text, .data, .rdata, .pdata, .reloc) и каталога директорий данных.

Связанные термины:AUTHENTICODENTOSKRNL

BootLibHardware / Firmware

Boot Environment Library (Библиотека среды загрузки Windows)

Статическая библиотека ядра загрузки Microsoft (bootlib.lib), на базе которой построены bootmgr.efi, winload.efi и winresume.efi.

Структура / Регистр:BlInitializeLibrary / BlMmAllocatePages / BlImgLoadPEImageEx

Предоставляет абстракции управления памятью (BlMm), графики (BlDisplay), файловых систем (BlFile), криптографии и работы с TPM (BlTpm).

Связанные термины:BCDTPMUEFI

PCRHardware / Firmware

Platform Configuration Register (Регистры конфигурации платформы TPM)

Энергонезависимые регистры TPM (0-23), хранящие криптографические хеши (SHA-256) измерений каждого этапа загрузки платформы.

Структура / Регистр:TPM2_PCR_Extend / PCR 0-23

Где находится:Энергонезависимые регистры внутри кристалла доверенного модуля TPM (на плате или в CPU)

Регистры расширяются операцией TPM_Extend (PCR_new = SHA256(PCR_old || measurement)). Пакет BitLocker запечатывает ключ шифрования под конкретные значения PCR (0: Firmware, 2: Option ROMs, 4: Boot Manager, 7: Secure Boot, 11: BitLocker Access Control).

Связанные термины:TPMFVEVBS

AuthenticodeSecurity & Protection

Microsoft Authenticode (Технология цифровой подписи PE-образов)

Стандарт криптографической верификации авторства и целостности исполняемых файлов на основе сертификатов X.509 и алгоритмов SHA-256 / RSA.

Структура / Регистр:IMAGE_DIRECTORY_ENTRY_SECURITY / WIN_CERTIFICATE

Подпись встраивается в секцию сертификатов PE-файла (WIN_CERTIFICATE). Проверяется загрузчиками UEFI, winload.efi и модулем CI.dll ядра.

Связанные термины:PEHVCIVBS

BSPHardware / Firmware

Bootstrap Processor (Главный загрузочный процессор платформы)

Единственное физическое/логическое ядро CPU, выбираемое аппаратной логикой платформы при старте для выполнения инициализации UEFI и Phase 0 ядра.

Структура / Регистр:IA32_APIC_BASE_MSR (0x1B, Bit 8: BSP Flag)

Где находится:Выделенное аппаратное ядро (Core 0) на кремниевом кристалле процессора (CPU)

Остальные ядра процессора (AP) находятся в состоянии ожидания (Wait-for-SIPI) и запускаются загрузчиком Phase 1 только после поднятия базовых структур ядра.

Связанные термины:APAPICKPCR

APHardware / Firmware

Application Processor (Вторичные ядра процессора)

Дополнительные вычислительные ядра ЦП, инициализируемые на фазе Phase 1 через межпроцессорные прерывания INIT-SIPI-SIPI.

Структура / Регистр:INIT-SIPI Sequence / HalStartDynamicProcessor

Где находится:Вторичные вычислительные ядра (Core 1..N) на кремниевом кристалле процессора

После получения вектора SIPI ядро AP настраивает собственный KPCR, регистр CR3, стек, IDT и подключается к общему планировщику потоков ядра.

Связанные термины:BSPAPICIPIKPRCB

IPIHardware / Firmware

Inter-Processor Interrupt (Межпроцессорное прерывание)

Аппаратный механизм, позволяющий одному ядру CPU посылать прерывание другим ядрам через локальный контроллер прерываний APIC.

Структура / Регистр:LAPIC ICR (Interrupt Command Register) / KiIpiSend

Где находится:Внутренняя шина межъядерной связи / APIC bus на кристалле CPU

Используется ядром Windows для синхронизации TLB (TLB Shootdown), переключения контекста, запуска DPC на целевых ядрах и остановки CPU при BSOD/отладке.

Связанные термины:APICDPCAPIRQL

PML4Hardware / Firmware

Page Map Level 4 (Корневая таблица страниц 4-уровневой трансляции x64)

Корневая 4-килобайтная таблица трансляции виртуальных адресов памяти в 64-битном режиме процессора (адресуется регистром CR3).

Структура / Регистр:CR3 / PML4E / PDPTE

Где находится:Таблица в физической оперативной памяти DRAM (базовый адрес в регистре CR3)

Содержит 512 64-битных записей PML4E, каждая из которых адресует 512 ГБ виртуальной памяти (всего покрывая 256 ТБ).

Связанные термины:CR3PTEPFN

NX / XDHardware / Firmware

No-Execute / Execute-Disable Bit (Аппаратный бит запрета исполнения данных)

Бит 63 в записях таблиц страниц памяти (PTE), аппаратно блокирующий выполнение кода из сегментов данных (стек, куча, буферы).

Структура / Регистр:IA32_EFER.NXE (MSR 0xC0000080, Bit 11) / PTE Bit 63

Где находится:Бит 63 в аппаратных дескрипторах таблиц страниц в DRAM / регистр EFER в CPU

Активируется битом EFER.NXE в процессоре. Предотвращает эксплойты переполнения буфера (Buffer Overflow / Shellcode Injection).

Связанные термины:PTECR3HVCI

SMMHardware / Firmware

System Management Mode (Режим системного управления Ring -2)

Высокопривилегированный режим процессора x86, исполняющий закрытый код прошивки при получении прерывания SMI (System Management Interrupt).

Структура / Регистр:SMI / SMRAM / RSM Instruction

Где находится:Изолированный регион оперативной памяти SMRAM (TSEG) + микрокод процессора

Код SMM изолирован в защищенной памяти SMRAM. Используется для аппаратного термоконтроля, обновления BIOS и эмуляции оборудования.

Связанные термины:UEFISEC

SAMRing 3 (User-mode)

Security Accounts Manager (База данных диспетчера учетных записей)

Защищенный куст реестра Windows (HKLM\SAM), хранящий локальные учетные записи пользователей, группы и NTLM-хеши паролей.

Структура / Регистр:HKLM\SAM / samlib.dll / samsrv.dll

Монтируется процессом lsass.exe. Прямой доступ к файлу C:\Windows\System32\config\SAM заблокирован монопольной блокировкой ядра.

Связанные термины:LSASSLSAWINLOGON

NTFSRing 0 (Kernel/HAL)

NT File System (Журналируемая файловая система Windows NT)

Основная файловая система Windows, поддерживающая списки управления доступом (ACL), шифрование EFS, сжатие, теневые копии и транзакции.

Структура / Регистр:ntfs.sys / $MFT / $LogFile

Управляется драйвером ntfs.sys. Структура Master File Table ($MFT) хранит метаданные и дескрипторы безопасности каждого файла на диске.

Связанные термины:IRPHAL

GPORing 3 (User-mode)

Group Policy Object (Объект групповой политики)

Набор централизованных конфигурационных правил и политик безопасности Windows (реестр, права пользователей, аудит, автозапуск).

Структура / Регистр:Group Policy Client (gpsvc.dll) / Registry.pol

Применяется процессом userinit.exe и службой gpsvc во время входа пользователя в интерактивную сессию.

Связанные термины:WINLOGONLSASS

SASRing 3 (User-mode)

Secure Attention Sequence (Последовательность безопасного внимания Ctrl+Alt+Del)

Аппаратная комбинация клавиш (Ctrl+Alt+Delete), перехватываемая исключительно доверенным процессом winlogon.exe.

Структура / Регистр:winlogon.exe / WlxLoggedOnSAS / GINA / Credential Provider

Гарантирует, что диалоговое окно ввода пароля (LogonUI.exe) не может быть подделано вредоносными пользовательскими приложениями.

Связанные термины:WINLOGONLSASS

SIDSecurity & Protection

Security Identifier (Идентификатор безопасности субъекта)

Уникальная структура переменной длины (например, S-1-5-21-...), идентифицирующая пользователя, группу или компьютер в Windows.

Структура / Регистр:_SID / RtlEqualSid / RtlAllocateAndInitializeSid

Встраивается в маркеры доступа (Access Tokens) и дескрипторы безопасности для разграничения прав доступа к объектам ядра (файлам, процессам, ключам реестра).

Связанные термины:LSALSASSDACL

DACLSecurity & Protection

Discretionary Access Control List (Дискреционный список управления доступом)

Список записей управления доступом (ACE), определяющий, каким пользователям и группам (SID) разрешён или запрещён доступ к объекту.

Структура / Регистр:_ACL / _ACE / SECURITY_DESCRIPTOR

Является частью структуры SECURITY_DESCRIPTOR. Диспетчер безопасности ядра SeAccessCheck сверяет маркер доступа потока с DACL объекта.

Связанные термины:SIDLSALSASS

RPCRing 3 (User-mode)

Remote Procedure Call (Удаленный вызов процедур)

Протокол межпроцессного и сетевого взаимодействия в Windows, позволяющий вызывать функции в других процессах так же прозрачно, как локальные.

Структура / Регистр:rpcrt4.dll / RpcServerRegisterIf / RpcBindingFromStringBinding

Используется для управления службами (SCM RPC), подсистемой DCOM, диспетчером сессий и политиками безопасности.

Связанные термины:SCMALPC

WDDMRing 0 (Kernel/HAL)

Windows Display Driver Model (Архитектура видеодрайверов Windows)

Архитектура графических драйверов Windows (dxgkrnl.sys), обеспечивающая аппаратное ускорение рабочего стола (DWM), многозадачность GPU и виртуализацию видеопамяти.

Структура / Регистр:dxgkrnl.sys / KMD (Kernel Mode Driver) / UMD (User Mode Driver)

Сменяет базовый драйвер INBV после инициализации диспетчера сессий и запуска подсистемы win32k.sys.

Связанные термины:INBVCSRSSEXPLORER

BSODRing 0 (Kernel/HAL)

Blue Screen of Death / BugCheck (Критический останов ядра Windows)

Аварийный экран останова системы, отображаемый ядром при возникновении неустранимой критической ошибки (KeBugCheckEx).

Структура / Регистр:KeBugCheckEx / InbvDisplayString / Crashdump.sys

Ядро останавливает все процессоры через IPI, сохраняет дамп физической памяти на диск (MEMORY.DMP) и выводит код ошибки (KMODE_EXCEPTION_NOT_HANDLED, CRITICAL_PROCESS_DIED и т.д.) через драйвер INBV.

Связанные термины:INBVIPIKPCR

Root of TrustHardware / Firmware

Hardware Root of Trust (Аппаратный корень доверия)

Криптографическая основа безопасности платформы, зашитая в неизменяемую память процессора/чипсета (Boot Guard / AMD PSB / TPM).

Структура / Регистр:Intel Boot Guard / AMD Platform Secure Boot / TPM Root Key

Где находится:Аппаратные криптографические ключи в неизменяемых плавких перемычках (eFuses) CPU / чипсета

Проверяет подпись первого исполняемого блока кода прошивки до старта CPU, защищая систему от компрометации на уровне аппаратных атак.

Связанные термины:SECUEFITPMVBS

Secure BootHardware / Firmware

UEFI Secure Boot (Технология безопасной загрузки платформы)

Протокол безопасности UEFI, запрещающий запуск загрузчиков и драйверов без действительной цифровой подписи доверенного центра сертификации.

Структура / Регистр:NVRAM SecureBoot / PK / KEK / db / dbx

Где находится:Энергонезависимая память NVRAM в чипе SPI Flash ROM на материнской плате

Прошивка сверяет подпись каждого EFI-файла с базами ключей PK (Platform Key), KEK (Key Exchange Key) и db (Authorized Signatures).

Связанные термины:UEFIBDSTPMAUTHENTICODE

Secure BootHardware / Firmware

UEFI Secure Boot (Технология безопасной загрузки платформы)

Протокол безопасности UEFI, запрещающий запуск загрузчиков и драйверов без действительной цифровой подписи доверенного центра сертификации.

Структура / Регистр:NVRAM SecureBoot / PK / KEK / db / dbx

Где находится:Энергонезависимая память NVRAM в чипе SPI Flash ROM на материнской плате

Прошивка сверяет подпись каждого EFI-файла с базами ключей PK (Platform Key), KEK (Key Exchange Key) и db (Authorized Signatures).

Связанные термины:UEFIBDSTPMAUTHENTICODE

BitLockerRing 0 (Kernel/HAL)

BitLocker Drive Encryption (Полнодисковое шифрование томов Windows)

Встроенная система полнодискового шифрования разделов Windows алгоритмом AES-XTS с аппаратной защитой ключей через TPM.

Структура / Регистр:fvevol.sys / BmFveOpenVolume / TPM

Ключ тома VMK освобождается чипом TPM только при неизменности замеров хешей загрузки в регистрах PCR.

Связанные термины:FVETPMPCR

winresume.efiHardware / Firmware

Windows Resume Application (Загрузчик выхода из гибернации)

Специализированный 64-битный загрузчик UEFI, восстанавливающий снимок состояния памяти из файла hiberfil.sys при выходе из спящего режима (S4 / Fast Startup).

Структура / Регистр:winresume.efi / C:\hiberfil.sys / BmLaunchResumeApplication

Запускается процессом bootmgr.efi, распаковывает сжатые страницы памяти ядра и мгновенно восстанавливает контекст всех процессоров без полной фазы инициализации.

Связанные термины:BCDbootmgrwinload

pagefile.sysRing 0 (Kernel/HAL)

Windows Paging File (Файл виртуальной подкачки страниц памяти)

Системный скрытый файл на диске (C:\pagefile.sys), куда диспетчер памяти сбрасывает неиспользуемые страницы оперативной памяти (Modified Page List).

Структура / Регистр:C:\pagefile.sys / SmpCreatePagingFiles / MmPfnDatabase

Создаётся процессом smss.exe через вызов SmpCreatePagingFiles и обслуживается драйвером файловой системы и менеджером памяти Mm.

Связанные термины:PFNSMSSVAD

DRAMHardware / Firmware

Dynamic Random-Access Memory (Динамическая оперативная память)

Основная физическая оперативная память компьютера (DDR4 / DDR5), требующая периодической регенерации заряда ячеек.

Структура / Регистр:Memory Controller / DDR PHY / JEDEC SPD

Где находится:Микросхемы динамической памяти (DDR4 / DDR5) на планках RAM (DIMM / SO-DIMM)

Инициализируется на фазе PEI модулями PEIM после считывания профилей и таймингов из микросхем SPD. До инициализации DRAM процессор использует свой кэш в качестве временного стека памяти (CAR / Cache-as-RAM).

Связанные термины:SPDCARPEIPEIM